在 Azure Synapse Analytics 中，将审计日志写入受虚拟网络和防火墙保护的存储账户

Azure Synapse Analytics 审计支持将数据库事件写入虚拟网络或防火墙背后的 Azure 存储 账户。

Background

Azure 虚拟网络 （VNet）是 Azure 中专用网络的基本构建基块。 VNet 允许许多类型的 Azure 资源（例如 Azure 虚拟机 (VM)）以安全方式彼此通信、与 Internet 通信，以及与本地网络通信。 VNet类似于你自己数据中心的传统网络，但它带来了Azure基础设施的额外优势，如规模、可用性和隔离性。

想了解更多VNet的概念、最佳实践等，请参见《什么是Azure 虚拟网络》。

若要详细了解如何创建虚拟网络，请参阅 Quickstart：使用 Azure 门户创建虚拟网络。

Prerequisites

• 使用通用的 v2 存储账户或高级的 BlockBlobStorage 账户。 要更新旧账户，请参见 升级到通用v2存储账户。
• 支持带有 BlockBlobStorage 的高级存储。
• 将存储账户放置在与Synapse SQL服务器相同的租户和区域。
• 在存储帐户网络页面，启用允许受信任服务列表中的 Azure 服务访问此存储帐户。
• 将服务器系统分配的托管身份赋予存储账户的 存储 Blob 数据贡献者 角色。 你需要 Microsoft.Authorization/roleAssignments/write 权限才能创建角色分配。

如果你在存储账户受防火墙保护之前启用了审计，请重新保存审计设置，这样审计日志才能继续写入该账户。

在 Azure 门户中配置审核

1. 在 Azure 门户中，打开 Synapse SQL 服务器或 SQL 池资源。

2. 在 安全选项中，选择 审计，然后启用审计。

3. 选择 存储，然后选择满足前提条件的存储账户。

4. 打开 存储详情 ，并确认门户是否显示使用了托管身份认证。

   Note

   如果所选存储账户位于虚拟网络后方，你会看到以下提示：

   You selected a storage account that's behind a firewall or in a virtual network. Using this storage requires to enable 'Allow trusted Microsoft services to access this storage account' on the storage account and creates a server managed identity with 'storage blob data contributor' RBAC.

   如果你没看到这个提示，说明存储账户不在虚拟网络后面。

5. 选择保留期限，然后保存审计设置。

当你保存设置时，门户会赋予系统分配的身份所需的存储角色，前提是你有权限创建角色分配。

以编程方式配置审计

通过PowerShell或REST API配置审计时，不要提供存储账户访问密钥。 省略密钥会导致审计策略使用服务器系统分配的管理身份。

• PowerShell：Set-AzSqlServerAudit 和 Set-AzSqlDatabaseAudit
• REST API：服务器审计设置——创建或更新 和 数据库审计设置——创建或更新
• Azure 资源管理器： Microsoft.Synapse workspaces/sqlPools/auditingSettings

有关身份行为的详细信息，请参见 Azure Synapse Analytics 中使用托管身份进行审计。

相关内容

• 为 Azure Synapse Analytics 设置审核
• 在 Azure Synapse Analytics 中使用托管标识进行审核
• 使用 Azure 门户分配 Azure 角色