監査ログ システム テーブル リファレンス

重要

このシステム テーブルは パブリック プレビュー にあります。

この記事では、監査ログ テーブルスキーマの概要を説明し、監査ログ システム テーブルと共に使用してアカウント アクティビティに関する一般的な質問に回答できるサンプル クエリを紹介します。 監査ログ イベントの詳細については、「診断ログ リファレンス」を参照してください。

テーブル パス: このシステム テーブルは、 system.access.auditにあります。

監査ログに関する考慮事項

  • ほとんどの監査ログは、ワークスペースのリージョンでのみ使用できます。
  • アカウント レベルの監査ログは workspace_id として 0 に記録されます。
  • ワークスペースを削除すると、Azure Databricks 14日以上前の監査イベントがsystem.access.auditから削除されます。
  • __databricks_internal カタログが監査イベントまたはその他のシステム テーブルに表示される場合は、内部状態の格納に使用Azure Databricks予約済みカタログです。 「__databricks_internal カタログ」を参照してください。
  • 一部のイベントでは、 request_params の中にSQL定義を含むキーは、アカウント管理者や databricks_pii_access グループのメンバーでない限り省略されます。 アクセス マスクドリクエストパラメータを参照してください。

監査ログ システム テーブル スキーマ

監査ログ システム テーブルでは、次のスキーマが使用されます。

列名 データ型 説明 例
account_id 文字列 アカウントの ID 23e22ba4-87b9-4cc2-9770-d10b894bxx
workspace_id 文字列 ワークスペースの ID 1234567890123456
version 文字列 監査ログのスキーマのバージョン 2.0
event_time timestamp イベントのタイムスタンプ。 タイムゾーン情報は、UTC タイムゾーンを表す +00:00 と共に値の末尾に記録されます。 2023-01-01T01:01:01.123+00:00
event_date 日付 アクションが実行されたカレンダーの日付。 クエリのパフォーマンスを向上させるには、event_dateではなくevent_timeでフィルター処理します。 2023-01-01
source_ip_address 文字列 要求元の IP アドレス 10.30.0.242
user_agent 文字列 要求元 Apache-HttpClient/4.5.13 (Java/1.8.0_345)
session_id 文字列 要求が送信されたセッションの ID 123456789
user_identity 構造体 ユーザーが開始した要求の ID {"email": "user@domain.com",
"subjectName": null}
service_name 文字列 サービス名で開始した要求 unityCatalog
action_name 文字列 監査ログにキャプチャされたイベントのカテゴリ getTable
request_id 文字列 要求の ID ServiceMain-4529754264
request_params マップ すべての要求パラメーターを含むキー値のマップ。 リクエストの種類によります。 一部のイベントでは、SQL定義を含むキーは、アカウント管理者や databricks_pii_access グループのメンバーでない限り省略されます。 アクセス マスクドリクエストパラメータを参照してください。 [["full_name_arg", "user.chat.messages"],
["workspace_id", "123456789"],
["metastore_id", "123456789"]]
response 構造体 応答戻り値の構造体 {"statusCode": 200, "errorMessage": null,
"result": null}
audit_level 文字列 ワークスペースまたはアカウント レベルのイベント ACCOUNT_LEVEL
event_id 文字列 イベントの ID 34ac703c772f3549dcc8671f654950f0
identity_metadata 構造体 run_by や run_as など、アクションに関連する ID。 詳細は 「アイデンティティメタデータ参照 」および 「監査グループ専用計算活動」を参照してください。 {"run_by": "example@email.com",
"run_as": "example@email.com"}

アイデンティティ メタデータ リファレンス

identity_metadata構造体には、次のスキーマがあります。

{
  "run_by": "string",
  "run_as": "string",
  "run_by_display_name": "string",
  "run_as_display_name": "string",
  "acting_resource": "string",
  "acting_resource_type": "string",
  "acting_resource_display_name": "string"
}

この構造体は、アクションに関わる恒等式を捉えます:

  • run_by はイベントを開始した識別子であり、 run_as は認可に使われる識別子です。 run_by_display_name run_as_display_nameは人間が読み取れる表示名です。
  • acting_resource、 acting_resource_type、 acting_resource_display_name は、OAuthアプリのようにリソースがユーザーを代表して行動した際に入力されます。 acting_resource はリソースパス、 acting_resource_type はリソースの種類、 acting_resource_display_name は人間が読みやすい名前(OAuthアプリの場合はアプリ名)です。

acting_resource経路は以下のいずれかの形態をとります。

  • accounts/<account_id>/published-app-client-ids/<client_id> 例えば、アクターが公開されたOAuthアプリである場合、 databricks-cli。
  • accounts/<account_id>/oauth2/custom-app-integrations/<client_id> アクターが顧客のOAuthアプリであり、 <client_id> がUUIDの場合です。

マスクされたリクエストパラメータへのアクセス

一部の監査イベントではSQL定義を request_paramsに保存しています。 これらのキーは、アカウント管理者や databricks_pii_access アカウントレベルグループのメンバーでない限り省略されます。

  • function_info
  • view_definition
  • definition_json
  • managed_definition

request_paramsの他のキーや他のすべての列は変更されません。 マスクされていない価値へのアクセスには、 databricks_pii_access グループが使われます。 グループの作成およびメンバーシップおよび権限の管理については、「databricks_pii_accessグループの作成と管理」をご覧ください。

  • 最終更新: