Audytowanie przy użyciu tożsamości zarządzanej

Dotyczy:Azure SQL Database

Inspekcję dla usługi Azure SQL Database można skonfigurować do używania konta magazynu z dwiema metodami uwierzytelniania:

• Tożsamość zarządzana
• Klucze dostępu do pamięci masowej

Tożsamość zarządzana może być tożsamością zarządzaną przypisaną przez system (SMI) lub tożsamością zarządzaną przypisaną przez użytkownika (UMI).

Aby skonfigurować zapisywanie dzienników inspekcji na koncie magazynu, przejdź do witryny Azure Portal i wybierz zasób serwera logicznego dla usługi Azure SQL Database. Wybierz pozycję Pamięć w menu Inspekcja. Wybierz konto usługi Azure Storage, na którym zostaną zapisane dzienniki.

Domyślnie używana tożsamość jest podstawową tożsamością użytkownika przypisaną do serwera. Jeśli nie ma tożsamości użytkownika, serwer tworzy tożsamość zarządzaną przypisaną przez system i używa jej do uwierzytelniania.

Wybierz okres przechowywania, otwierając Właściwości zaawansowane. Następnie wybierz opcję Zapisz. Dzienniki starsze niż okres przechowywania są usuwane.

Tożsamość zarządzana przypisana przez użytkownika

Funkcja UMI zapewnia użytkownikom elastyczność tworzenia i utrzymywania własnego UMI dla danego dzierżawcy. UMI może służyć jako tożsamość serwera dla usługi Azure SQL. UMI jest przypisywana przez użytkownika, w porównaniu z tożsamością zarządzaną przypisaną przez system, która jest unikatowo definiowana dla każdego serwera i przypisywana przez system.

Aby uzyskać więcej informacji na temat UMI, zobacz Tożsamości zarządzane w usłudze Microsoft Entra dla Azure SQL.

Konfigurowanie tożsamości zarządzanej przypisanej przez użytkownika na potrzeby inspekcji usługi Azure SQL Database

Aby można było skonfigurować inspekcję w celu wysyłania dzienników do konta magazynu, tożsamość zarządzana przypisana do serwera musi mieć przypisaną rolę Storage Blob Data Contributor. To przypisanie jest wymagane, jeśli konfigurujesz inspekcję przy użyciu programu PowerShell, interfejsu wiersza polecenia platformy Azure, interfejsu API REST lub szablonów usługi ARM. Przypisanie roli odbywa się automatycznie podczas konfigurowania inspekcji w witrynie Azure Portal, dlatego poniższe kroki są niepotrzebne, jeśli konfigurujesz inspekcję za pośrednictwem witryny Azure Portal.

1. Przejdź do portalu Azure Portal.

2. Utwórz tożsamość zarządzaną przypisaną przez użytkownika, jeśli jeszcze tego nie zrobiłeś lub nie zrobiłaś. Aby uzyskać więcej informacji, zobacz tworzenie tożsamości zarządzanej przypisanej przez użytkownika.

3. Przejdź do konta magazynu danych, które chcesz skonfigurować na potrzeby audytu.

4. Wybierz menu Kontrola dostępu (IAM).

5. Wybierz pozycję Dodaj>Dodaj przypisanie roli.

6. Na karcie Rola wyszukaj i wybierz pozycję Współautor danych obiektów blob usługi Storage. Wybierz Dalej.

7. Na karcie Członkowie wybierz pozycję Tożsamość zarządzana w sekcji Przypisz dostęp do, a następnie pozycję Wybierz członków. Możesz wybrać Tożsamość zarządzana, która została utworzona dla Twojego serwera.

8. Wybierz Przejrzyj + przypisz.

   

Aby uzyskać więcej informacji, zobacz Przypisywanie ról platformy Azure przy użyciu portalu.

Aby skonfigurować audyt przy użyciu tożsamości zarządzanej przypisanej przez użytkownika, wykonaj następujące czynności:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Auditing in Azure Synapse Analytics

Aby uzyskać informacje o audytach opartych na zarządzanej tożsamości w Azure Synapse Analytics, zobacz Audyt z wykorzystaniem zarządzanej tożsamości.

Treści powiązane

• Inspekcja usługi Azure SQL Database
• Co nowego w inspekcji usługi Azure SQL
• Rozpocznij pracę z audytem usługi Azure SQL Managed Instance
• Audyt dla SQL Server