Escrever registos de auditoria numa conta de armazenamento atrás de uma rede virtual e firewall no Azure Synapse Analytics

Dica

Microsoft Fabric Data Warehouse é um armazém relacional de escala empresarial baseado numa base de data lake, com uma arquitetura pronta para o futuro, IA incorporada e novas funcionalidades. Se és novo no data warehousing, começa pelo Fabric Data Warehouse. As cargas de trabalho existentes de pool SQL dedicado podem atualizar para o Fabric para acessar novas capacidades em ciência de dados, análise em tempo real e relatórios.

A auditoria do Azure Synapse Analytics suporta a escrita de eventos de base de dados para uma conta Armazenamento do Azure atrás de uma rede virtual ou firewall.

Importante

Quando uma conta de armazenamento está atrás de uma rede virtual ou firewall, deve usar autenticação de identidade gerida (função de Contribuidor de Dados do Blob de Armazenamento), em vez de chaves de acesso ao armazenamento. O portal Azure configura esta autenticação automaticamente quando guarda as suas definições de auditoria. Se configurar auditorias usando a API REST ou PowerShell, não especifique um storageAccountAccessKey. A identidade gerida do servidor autentica-se na conta de armazenamento em vez disso.

Background

Rede Virtual do Azure (VNet) é o bloco fundamental para a sua rede privada em Azure. A VNet permite que muitos tipos de recursos do Azure, como as Máquinas Virtuais (VM) do Azure, se comuniquem com segurança entre si, com a Internet e com redes locais. O VNet é semelhante a uma rede tradicional no seu próprio centro de dados, mas traz benefícios adicionais à infraestrutura Azure, como escala, disponibilidade e isolamento.

Para saber mais sobre os conceitos de VNet, melhores práticas e muito mais, consulte O que é o Rede Virtual do Azure.

Para saber mais sobre como criar uma rede virtual, consulte Guia de início rápido: criar uma rede virtual usando o portal do Azure.

Prerequisites

  • Use uma conta de armazenamento v2 de uso geral ou uma conta premium BlockBlobStorage. Para atualizar uma conta mais antiga, consulte Atualizar para uma conta de armazenamento v2 de uso geral.
  • É suportado armazenamento premium com BlockBlobStorage.
  • Coloque a conta de armazenamento no mesmo tenant e região do servidor SQL Synapse.
  • Na página de rede da conta de armazenamento, ative Permitir serviços Azure na lista de serviços confiáveis para aceder a esta conta de armazenamento.
  • Conceda à identidade gerida atribuída pelo sistema ao servidor o papel Storage Blob Data Contributor na conta de armazenamento. Precisas de permissão Microsoft.Authorization/roleAssignments/write para criar a atribuição de funções.

Se ativaste a auditoria antes de a conta de armazenamento estar atrás de um firewall, guarda novamente as definições de auditoria para que os registos de auditoria possam retomar a escrita na conta.

Configurar auditoria no portal do Azure

  1. No portal Azure, abra o servidor SQL Synapse ou o recurso do pool SQL.

  2. Na secção de Segurança, selecione Auditoria e depois ative a auditoria.

  3. Selecione Armazenamento e escolha a conta de armazenamento que cumpra os pré-requisitos.

  4. Abra os detalhes do Armazenamento e verifique se o portal indica que a autenticação de identidade gerida é utilizada.

    Note

    Se a conta de armazenamento selecionada estiver atrás de uma rede virtual, verá a seguinte mensagem:

    You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

    Se não vir esta mensagem, a conta de armazenamento não está atrás de uma rede virtual.

  5. Selecione um período de retenção e depois guarde as definições de auditoria.

Ao guardar as definições, o portal concede à identidade atribuída pelo sistema a função de armazenamento necessária se tiver permissão para criar atribuições de funções.

Configurar a auditoria programaticamente

Quando configurares auditorias através do PowerShell ou da API REST, não forneças uma chave de acesso à conta de armazenamento. Omitir a chave faz com que a política de auditoria utilize a identidade gerida atribuída ao sistema do servidor.

Para detalhes sobre o comportamento de identidade, consulte Auditoria usando identidade gerida no Azure Synapse Analytics.

Conteúdo relacionado

  • Última atualização a