Запись результатов аудита в учетную запись хранения за брандмауэром или виртуальной сетью

Область применения: База данных SQL AzureAzure Synapse Analytics

Аудит для Базы данных SQL Azure и Azure Synapse Analytics поддерживает запись событий базы данных в учетную запись хранения Azure, расположенную за виртуальной сетью и брандмауэром.

В этой статье описаны два способа настройки Базы данных SQL Azure и учетной записи хранения Azure для использования этой возможности. Первый способ выполняется на портале Azure, а второй через интерфейсы REST.

Общие сведения

Виртуальная сеть Azure — это стандартный строительный блок для частной сети в Azure. Виртуальная сеть позволяет ресурсам Azure различных типов (например, виртуальным машинам Azure) обмениваться данными друг с другом через локальные сети и через Интернет. Виртуальная сеть похожа на традиционную сеть в вашем центре обработки данных, которая предлагает такие дополнительные преимущества, связанные с использованием инфраструктуры Azure, как возможность масштабирования, обеспечение доступности и изоляция.

Дополнительные сведения о концепциях, рекомендациях и других аспектах виртуальных сетей Azure см. в статье Что такое виртуальная сеть Azure?

Дополнительные сведения о создании виртуальной сети см. в статье Создание виртуальной сети с помощью портала Azure.

Предварительные требования

Чтобы записывать результаты аудита в учетную запись хранения за виртуальной сетью или брандмауэром, требуется следующее:

Настройка на портале Azure

Войдите на портал Azure со своей подпиской. Перейдите к группе ресурсов и серверу.

1. Выберите "Аудит" в заголовке "Безопасность". Выберите Вкл.

2. Выберите Хранилище. Выберите учетную запись хранения, в которой сохраняются журналы. Учетная запись хранения должна соответствовать предварительным требованиям.

3. Откройте раздел Сведения о хранилище.

   Примечание.

   Если выбранная учетная запись хранения находится за виртуальной сетью, появится следующее сообщение:

   You have selected a storage account that is behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

   Если вы не видите это сообщение, значит, учетная запись хранилища не подключена к виртуальной сети.

4. Выберите количество дней для периода хранения. Затем нажмите кнопку "ОК". Журналы старше периода хранения удаляются.

5. Выберите Сохранить в параметрах аудита.

Вы успешно настроили аудит для записи в аккаунт хранилища через виртуальную сеть или брандмауэр.

Настройка с помощью команд REST

Вместо портала Azure можно использовать команды REST, чтобы настроить аудит для записи событий базы данных в учетную запись хранения за виртуальной сетью и брандмауэром.

Перед запуском примеров скриптов, приведенных в этом разделе, их необходимо изменить. Замените в сценарии следующие значения.

Чтобы настроить аудит SQL для записи событий в учетную запись хранения за виртуальной сетью или брандмауэром, сделайте следующее:

1. Зарегистрируйте сервер с помощью идентификатора Microsoft Entra (ранее — Azure Active Directory). Это можно сделать с помощью команд PowerShell или REST API.

   PowerShell

   Connect-AzAccount
   Select-AzSubscription -SubscriptionId <subscriptionId>
   Set-AzSqlServer -ResourceGroupName <your resource group> -ServerName <azure server name> -AssignIdentity
   

   REST API:

   Образец запроса

   PUT https://management.azure.com/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Sql/servers/<azure server name>?api-version=2015-05-01-preview
   

   Текст запроса

   {
   "identity": {
              "type": "SystemAssigned",
              },
   "properties": {
     "fullyQualifiedDomainName": "<azure server name>.database.windows.net",
     "administratorLogin": "<administrator login>",
     "administratorLoginPassword": "<complex password>",
     "version": "12.0",
     "state": "Ready"
     }
   }
   

2. Назначьте серверу, на котором размещена база данных, зарегистрированная в Microsoft Entra ID на предыдущем шаге, роль "Участник данных хранилища Blob".

   Подробные инструкции см. в статье Назначение ролей Azure с помощью портала Microsoft Azure.

   Примечание.

   Этот шаг могут выполнять только участники с правами владельца. Сведения о различных встроенных ролях Azure см. в этом руководстве.

3. Настройте политику аудита больших двоичных объектов сервера без указания storageAccountAccessKey:

   Образец запроса

     PUT https://management.azure.com/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Sql/servers/<azure server name>/auditingSettings/default?api-version=2017-03-01-preview
   

   Текст запроса

   {
     "properties": {
      "state": "Enabled",
      "storageEndpoint": "https://<storage account>.blob.core.windows.net"
     }
   }
   

Использование Azure PowerShell

• Создание или обновление политики аудита базы данных (Set-AzSqlDatabaseAudit)
• Создание или обновление политики аудита сервера (Set-AzSqlServerAudit)

Использование шаблона Azure Resource Manager

Вы можете настроить аудит для записи событий базы данных в учетной записи хранения за пределами виртуальной сети и брандмауэра с помощью шаблона Azure Resource Manager, как показано в следующем примере:

• Развертывание сервера SQL Azure с поддержкой аудита, чтобы записывать журналы аудита в хранилище больших двоичных объектов

Связанный контент

• PowerShell: создание конечной точки виртуальной службы и правила виртуальной сети для базы данных SQL Azure
• Правила виртуальной сети: операции с REST API
• Использование конечных точек службы и правил виртуальной сети для серверов в Базе данных SQL Azure