Skriv auditloggar till ett lagringskonto bakom ett virtuellt nätverk och brandvägg i Azure Synapse Analytics

Azure Synapse Analytics auditing stödjer att skriva databashändelser till ett Azure Storage-konto bakom ett virtuellt nätverk eller brandvägg.

Bakgrund

Azure Virtual Network (VNet) är den grundläggande byggstenen för ditt privata nätverk i Azure. Med VNet kan många typer av Azure-resurser, till exempel Virtuella Azure-datorer (VM), kommunicera säkert med varandra, Internet och lokala nätverk. VNet liknar ett traditionellt nätverk i ditt eget datacenter, men det ger ytterligare fördelar med Azure-infrastruktur såsom skalbarhet, tillgänglighet och isolering.

För att lära dig mer om VNet-koncepten, bästa praxis och mer, se Vad är Azure Virtual Network.

Mer information om hur du skapar ett virtuellt nätverk finns i Snabbstart: Skapa ett virtuellt nätverk med Hjälp av Azure-portalen.

Prerequisites

• Använd ett generellt v2-lagringskonto eller ett premium BlockBlobStorage-konto. För att uppdatera ett äldre konto, se Uppgradera till ett lagringskonto för generell användning v2.
• Premiumlagring med BlockBlobStorage stöds.
• Placera lagringskontot i samma tenant och region som Synapse SQL-servern.
• På nätverkssidan för lagringskontot, aktivera Tillåt Azure-tjänster på listan över betrodda tjänster för att komma åt detta lagringskonto.
• Tilldela serverns systemtilldelade hanterade identitet rollen Storage Blob Data Contributor på lagringskontot. Du behöver Microsoft.Authorization/roleAssignments/write behörighet för att skapa en rolltilldelning.

Om du aktiverade granskning innan lagringskontot låg bakom en brandvägg, spara granskningsinställningarna igen så att granskningsloggarna kan fortsätta skriva till kontot.

Konfigurera granskning i Azure-portalen

1. I Azure-portalen, öppna Synapse SQL server eller SQL-poolresursen.

2. Under Säkerhet, välj Granskning och aktivera sedan granskning.

3. Välj Storage och välj det lagringskonto som uppfyller förutsättningarna.

4. Öppna lagringsdetaljer och kontrollera att portalen anger att hanterad identitetsautentisering används.

   Note

   Om det valda lagringskontot ligger bakom ett virtuellt nätverk ser du följande meddelande:

   You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

   Om du inte ser detta meddelande är lagringskontot inte bakom ett virtuellt nätverk.

5. Välj en bevarandeperiod och spara sedan granskningsinställningarna.

När du sparar inställningarna ger portalen den system-tilldelade identiteten den nödvändiga lagringsrollen om du har behörighet att skapa rolltilldelningar.

Konfigurera granskningsloggning programmässigt

När du konfigurerar granskning via PowerShell eller REST API, tillhandahåll inte en åtkomstnyckel till lagringskontot. Att utelämna nyckeln gör att revisionspolicyn använder serverns systemtilldelade hanterade identitet.

• PowerShell: Set-AzSqlServerAudit och Set-AzSqlDatabaseAudit
• REST API: Servergranskningsinställningar - Skapa eller uppdatera och Databasgranskningsinställningar - Skapa eller uppdatera
• Azure Resource Manager: Microsoft.Synapse workspaces/sqlPools/auditingSettings

För detaljer om identitetsbeteende, se Auditing using managed identity i Azure Synapse Analytics.

Relaterat innehåll

• Konfigurera granskning för Azure Synapse Analytics
• Granskning med hanterad identitet i Azure Synapse Analytics
• Tilldela Azure-roller med hjälp av Azure-portalen