Controle met beheerde identiteit

Van toepassing op:Azure SQL Database

Controle voor Azure SQL Database kan worden geconfigureerd voor het gebruik van een Opslagaccount met twee verificatiemethoden:

  • Beheerde identiteit
  • Toegangssleutels voor opslag

Beheerde identiteit kan een door het systeem toegewezen beheerde identiteit (SMI) of door de gebruiker toegewezen beheerde identiteit (UMI) zijn.

Als u het schrijven van auditlogboeken naar een opslagaccount wilt configureren, gaat u naar Azure Portal en selecteert u uw logische serverresource voor Azure SQL Database. Selecteer Opslag in het menu Controle . Selecteer het Azure-opslagaccount waarin logboeken worden opgeslagen.

De gebruikte identiteit is standaard de primaire gebruikersidentiteit die aan de server is toegewezen. Als er geen gebruikersidentiteit is, maakt de server een door het systeem toegewezen beheerde identiteit en gebruikt deze voor verificatie.

Schermopname van het menu Controle in Azure Portal en het selecteren van beheerde identiteit als het verificatietype opslag.

Selecteer de bewaarperiode door de geavanceerde eigenschappen te openen. Vervolgens selecteer Opslaan. Logboeken die ouder zijn dan de bewaarperiode, worden verwijderd.

Door de gebruiker toegewezen beheerde identiteit

UMI biedt gebruikers flexibiliteit om hun eigen UMI voor een bepaalde tenant te maken en te onderhouden. UMI kan worden gebruikt als serveridentiteiten voor Azure SQL. UMI wordt beheerd door de gebruiker, vergeleken met een door het systeem toegewezen beheerde identiteit, die uniek is gedefinieerd per server en wordt toegewezen door het systeem.

Voor meer informatie over UMI, zie Beheerde identiteiten in Microsoft Entra voor Azure SQL.

Door de gebruiker toegewezen beheerde identiteit configureren voor Azure SQL Database-controle

Voordat controle kan worden ingesteld voor het verzenden van logboeken naar uw opslagaccount, moet de beheerde identiteit die aan de server is toegewezen, de roltoewijzing opslagblobgegevensbijdrager hebben. Deze toewijzing is vereist als u controle configureert met behulp van PowerShell, de Azure CLI, REST API of ARM-sjablonen. Roltoewijzing wordt automatisch uitgevoerd wanneer u Azure Portal gebruikt om controle te configureren. De volgende stappen zijn dus niet nodig als u Controle configureert via Azure Portal.

  1. Ga naar Azure Portal.

  2. Maak een door de gebruiker toegewezen beheerde identiteit als u dit nog niet hebt gedaan. Zie het maken van een door de gebruiker toegewezen beheerde identiteit voor meer informatie.

  3. Ga naar uw opslagaccount dat u wilt configureren voor controle.

  4. Selecteer het menu Toegangsbeheer (IAM).

  5. Selecteer Toevoegen>Roltoewijzing toevoegen.

  6. In het Rol-tabblad, zoek en selecteer Storage Blob Data Contributor. Kies Volgende.

  7. Selecteer op het tabblad Leden de optie Beheerde identiteit in de sectie Toegang toewijzen aan en selecteer vervolgens leden. U kunt de beheerde identiteit selecteren die is gemaakt voor uw server.

  8. Selecteer Beoordelen en toewijzen.

    Schermopname van het toewijzen van de Inzender voor opslagblobgegevens aan de beheerde identiteit in Azure Portal.

Zie Azure-rollen toewijzen met behulp van de portal voor meer informatie.

Gebruik het volgende om controle te configureren met behulp van door de gebruiker toegewezen beheerde identiteit:

  1. Ga naar het menu Identiteit voor uw server. Voeg in de sectie Door de gebruiker toegewezen beheerde identiteit de beheerde identiteit toe .

  2. Vervolgens kunt u de toegevoegde beheerde identiteit selecteren als de primaire identiteit voor uw server.

    Schermopname van het menu Identiteit in Azure Portal en het selecteren van de primaire identiteit.

  3. Ga naar het menu Controle voor de server. Selecteer Beheerde identiteit als opslagverificatietype bij het configureren van de opslag voor uw server.

Opmerking

Wanneer controle is geconfigureerd met behulp van een beheerde identiteit, kan het kopiëren van de database naar een nieuwe server of het maken van een geo-replica de auditlogboekregistratie verbreken. Dit komt doordat de nieuwe server een andere beheerde identiteit heeft, die mogelijk geen toegang heeft tot het auditopslagaccount. Zorg ervoor dat de identiteit van de nieuwe server de juiste machtigingen krijgt om de controlecontinuïteit te behouden.

Auditing in Azure Synapse Analytics

Voor informatie over beheerde identiteitsgebaseerde auditing in Azure Synapse Analytics, zie Auditing met beheerde identiteit.

Verwante inhoud

  • Laatst bijgewerkt om