Skriva granskning till ett lagringskonto bakom VNet och brandväggen

gäller för:Azure SQL DatabaseAzure Synapse Analytics

Granskning för Azure SQL Database och Azure Synapse Analytics stöder skrivning av databashändelser till ett Azure Storage-konto bakom ett virtuellt nätverk och en brandvägg.

I den här artikeln beskrivs två sätt att konfigurera Azure SQL Database och Azure Storage-kontot för det här alternativet. Den första använder Azure-portalen, den andra använder REST.

Bakgrund

Azure Virtual Network (VNet) är den grundläggande byggstenen för ditt privata nätverk i Azure. Med VNet kan många typer av Azure-resurser, till exempel Virtuella Azure-datorer (VM), kommunicera säkert med varandra, Internet och lokala nätverk. VNet liknar ett traditionellt nätverk i ditt eget datacenter, men medför ytterligare fördelar med Azure-infrastruktur som skalning, tillgänglighet och isolering.

Mer information om VNet-begrepp, metodtips och mycket mer finns i Vad är Azure Virtual Network?

Mer information om hur du skapar ett virtuellt nätverk finns i Snabbstart: Skapa ett virtuellt nätverk med Hjälp av Azure-portalen.

Förutsättningar

För granskning för att skriva till ett lagringskonto bakom ett VNet eller en brandvägg krävs följande krav:

Konfigurera i Azure Portal

Anslut till Azure-portalen med din prenumeration. Gå till resursgruppen och servern.

1. Välj Granskning under rubriken Säkerhet. Välj På.

2. Välj Storage. Välj det lagringskonto där loggarna ska sparas. Lagringskontot måste uppfylla kraven som anges i Krav.

3. Öppna lagringsinformation

   Anmärkning

   Om det valda lagringskontot ligger bakom det virtuella nätverket visas följande meddelande:

   You have selected a storage account that is behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

   Om du inte ser det här meddelandet, är lagringskontot inte ansluten till ett virtuellt nätverk.

4. Välj antalet dagar för kvarhållningsperioden. Välj sedan OK. Loggar som är äldre än kvarhållningsperioden tas bort.

5. Välj Spara i granskningsinställningarna.

Du har framgångsrikt konfigurerat granskning för att skriva data till ett lagringskonto bakom ett virtuellt nätverk eller en brandvägg.

Konfigurera med REST-kommandon

Som ett alternativ till att använda Azure-portalen kan du använda REST-kommandon för att konfigurera granskning för att skriva databashändelser på ett lagringskonto bakom ett virtuellt nätverk och en brandvägg.

Exempelskripten i det här avsnittet kräver att du uppdaterar skriptet innan du kör dem. Ersätt följande värden i skripten:

Så här konfigurerar du SQL Audit för att skriva händelser till ett lagringskonto bakom ett virtuellt nätverk eller en brandvägg:

1. Registrera servern med Microsoft Entra-ID (tidigare Azure Active Directory). Använd antingen PowerShell eller REST API.

   PowerShell

   Connect-AzAccount
   Select-AzSubscription -SubscriptionId <subscriptionId>
   Set-AzSqlServer -ResourceGroupName <your resource group> -ServerName <azure server name> -AssignIdentity
   

   REST API:

   Exempelbegäran

   PUT https://management.azure.com/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Sql/servers/<azure server name>?api-version=2015-05-01-preview
   

   begäranens innehåll

   {
   "identity": {
              "type": "SystemAssigned",
              },
   "properties": {
     "fullyQualifiedDomainName": "<azure server name>.database.windows.net",
     "administratorLogin": "<administrator login>",
     "administratorLoginPassword": "<complex password>",
     "version": "12.0",
     "state": "Ready"
     }
   }
   

2. Tilldela rollen Storage Blob Data Contributor till servern som är värd för databasen som du registrerade med Microsoft Entra-ID i föregående steg.

   Detaljerade steg finns i Tilldela Azure-roller med hjälp av Azure-portalen.

   Anmärkning

   Endast medlemmar med ägarbehörighet kan utföra det här steget. För olika inbyggda Azure-roller kan du läsa inbyggda Azure-roller.

3. Konfigurera serverns blobgranskningsprincip utan att ange en storageAccountAccessKey:

   Exempelbegäran

     PUT https://management.azure.com/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Sql/servers/<azure server name>/auditingSettings/default?api-version=2017-03-01-preview
   

   begäranens innehåll

   {
     "properties": {
      "state": "Enabled",
      "storageEndpoint": "https://<storage account>.blob.core.windows.net"
     }
   }
   

Använda Azure PowerShell

• Skapa eller uppdatera databasgranskningsprincip (Set-AzSqlDatabaseAudit)
• Skapa eller uppdatera servergranskningsprincip (Set-AzSqlServerAudit)

Använd Azure Resource Manager-mallar

Du kan konfigurera granskning för att skriva databashändelser på ett lagringskonto bakom det virtuella nätverket och brandväggen med hjälp av Azure Resource Manager-mallen , som du ser i följande exempel:

• Distribuera en Azure SQL Server med granskning aktiverat för att skriva granskningsloggar till en bloblagring

Relaterat innehåll

• PowerShell: Skapa en virtuell tjänstslutpunkt och en VNet-regel för Azure SQL Database
• Regler för virtuellt nätverk: Åtgärder med REST-API:er
• Använda tjänstslutpunkter för virtuellt nätverk och regler för servrar i Azure SQL Database