Granskning med hanterad identitet

Granskning för Azure SQL Database kan konfigureras för att använda ett Storage-konto med två autentiseringsmetoder:

Hanterad identitet
Åtkomstnycklar för lagring

Hanterad identitet kan vara en systemtilldelad hanterad identitet (SMI) eller användartilldelad hanterad identitet (UMI).

Om du vill konfigurera att skriva granskningsloggar till ett lagringskonto går du till Azure-portalenoch väljer din logiska serverresurs för Azure SQL Database. Välj Lagring på menyn Granskning. Välj det Azure Storage-konto där loggar ska sparas.

Som standard är den identitet som används den primära användaridentitet som tilldelats servern. Om det inte finns någon användaridentitet skapar servern en systemtilldelad hanterad identitet och använder den för autentisering.

Välj kvarhållningsperioden genom att öppna Avancerade egenskaper. Välj sedan Spara. Loggar som är äldre än kvarhållningsperioden tas bort.

Användartilldelad hanterad identitet

UMI ger användarna flexibilitet att skapa och underhålla sin egen UMI för en viss klientorganisation. UMI kan användas som serveridentiteter för Azure SQL. UMI hanteras av användaren, till skillnad från en systemtilldelad hanterad identitet, vars identitet definieras unikt per server och tilldelas av systemet.

Mer information om UMI finns i Hanterade identiteter i Microsoft Entra för Azure SQL.

Konfigurera användartilldelad hanterad identitet för Azure SQL Database-granskning

Innan granskning kan konfigureras för att skicka loggar till ditt lagringskonto måste den hanterade identitet som tilldelats servern ha Storage Blob Data Contributor rolltilldelning. Den här tilldelningen krävs om du konfigurerar granskning med hjälp av PowerShell, Azure CLI, REST API eller ARM-mallar. Rolltilldelning görs automatiskt när du använder Azure-portalen för att konfigurera granskning, så följande steg är onödiga om du konfigurerar granskning via Azure-portalen.

Gå till Azure-portalen.
Skapa en användartilldelad hanterad identitet om du inte redan har gjort det. Mer information finns i skapa användartilldelad hanterad identitet.
Gå till ditt lagringskonto som du vill konfigurera för granskning.
Välj åtkomstkontrollmenyn (IAM).
Välj Lägg till>Lägg till rolltilldelning.
På fliken Roll söker du efter och väljer Storage Blob Data Contributor. Välj Nästa.
På fliken Medlemmar väljer du Hanterad identitet i avsnittet Tilldela åtkomst till och Välj sedan medlemmar. Du kan välja den hanterade identiteten som skapades för din server.
Välj Granska + tilldela.

Mer information finns i Tilldela Azure-roller med hjälp av portalen.

Använd följande för att konfigurera granskning med hjälp av användartilldelad hanterad identitet:

Gå till menyn Identity för din server. Under avsnittet Användartilldelad hanterad identitet, lägg till den hanterade identiteten.
Du kan sedan välja den tillagda hanterade identiteten som den primära identiteten för servern.
Gå till menyn Granskning för servern. Välj hanterad identitet som autentiseringstyp för lagring när du konfigurerar lagring för din server.

För att kunna använda en hanterad identitet skickar du parametern --storage-key som en tom sträng för att använda den primära hanterade identiteten som tilldelats servern när du konfigurerar granskning. Här är ett exempelkommando:

az SQL server audit-policy update -g "sampleresourcegroup" -n "sampleauditingtestserver" --state Enabled --bsts Enabled --storage-endpoint https://<storageaccountname>.blob.core.windows.net --storage-key '""'

Mer information finns i az sql server audit-policy.

För att kunna använda en hanterad identitet skickar du parametern UseIdentity som True för att använda den primära hanterade identiteten som tilldelats servern. Här är ett exempelkommando:

Set-AzSqlServerAudit -ResourceGroupName "sampleresourcegroup" -ServerName "sampleauditingtestserver" -BlobStorageTargetState Enabled -StorageAccountResourceId "/subscriptions/<SubscriptionID>/resourcegroups/sampleresourcegroup/providers/Microsoft.Storage/storageAccounts/auditingteststorageacc" -UseIdentity True

Mer information finns i Set-AzSqlServerAudit.

Om du vill använda den primära hanterade identiteten hoppar du över att skicka parametern storageAccountAccessKey i begäran:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2017-03-01-preview

{
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

Mer information finns i Inställningar för servergranskning – Skapa eller uppdatera.

Not

När granskning konfigureras med hjälp av en hanterad identitet kan kopiering av databasen till en ny server eller skapandet av en geo-replik bryta granskningsloggningen. Det beror på att den nya servern har en annan hanterad identitet, som kanske inte har åtkomst till granskningslagringskontot. Se till att den nya serverns identitet beviljas lämpliga behörigheter för att upprätthålla granskningskontinuiteten.

Auditing in Azure Synapse Analytics

För information om managed identity-baserad granskning i Azure Synapse Analytics, se Auditing using managed identity.

Feedback

Var den här sidan till hjälp?

Uppdaterades senast 2026-10-08