Tabellreferens för granskningsloggsystem

Viktigt!

Den här systemtabellen finns i offentlig förhandsversion.

Den här artikeln beskriver schemat för granskningsloggtabellen och innehåller exempelfrågor som du kan använda med systemtabellen för granskningsloggar för att besvara vanliga frågor om kontoaktivitet. Information om granskningslogghändelser finns i Diagnostikloggreferens.

Tabellsökväg: Den här systemtabellen finns på system.access.audit.

Överväganden för granskningsloggar

  • De flesta granskningsloggar är endast tillgängliga i arbetsytans region.
  • Granskningsloggar på kontonivå registreras workspace_id som 0.
  • När du tar bort en arbetsyta tar Azure Databricks bort den arbetsytans revisionshändelser som är äldre än 14 dagar från system.access.audit.
  • __databricks_internal Om katalogen visas i granskningshändelser eller andra systemtabeller är det en reserverad katalog som Azure Databricks använder för att lagra internt tillstånd. Se Katalogen__databricks_internal.
  • Vid vissa händelser utelämnas nycklar som request_params innehåller SQL-definitioner om du inte är kontoadministratör eller medlem i databricks_pii_access gruppen. Se Access-maskade förfrågningsparametrar.

Tabellschema för granskningsloggsystem

Systemtabellen för granskningsloggar använder följande schema:

Kolumnnamn Datatyp beskrivning Exempel
account_id sträng ID för kontot 23e22ba4-87b9-4cc2-9770-d10b894bxx
workspace_id sträng ID för arbetsytan 1234567890123456
version sträng Schemaversion för granskningslogg 2.0
event_time tidsstämpel Tidsstämpel för händelsen. Tidszonsinformation registreras i slutet av värdet med +00:00 som representerar UTC-tidszon. 2023-01-01T01:01:01.123+00:00
event_date datum Kalenderdatum då åtgärden ägde rum. För att förbättra frågeprestandan filtrerar du på event_date i stället event_timeför . 2023-01-01
source_ip_address sträng IP-adress där begäran har sitt ursprung 10.30.0.242
user_agent sträng Upprättande av begäran Apache-HttpClient/4.5.13 (Java/1.8.0_345)
session_id sträng ID för sessionen där begäran kom från 123456789
user_identity Struktur Identitet för användaren som initierar begäran {"email": "user@domain.com",
"subjectName": null}
service_name sträng Tjänstnamn som initierar begäran unityCatalog
action_name sträng Kategori för händelsen som registrerats i granskningsloggen getTable
request_id sträng ID för begäran ServiceMain-4529754264
request_params karta Karta över nyckelvärden som innehåller alla parametrar för begäran. Det beror på vilken typ av förfrågan det är. Vid vissa händelser utelämnas nycklar som innehåller SQL-definitioner om du inte är kontoadministratör eller medlem i gruppen databricks_pii_access . Se Access-maskade förfrågningsparametrar. [["full_name_arg", "user.chat.messages"],
["workspace_id", "123456789"],
["metastore_id", "123456789"]]
response Struktur Struktur för svarsreturvärden {"statusCode": 200, "errorMessage": null,
"result": null}
audit_level sträng Händelse på arbetsyta eller kontonivå ACCOUNT_LEVEL
event_id sträng ID för händelsen 34ac703c772f3549dcc8671f654950f0
identity_metadata Struktur Identiteter som ingår i åtgärden, inklusive run_by och run_as. Se Identitetsmetadatareferens och Auditinggruppens dedikerade beräkningsaktivitet. {"run_by": "example@email.com",
"run_as": "example@email.com"}

metadatareferens för identitet

Struct identity_metadata har följande schema:

{
  "run_by": "string",
  "run_as": "string",
  "run_by_display_name": "string",
  "run_as_display_name": "string",
  "acting_resource": "string",
  "acting_resource_type": "string",
  "acting_resource_display_name": "string"
}

Strukturen fångar identiteterna som är inblandade i en handling:

  • run_by är identiteten som initierade händelsen och run_as är identiteten som används för auktorisation. run_by_display_name och run_as_display_name är deras människoläsbara visningsnamn.
  • acting_resource, acting_resource_type, och acting_resource_display_name fylls när en resurs agerar på uppdrag av en användare, såsom en OAuth-app. acting_resource är resursvägen, acting_resource_type är resurstypen och acting_resource_display_name är dess människoläsbara namn (för en OAuth-app, appens namn).

Vägen acting_resource har en av följande former:

  • accounts/<account_id>/published-app-client-ids/<client_id> när aktören är en publicerad OAuth-app, till exempel databricks-cli.
  • accounts/<account_id>/oauth2/custom-app-integrations/<client_id> när aktören är en kund-OAuth-app, där <client_id> är en UUID.

Åtkomst till maskerade begäranparameter.

Vissa revisionshändelser lagrar SQL-definitioner i request_params. Dessa nycklar utelämnas om du inte är kontoadministratör eller medlem i databricks_pii_access kontonivågruppen:

  • function_info
  • view_definition
  • definition_json
  • managed_definition

Andra nycklar i request_params och alla andra kolumner är oförändrade. Tillgång till omaskerade värden använder gruppen databricks_pii_access . För att skapa gruppen och hantera dess medlemskap och behörigheter, se Skapa och hantera databricks_pii_access gruppen.

  • Uppdaterades senast