SQL Database 監査ログの形式
適用対象: 
Azure SQL Database Azure SQL Managed Instance Azure Synapse Analytics
Azure SQL Database の監査では、データベース イベントを追跡し、それを Azure ストレージ アカウントの監査ログに書き込むか、ダウンストリーム処理および分析のためイベント ハブまたは Log Analytics に送信します。
名前付け規則
BLOB 監査
Azure BLOB ストレージに格納されている監査ログは、Azure ストレージ アカウント内の sqldbauditlogs と呼ばれるコンテナーに格納されています。 コンテナー内のディレクトリ階層は、<ServerName>/<DatabaseName>/<AuditName>/<Date>/ という形式になります。 BLOB ファイル名の形式は <CreationTime>_<FileNumberInSession>.xel です。ここで CreationTime は UTC hh_mm_ss_ms 形式で、FileNumberInSession はセッション ログが複数の BLOB ファイルにまたがる場合、実行中のインデックスになります。
たとえば、Server1 にあるデータベース Database1 の場合、選択可能な有効なパスは以下のようになります：
Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel
読み取り専用レプリカの監査ログは、同じコンテナーに格納されます。 コンテナー内のディレクトリ階層は、<ServerName>/<DatabaseName>/<AuditName>/<Date>/RO/ という形式になります。 BLOB ファイル名は同じ形式を共有します。 読み取り専用レプリカの監査ログは、同じコンテナーに格納されます。
イベント ハブ
監査イベントは、監査の構成中に定義された名前空間とイベント ハブに書き込まれ、Apache Avro イベントの本体に入れられ、UTF-8 エンコードされた JSON の書式設定を使用して格納されます。 監査ログを読み取るために、Avro Tools またはこの形式を処理する同様のツールを使用できます。
Log Analytics
監査イベントは、監査構成中に定義された Log Analytics ワークスペース、カテゴリ SQLSecurityAuditEvents がある AzureDiagnostics テーブル、Microsoft サポートの操作用のカテゴリ DevOpsOperationsAudit があるテーブルに書き込まれます。 Log Analytics 検索言語およびコマンドに関する有用な追加情報については、Log Analytics 検索リファレンスに関するページをご覧ください。
監査ログのフィールド
| 名前 (BLOB) | 名前 (Event Hubs または Log Analytics) | 説明 | BLOB の種類 | Event Hubs または Log Analytics の種類 |
|---|---|---|---|---|
| action_id | action_id_s | アクションの ID | varchar (4) | string |
| action_name | action_name_s | アクションの名前 | 該当なし | string |
| additional_information | additional_information_s | XML として格納されている、イベントに関する追加情報 | nvarchar(4000) | string |
| affected_rows | affected_rows_d | クエリによって影響を受ける行の数 | bigint | INT |
| application_name | application_name_s | クライアント アプリケーションの名前 | nvarchar(128) | string |
| audit_schema_version | audit_schema_version_d | 常に 1 | INT | INT |
| class_type | class_type_s | 監査が発生する監査可能なエンティティの種類 | varchar(2) | string |
| class_type_desc | class_type_description_s | 監査が発生する監査可能なエンティティの説明 | 該当なし | string |
| client_ip | client_ip_s | クライアント アプリケーションのソース IP | nvarchar(128) | string |
| connection_id | 該当なし | サーバーの接続の ID | GUID | 該当なし |
| data_sensitivity_information | data_sensitivity_information_s | データベースにある分類済みの列に基づく、監査済みクエリが返す情報の種類と機密ラベル。 Azure SQL Database のデータ検出と分類の詳細を参照してください。 | nvarchar(4000) | string |
| database_name | database_name_s | アクションが発生したデータベース コンテキスト | sysname | string |
| database_principal_id | database_principal_id_d | アクションが実行されるデータベース ユーザー コンテキストの ID | INT | INT |
| database_principal_name | database_principal_name_s | アクションが実行されるデータベース ユーザー コンテキストの名前 | sysname | string |
| duration_milliseconds | duration_milliseconds_d | クエリ実行時間 (ミリ秒) | bigint | INT |
| event_time | event_time_t | 監査可能なアクションが発生する日付と時刻 | datetime2 | DATETIME |
| host_name | 該当なし | クライアント ホスト名 | string | 該当なし |
| is_column_permission | is_column_permission_s | 列レベルのアクセス許可であるかどうかを示すフラグ。 1 = true、0 = false | bit | string |
| 該当なし | is_server_level_audit_s | この監査がサーバー レベルであるかどうかを示すフラグ | 該当なし | string |
| object_ id | object_id_d | 監査が発生したエンティティの ID。 これには、サーバー オブジェクト、データベース、データベース オブジェクト、およびスキーマ オブジェクトが含まれます。 エンティティがサーバー自体である場合、または監査がオブジェクト レベルで実行されない場合は 0 です。 | INT | INT |
| object_name | object_name_s | 監査が発生したエンティティの名前。 これには、サーバー オブジェクト、データベース、データベース オブジェクト、およびスキーマ オブジェクトが含まれます。 エンティティがサーバー自体である場合、または監査がオブジェクト レベルで実行されない場合は 0 です。 | sysname | string |
| obo_middle_tier_app_id | obo_middle_tier_app_id_s | OBO アクセスを使用して SQL Database に接続した中間層アプリケーションのアプリケーション ID。 | varchar(120) | string |
| permission_bitmask | permission_bitmask_s | 該当する場合、許可、拒否、または取り消されたアクセス許可を表示します。 | varbinary(16) | string |
| response_rows | response_rows_d | 結果セットで返された行の数 | bigint | INT |
| schema_name | schema_name_s | アクションが発生したスキーマ コンテキスト。 監査がスキーマの外部で発生している場合は NULL です。 | sysname | string |
| 該当なし | securable_class_type_s | 監査対象の class_type にマップされるセキュリティ保護可能なオブジェクト | 該当なし | string |
| sequence_group_id | sequence_group_id_g | 一意識別子 | varbinary | GUID |
| sequence_number | sequence_number_d | 大きすぎて監査の書き込みバッファーに収まらなかった 1 つの監査レコード内のレコードの順序を追跡します。 Azure SQL Database と Azure Synapse の監査では、監査レコードの文字フィールドに 4,000 文字のデータが格納されることに注意してください。 4,000 文字を超える場合、最初の 4,000 文字を超えるデータは切り捨てられます | INT | INT |
| server_instance_name | server_instance_name_s | 監査が発生したサーバー インスタンスの名前 | sysname | string |
| server_principal_id | server_principal_id_d | アクションが実行されるログイン コンテキストの ID | INT | INT |
| server_principal_name | server_principal_name_s | 現在のログイン | sysname | string |
| server_principal_sid | server_principal_sid_s | 現在のログインの SID | varbinary | string |
| session_id | session_id_d | イベントが発生したセッションの ID | smallint | INT |
| session_server_principal_name | session_server_principal_name_s | セッションのサーバー プリンシパル | sysname | string |
| statement | statement_s | 実行された T-SQL ステートメント (該当する場合) | nvarchar(4000) | string |
| succeeded | succeeded_s | イベントをトリガーしたアクションが成功したかどうかを示します。 ログインとバッチ以外のイベントの場合、操作ではなくアクセス許可のチェックが成功したか失敗したかのみを報告します。 1 = 成功、0 = 失敗 | bit | string |
| target_database_principal_id | target_database_principal_id_d | 許可、拒否、取り消し操作が実行されるデータベース プリンシパル。該当しない場合は 0 | INT | INT |
| target_database_principal_name | target_database_principal_name_s | アクションの対象ユーザー。 該当しない場合は NULL です。 | string | string |
| target_server_principal_id | target_server_principal_id_d | 許可、拒否または取り消し操作が実行されるサーバー プリンシパル。 該当しない場合、0 を返します。 | INT | INT |
| target_server_principal_name | target_server_principal_name_s | アクションの対象ログイン。 該当しない場合は NULL です。 | sysname | string |
| target_server_principal_sid | target_server_principal_sid_s | 対象ログインのセキュリティ ID。 該当しない場合は NULL です。 | varbinary | string |
| transaction_id | transaction_id_d | SQL Server のみ (2016 年以降) - Azure SQL Database の場合は 0 | bigint | INT |
| user_defined_event_id | user_defined_event_id_d | sp_audit_write に引数として渡されたユーザー定義のイベント ID。 システム イベントの場合は NULL (既定値) で、ユーザー定義のイベントの場合は 0 以外です。 詳細については、「sp_audit_write (Transact-SQL)」を参照してください。 | smallint | INT |
| user_defined_information | user_defined_information_s | sp_audit_write に引数として渡されたユーザー定義の情報。 システム イベントの場合は NULL (既定値) で、ユーザー定義のイベントの場合は 0 以外です。 詳細については、「sp_audit_write (Transact-SQL)」を参照してください。 | nvarchar(4000) | string |
次のステップ
詳細については、「Azure SQL Database 監査」を参照してください