Auditoria usando identidade gerenciada no Azure Synapse Analytics

Configure a auditoria para usar uma conta de armazenamento com dois métodos de autenticação:

• Identidade Gerenciada
• Chaves de acesso ao armazenamento

A Identidade Gerenciada pode ser SMI (identidade gerenciada atribuída pelo sistema) ou UMI (identidade gerenciada atribuída pelo usuário).

Para configurar a gravação de logs de auditoria em uma conta de armazenamento, acesse o portal do Azure e selecione seu servidor. Selecione Armazenamento no menu Auditoria. Selecione a conta de armazenamento do Azure onde os logs são salvos.

Por padrão, a identidade usada é a identidade do usuário primário atribuída ao servidor. Se não houver nenhuma identidade de usuário, o servidor criará uma identidade gerenciada atribuída pelo sistema e a usará para autenticação.

Selecione o período de retenção abrindo as propriedades Avançadas. Em seguida, selecione Salvar. Os logs anteriores ao período de retenção são excluídos.

Identidade gerenciada atribuída pelo usuário

A UMI oferece flexibilidade para criar e manter sua própria UMI para um determinado locatário. Você gerencia o UMI, em comparação com uma identidade gerenciada atribuída pelo sistema, cuja identidade é definida de forma única por servidor e atribuída pelo sistema.

Configurar a identidade gerenciada atribuída pelo usuário para auditoria

Antes de configurar uma auditoria para enviar logs para sua conta de armazenamento, a identidade gerenciada atribuída ao servidor precisa da atribuição de função Storage Blob Data Contributor . Essa atribuição é necessária se você estiver configurando auditoria usando PowerShell, a interface do CLI do Azure, a API REST ou templates ARM. O portal do Azure atribui automaticamente a função quando você configura a auditoria pelo portal, então você não precisa seguir esses passos se estiver usando o portal.

1. Vá para o portal do Azure.
2. Crie uma identidade gerenciada atribuída pelo usuário, caso ainda não tenha uma. Para mais informações, veja como criar uma identidade atribuída pelo usuário.
3. Acesse sua conta de armazenamento que você deseja configurar para auditoria.
4. Selecione o menu Controle de Acesso (IAM).
5. Selecione Adicionar>Adicionar atribuição de função.
6. Na aba Função, pesquise e selecione Colaborador de Dados de Blob de Armazenamento. Selecione Avançar.
7. Na guia Membros, selecione Identidade gerenciada na seção Atribuir acesso a e Selecionar membros. Você pode selecionar a identidade gerenciada que criou para o seu servidor.
8. Selecione Examinar + atribuir.

Para obter mais informações, confira Atribuir funções do Azure usando o portal.

Use as instruções a seguir para configurar a auditoria usando uma identidade gerenciada atribuída pelo usuário.

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Configurar a identidade gerenciada atribuída pelo sistema para auditorias do Azure Synapse Analytics

Você não pode usar autenticação baseada em UMI com uma conta de armazenamento para auditoria. Só é possível usar a SMI (identidade gerenciada atribuída pelo sistema) para o Azure Synapse Analytics. Para que a autenticação SMI funcione, a identidade gerenciada deve ter a função Storage Blob Data Contributor atribuída a ela nas configurações de Controle de Acesso da conta de armazenamento. Essa função é adicionada automaticamente se você usar o portal do Azure para configurar a auditoria.

No portal Azure para Azure Synapse Analytics, não há opção de escolher explicitamente a chave SAS ou a autenticação SMI.

• Se a conta de armazenamento estiver atrás de um VNet ou firewall, o sistema configura automaticamente a auditoria usando autenticação SMI.

• Se a conta de armazenamento não estiver atrás de um VNet ou firewall, o sistema configura automaticamente a auditoria usando autenticação baseada em chave SAS. No entanto, você não pode usar identidade gerenciada se a conta de armazenamento não estiver atrás de um VNet ou firewall.

Para forçar o uso da autenticação baseada em SMI, independentemente de a conta de armazenamento estar ou não protegida por uma VNet ou um firewall, use a API REST ou o PowerShell da seguinte maneira:

• Se você estiver usando a API REST, omita explicitamente o StorageAccountAccessKey campo no corpo da solicitação.

  Para obter mais informações, consulte:

  • Políticas de auditoria de blobs do servidor – Criar ou atualizar – API REST (Banco de Dados SQL do Azure)
  • Políticas de Auditoria de Blob de Banco de Dados - Criar ou Atualizar - API REST (Banco de Dados SQL do Azure)

• Se você estiver usando o PowerShell, passe o UseIdentity parâmetro como true.

  Para obter mais informações, consulte:

  • Set-AzSqlServerAudit (Az.Sql)
  • Set-AzSqlDatabaseAudit (Az.Sql)

Conteúdo relacionado

• Auditoria no Azure Synapse Analytics
• Escreva logs de auditoria em uma conta de armazenamento atrás de uma rede virtual e firewall
• Configurar a auditoria para o Azure Synapse Analytics