Escreva logs de auditoria em uma conta de armazenamento atrás de uma rede virtual e firewall no Azure Synapse Analytics

Dica

Microsoft Fabric Data Warehouse é um armazém relacional de escala empresarial com base de data lake, arquitetura pronta para o futuro, IA integrada e novos recursos. Se você não estiver familiarizado com o data warehouse, comece com Fabric Data Warehouse. As cargas de trabalho existentes de pools de SQL dedicados podem ser atualizadas para Fabric para acessar novos recursos em ciência de dados, análise em tempo real e relatórios.

A auditoria do Azure Synapse Analytics suporta a gravação de eventos do banco de dados em uma conta do Armazenamento do Azure atrás de uma rede virtual ou firewall.

Important

Quando uma conta de armazenamento está protegida por uma rede virtual ou firewall, você deve usar a autenticação de identidade gerenciada (função Colaborador de Dados do Blob de Armazenamento), e não chaves de acesso de armazenamento. O portal do Azure configura essa autenticação automaticamente quando você salva suas configurações de auditoria. Se você configurar auditoria usando API REST ou PowerShell, não especifique um storageAccountAccessKey. A identidade gerenciada do servidor se autentica na conta de armazenamento em vez disso.

Contexto

A Rede Virtual do Azure (VNet) é o bloco de construção fundamental de sua rede privada no Azure. A VNet permite que muitos tipos de recursos de Azure, como Máquinas Virtuais do Azure (VM), se comuniquem com segurança entre si, com a Internet e com as redes locais. O VNet é semelhante a uma rede tradicional no seu próprio data center, mas traz benefícios adicionais da infraestrutura Azure, como escala, disponibilidade e isolamento.

Para saber mais sobre os conceitos de VNet, melhores práticas e muito mais, veja O que é Rede Virtual do Azure.

Para saber mais sobre como criar uma rede virtual, veja o Guia de Início Rápido: Criação de uma rede virtual usando o portal do Azure.

Prerequisites

  • Use uma conta de armazenamento v2 de uso geral ou uma conta premium do BlockBlobStorage. Para atualizar uma conta antiga, veja Fazer upgrade para uma conta de armazenamento de uso geral v2.
  • Armazenamento premium com BlockBlobStorage é suportado.
  • Coloque a conta de armazenamento no mesmo tenant e região do servidor SQL Synapse.
  • Na página de rede da conta de armazenamento, ative o Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa conta de armazenamento.
  • Conceda à identidade gerenciada atribuída ao sistema do servidor o papel Storage Blob Data Contributor na conta de armazenamento. Você precisa de permissão Microsoft.Authorization/roleAssignments/write para criar a atribuição de função.

Se você ativou a auditoria antes da conta de armazenamento estar atrás de um firewall, salve as configurações de auditoria novamente para que os logs de auditoria possam retomar a gravação na conta.

Configurar a auditoria no portal do Azure

  1. No portal do Azure, abra o servidor SQL Synapse ou o recurso do pool SQL.

  2. Em Segurança, selecione Auditoria e então ative a auditoria.

  3. Selecione Armazenamento e escolha a conta de armazenamento que atenda aos pré-requisitos.

  4. Abra os detalhes do Armazenamento e verifique se o portal indica que a autenticação gerenciada de identidade é utilizada.

    Note

    Se a conta de armazenamento selecionada estiver atrás de uma rede virtual, você verá a seguinte mensagem:

    You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

    Se você não vir essa mensagem, a conta de armazenamento não está atrás de uma rede virtual.

  5. Selecione um período de retenção e depois salve as configurações de auditoria.

Quando você salva as configurações, o portal concede à identidade atribuída ao sistema o papel de armazenamento necessário se você tiver permissão para criar atribuições de funções.

Configurar a auditoria programaticamente

Quando você configurar auditorias pelo PowerShell ou pela API REST, não forneça uma chave de acesso à conta de armazenamento. Omitir a chave faz com que a política de auditoria use a identidade gerenciada atribuída ao sistema do servidor.

Para detalhes sobre o comportamento de identidade, veja Auditoria usando identidade gerenciada no Azure Synapse Analytics.

Conteúdo relacionado

  • Última atualização em