在本文中，你将学习如何在 Azure Synapse Analytics 中为你的逻辑服务器或数据库设置审计。
为您的服务器配置审计功能
默认的审计策略包括以下一组动作组，用于审计对数据库执行的所有查询和存储过程，以及成功和失败的登录情况：
BATCH_COMPLETED_GROUPSUCCESSFUL_DATABASE_AUTHENTICATION_GROUPFAILED_DATABASE_AUTHENTICATION_GROUP
关于自定义筛选器和编程配置，请参见 使用 API 管理 Azure Synapse Analytics 审核。
Note
无法在暂停的专用 SQL 池上启用审核。 快速入门：在配置审计前，通过 Azure 门户暂停并恢复专用 SQL 池中的计算。
当你在 Azure 门户或 PowerShell cmdlet 中将审计配置到 Log Analytics 工作区或 Event Hubs 目标时，会创建一个启用了 类别的 SQLSecurityAuditEvents。
- 在 Azure 门户中，打开 Synapse SQL 服务器资源。
- 选择“安全性”下的“审核”。
- 启用服务器或数据库层面的审计功能。 服务器级策略适用于该服务器上的每个数据库。 有关选择范围的指导，请参见 服务器和数据库层面的审计策略。
- 选择一个或多个目的地：Azure 存储、Log Analytics 或 Event Hubs。
- 配置每个目的地，然后保存策略。
审核日志到 Azure 存储 目标
要配置将审核日志写入存储账户，请选择 存储，选择账户，并设置保留期限。
- 如果账户位于虚拟网络或防火墙后面，审计则使用服务器系统分配的托管身份。 向该身份授予 Storage Blob Data Contributor 角色。
- 如果账户不在虚拟网络或防火墙后面，门户会配置存储访问密钥认证。
保留值为 0 表示无限保留。 如果你将无限保留改为有限期限，新期限只适用于更改后写入的日志。
关于受保护的存储账户，请参见 “将审计日志写入虚拟网络和防火墙背后的存储账户”。
Warning
对于存储身份验证，请使用托管标识。 存储访问密钥存在安全风险，因为一旦被攻破，未经授权的人可能会访问您的存储账户，从而读取、写入或删除您的数据。 为降低这些风险，请定期更换密钥，并使用 Azure 密钥保管库 安全管理和轮换密钥。
对 Log Analytics 目标的审计
选择 Log Analytics，选择 Log Analytics 工作区，然后保存策略。 如果你需要工作区，请参见创建 Log Analytics 工作区。
审核到 Event Hubs 目标
选择 事件中心，选择与Synapse SQL资源同一区域的事件中心，然后保存策略。
当你将 Azure 外部监视器（例如事件中心或 Log Analytics）配置为审计目标时，系统会创建一个名为 SQLSecurityAuditEvents_XXXX-XXXX-XXX 的额外诊断设置资源。 该资源对于审计的正常运作至关重要。
如果你删除诊断设置，无论是有意还是无意，审计功能就会停止工作，审计日志也不会发送到目标地点。 为防止此问题，应配置删除诊断设置的警报，以通知用户并采取必要措施。 有关创建动作组和配置警报的更多信息，请参见 “动作组 ”以及 创建或编辑活动日志、服务健康或资源健康警报规则。
Note
如果你使用多个目标，比如存储账户、Log Analytics 或事件中心，确保对所有目标都有权限。 否则，保存审计配置失败，因为系统会尝试保存所有目标的设置。