Аудит с помощью управляемого удостоверения

  • Статья

Применимо к:База данных SQL Azure Azure Synapse Analytics

Аудит для База данных SQL Azure можно настроить для использования учетной записи служба хранилища с двумя методами проверки подлинности:

  • Управляемое удостоверение
  • ключи доступа служба хранилища

Управляемое удостоверение может быть назначаемое системой управляемое удостоверение (SMI) или управляемое удостоверение, назначаемое пользователем (UMI).

Чтобы настроить запись журналов аудита в учетную запись хранения, перейдите в портал Azure и выберите ресурс логического сервера для База данных SQL Azure. Выберите служба хранилища в меню "Аудит". Выберите учетную запись хранения Azure, в которой будут сохранены журналы.

По умолчанию используется удостоверение основного пользователя, назначенное серверу. Если удостоверения пользователя отсутствуют, сервер создает управляемое удостоверение, назначаемое системой, и использует его для проверки подлинности.

Снимок экрана: меню аудита в портал Azure и выбор управляемого удостоверения в качестве типа проверки подлинности служба хранилища.

Выберите период хранения, открыв расширенные свойства. Затем выберите Сохранить. Журналы старше периода хранения удаляются.

Примечание.

Сведения о настройке аудита на основе управляемых удостоверений в Azure Synapse Analytics см . в разделе "Настройка назначаемого системой управляемого удостоверения для аудита Azure Synapse Analytics".

Управляемое удостоверение, назначаемое пользователем

UMI предоставляет пользователям гибкость для создания и поддержания собственного UMI для данного клиента. UMI можно использовать в качестве удостоверений сервера для Azure SQL. UMI управляется пользователем, по сравнению с управляемым удостоверением, назначаемым системой, которое уникально определяется на сервер и назначается системой.

Дополнительные сведения об UMI см. в разделе "Управляемые удостоверения" в идентификаторе Microsoft Entra для SQL Azure.

Настройка управляемого удостоверения, назначаемого пользователем, для аудита База данных SQL Azure

Перед настройкой аудита для отправки журналов в учетную запись хранения управляемое удостоверение, назначенное серверу, должно быть назначено служба хранилища назначение роли участника данных BLOB-объектов. Это назначение необходимо, если вы настраиваете аудит с помощью PowerShell, Azure CLI, REST API или шаблонов ARM. Назначение ролей выполняется автоматически при использовании портал Azure для настройки аудита, поэтому при настройке аудита через портал Azure необходимо выполнить следующие действия.

  1. Переход на портал Azure.

  2. Создайте управляемое удостоверение, назначаемое пользователем, если вы еще этого не сделали. Дополнительные сведения см. в статье о создании управляемого удостоверения, назначаемого пользователем.

  3. Перейдите в учетную запись хранения, которую вы хотите настроить для аудита.

  4. Выберите меню контроль доступа (IAM).

  5. Выберите Добавить>Добавить назначение ролей.

  6. На вкладке "Роль" найдите и выберите служба хранилища участник данных BLOB-объектов. Выберите Далее.

  7. На вкладке "Участники" выберите управляемое удостоверение в разделе "Назначение доступа к разделу", а затем выберите участников. Вы можете выбрать управляемое удостоверение, созданное для сервера.

  8. Выберите Проверить + назначить.

    Снимок экрана: назначение участника данных blob-объектов служба хранилища управляемому удостоверению в портал Azure.

Дополнительные сведения см. в статье "Назначение ролей Azure с помощью портала".

Используйте следующее, чтобы настроить аудит с помощью управляемого удостоверения, назначаемого пользователем:

  1. Перейдите в меню "Удостоверение " для сервера. В разделе "Назначаемое пользователем управляемое удостоверение" добавьте управляемое удостоверение.

  2. Затем можно выбрать добавленное управляемое удостоверение в качестве основного удостоверения сервера.

    Снимок экрана: меню

  3. Перейдите в меню "Аудит " для сервера. Выберите управляемое удостоверение в качестве типа проверки подлинности служба хранилища при настройке служба хранилища для сервера.

Настройка управляемого удостоверения, назначаемого системой для аудита Azure Synapse Analytics

Проверку подлинности на основе UMI нельзя использовать для учетной записи хранения для аудита. Для Azure Synapse Analytics можно использовать только назначаемое системой управляемое удостоверение (SMI). Для обеспечения работы проверки подлинности SMI управляемое удостоверение должно иметь роль участника данных больших двоичных объектов служба хранилища в контроль доступа учетной записи хранения. Эта роль автоматически добавляется, если портал Azure используется для настройки аудита.

В портал Azure Для Azure Synapse Analytics нет возможности явно выбрать ключ SAS или проверку подлинности SMI, как и для База данных SQL Azure.

  • Если учетная запись хранения находится за виртуальной сетью или брандмауэром, аудит автоматически настраивается с помощью проверки подлинности SMI.

  • Если учетная запись хранения не находится за виртуальной сетью или брандмауэром, аудит автоматически настраивается с помощью проверки подлинности на основе ключа SAS. Однако управляемое удостоверение нельзя использовать, если учетная запись хранения не стоит за виртуальной сетью или брандмауэром.

Чтобы принудительно использовать проверку подлинности SMI независимо от того, находится ли учетная запись хранения в виртуальной сети или брандмауэре, используйте REST API или PowerShell, как показано ниже.

Следующие шаги