Auditoria usando a identidade gerenciada

Aplica-se a:Banco de Dados SQL do Azure

A auditoria para o Banco de Dados SQL do Azure pode ser configurada para usar uma conta de armazenamento com dois métodos de autenticação:

Identidade Gerenciada
Chaves de acesso ao armazenamento

A Identidade Gerenciada pode ser SMI (identidade gerenciada atribuída pelo sistema) ou UMI (identidade gerenciada atribuída pelo usuário).

Para configurar a gravação de logs de auditoria em uma conta de armazenamento, acesse o portal do Azure e selecione o recurso de servidor lógico para o Banco de Dados SQL do Azure. Selecione Armazenamento no menu Auditoria. Selecione a conta de armazenamento do Azure onde os logs serão salvos.

Por padrão, a identidade usada é a identidade do usuário primário atribuída ao servidor. Se não houver nenhuma identidade de usuário, o servidor criará uma identidade gerenciada atribuída pelo sistema e a usará para autenticação.

Selecione o período de retenção abrindo as propriedades Avançadas. Em seguida, selecione Salvar. Os logs anteriores ao período de retenção são excluídos.

Identidade gerenciada atribuída pelo usuário

A UMI oferece aos usuários flexibilidade para criar e manter a própria UMI para um determinado tenant. A UMI pode ser usada como identidade de servidor para o SQL do Azure. A UMI é gerenciada pelo usuário, em comparação com uma identidade gerenciada atribuída pelo sistema, cuja identidade é definida exclusivamente para cada servidor e atribuída pelo sistema.

Para obter mais informações sobre UMI, consulte Identidades gerenciadas no Microsoft Entra para SQL do Azure.

Configurar a identidade gerenciada atribuída pelo usuário para auditoria do banco de dados SQL do Azure

Antes que a auditoria possa ser configurada para enviar logs para sua conta de armazenamento, a identidade gerenciada atribuída ao servidor precisa ter a atribuição de função Colaborador de Dados do Blob de Armazenamento . Essa atribuição será necessária se você estiver configurando a auditoria usando o PowerShell, a CLI do Azure, a API REST ou os modelos do ARM. A atribuição de função é feita automaticamente ao usar o portal do Azure para configurar a Auditoria, portanto, as etapas a seguir serão desnecessárias se você estiver configurando a Auditoria por meio do portal do Azure.

Acesse o portal do Azure.
Crie uma identidade gerenciada atribuída pelo usuário, se ainda não tiver uma. Para obter mais informações, confira criar uma identidade gerenciada atribuída pelo usuário.
Acesse sua conta de armazenamento que você deseja configurar para auditoria.
Selecione o menu Controle de Acesso (IAM).
Selecione Adicionar>Adicionar atribuição de função.
Na guia Função, procure e selecione Storage Blob Data Contributor. Selecione Avançar.
Na guia Membros, selecione Identidade gerenciada na seção Atribuir acesso a e Selecionar membros. Você pode selecionar a Identidade gerenciada que foi criada para o servidor.
Selecione Revisar + atribuir.

Para obter mais informações, confira Atribuir funções do Azure usando o portal.

Use o seguinte para configurar a auditoria usando a identidade gerenciada atribuída pelo usuário:

Vá para o menu Identity do servidor. Na seção Identidade gerenciada atribuída pelo usuário, Adicione a identidade gerenciada.
Em seguida, você pode selecionar a identidade gerenciada adicionada como a Identidade primária do seu servidor.
Acesse o menu Auditoria do servidor. Selecione Identidade Gerenciada como o Tipo de Autenticação de Armazenamento ao configurar o Armazenamento para seu servidor.

Para usar uma identidade gerenciada, passe o parâmetro --storage-key como uma cadeia de caracteres vazia para usar a identidade gerenciada primária atribuída ao servidor ao configurar a auditoria. Veja um exemplo de comando:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Para obter mais informações, confira az sql server audit-policy.

Para usar uma identidade gerenciada, passe o parâmetro UseIdentity como True para usar a identidade gerenciada primária atribuída ao servidor. Veja um exemplo de comando:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Para obter mais informações, confira Set-AzSqlServerAudit.

Para usar a identidade gerenciada primária, ignore a passagem do parâmetro storageAccountAccessKey na solicitação:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Para obter mais informações, confira Configurações de auditoria de servidor – Criar ou atualizar.

Observação

Quando a auditoria é configurada usando uma identidade gerenciada, copiar o banco de dados para um novo servidor ou criar uma réplica geográfica pode interromper o log de auditoria. Isso ocorre porque o novo servidor tem uma identidade gerenciada diferente, que pode não ter acesso à conta de armazenamento de auditoria. Verifique se a identidade do novo servidor recebe as permissões apropriadas para manter a continuidade da auditoria.

Auditoria no Azure Synapse Analytics

Para informações sobre auditoria baseada em identidade gerenciada no Azure Synapse Analytics, veja Auditoria usando identidade gerenciada.

Comentários

Esta página foi útil?

Última atualização em 2026-10-08