Tabela de referência do sistema de registro de auditoria

Importante

Esta tabela do sistema está em Visualização Pública.

Este artigo descreve o esquema da tabela de logs de auditoria e inclui consultas de exemplo que você pode usar com a tabela do sistema de log de auditoria para responder a perguntas comuns sobre a atividade da conta. Para obter informações sobre os eventos do log de auditoria, consulte Referência do log de diagnóstico.

Caminho da tabela: Esta tabela do sistema está localizada em system.access.audit.

Considerações sobre o log de auditoria

  • A maioria dos logs de auditoria está disponível apenas na região da área de trabalho.
  • Os logs de auditoria no nível da conta registram workspace_id como 0.
  • Quando você exclui um workspace, o Azure Databricks remove os eventos de auditoria desse workspace que têm mais de 14 dias de system.access.audit.
  • Se o __databricks_internal catálogo aparecer em eventos de auditoria ou em outras tabelas do sistema, é um catálogo reservado que Azure Databricks usa para armazenar o estado interno. Consulte o __databricks_internal catálogo.
  • Para alguns eventos, chaves request_params que contêm definições SQL são omitidas, a menos que você seja administrador de conta ou membro do databricks_pii_access grupo. Veja parâmetros de solicitação mascarada Acessar.

Esquema da tabela do sistema de log de auditoria

A tabela do sistema de logs de auditoria usa o seguinte esquema:

Nome da coluna Tipo de dados Descrição Exemplo
account_id cadeia ID da conta 23e22ba4-87b9-4cc2-9770-d10b894bxx
workspace_id cadeia ID do workspace 1234567890123456
version cadeia Versão do esquema de log de auditoria 2.0
event_time carimbo de data/hora Carimbo de data/hora do evento. As informações de fuso horário são registradas no final do valor, com +00:00 representando o fuso horário UTC. 2023-01-01T01:01:01.123+00:00
event_date data Data do calendário em que a ação ocorreu. Para melhorar o desempenho da consulta, filtre em event_date vez de event_time. 2023-01-01
source_ip_address cadeia Endereço IP em que a solicitação foi originada 10.30.0.242
user_agent cadeia Origem da solicitação Apache-HttpClient/4.5.13 (Java/1.8.0_345)
session_id cadeia ID da sessão de onde a solicitação veio 123456789
user_identity struct Identidade do usuário que inicia a solicitação {"email": "user@domain.com",
"subjectName": null}
service_name cadeia Nome do serviço que está iniciando a solicitação unityCatalog
action_name cadeia Categoria do evento capturado no log de auditoria getTable
request_id cadeia ID da solicitação ServiceMain-4529754264
request_params mapa Mapa de valores chave que contêm todos os parâmetros de solicitação. Depende do tipo de solicitação. Para alguns eventos, chaves que contêm definições SQL são omitidas, a menos que você seja administrador de conta ou membro do databricks_pii_access grupo. Veja parâmetros de solicitação mascarada Acessar. [["full_name_arg", "user.chat.messages"],
["workspace_id", "123456789"],
["metastore_id", "123456789"]]
response struct Estrutura de valores de retorno da resposta {"statusCode": 200, "errorMessage": null,
"result": null}
audit_level cadeia Evento no nível da conta ou do workspace ACCOUNT_LEVEL
event_id cadeia ID do evento 34ac703c772f3549dcc8671f654950f0
identity_metadata struct Identidades envolvidas na ação, incluindo run_by e run_as. Veja a referência de metadados de identidade e a atividade de computação dedicada do grupo de auditoria. {"run_by": "example@email.com",
"run_as": "example@email.com"}

Referência de metadados de identidade

O identity_metadata struct tem o seguinte esquema:

{
  "run_by": "string",
  "run_as": "string",
  "run_by_display_name": "string",
  "run_as_display_name": "string",
  "acting_resource": "string",
  "acting_resource_type": "string",
  "acting_resource_display_name": "string"
}

A estrutura captura as identidades envolvidas em uma ação:

  • run_by é a identidade que iniciou o evento, e run_as é a identidade usada para autorização. run_by_display_name e run_as_display_name são seus nomes de exibição legíveis por humanos.
  • acting_resource, acting_resource_type, e acting_resource_display_name são povoadas quando um recurso atua em nome de um usuário, como um aplicativo OAuth. acting_resource é o caminho do recurso, acting_resource_type é o tipo de recurso, e acting_resource_display_name é seu nome legível por humanos (para um app OAuth, o nome do app).

O acting_resource caminho assume uma das seguintes formas:

  • accounts/<account_id>/published-app-client-ids/<client_id> quando o ator é um aplicativo OAuth publicado, por databricks-cliexemplo.
  • accounts/<account_id>/oauth2/custom-app-integrations/<client_id> quando o ator é um app OAuth de cliente, onde <client_id> é um UUID.

Parâmetros de solicitação mascarada de acesso

Alguns eventos de auditoria armazenam definições SQL em request_params. Essas chaves são omitidas, a menos que você seja administrador de conta ou membro do databricks_pii_access grupo em nível de conta:

  • function_info
  • view_definition
  • definition_json
  • managed_definition

As outras chaves de entrada request_params e todas as outras colunas permanecem inalteradas. O acesso a valores desmascarados utiliza o databricks_pii_access grupo. Para criar o grupo e gerenciar sua membresia e permissões, veja Criar e gerenciar o databricks_pii_access grupo.

  • Última atualização em