Поделиться через

Database Blob Auditing Policies - Get

  • Ссылка
Служба:
SQL Database
Версия API:
2021-11-01

Возвращает политику аудита BLOB-объектов базы данных.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/auditingSettings/default?api-version=2021-11-01

Параметры URI

Имя В Обязательно Тип Описание
blobAuditingPolicyName
 path True

blobAuditingPolicyName

Имя политики аудита BLOB-объектов.
databaseName
 path True

string

Имя базы данных.
resourceGroupName
 path True

string

Имя группы ресурсов, к которой относится ресурс. Это значение можно получить от API-интерфейса диспетчера ресурсов Azure или портала.
serverName
 path True

string

Имя сервера.
subscriptionId
 path True

string

Идентификатор подписки Azure.
api-version
 query True

string

Версия API для использования в запросе.

Ответы

Имя Тип Описание
200 OK

DatabaseBlobAuditingPolicy

Политика аудита BLOB-объектов базы данных успешно получена.
Other Status Codes

Ответы об ошибках: ***

  • 400 BlobAuditingIsNotSupportedOnResourceType — аудит BLOB-объектов в настоящее время не поддерживается для этого типа ресурса.

  • 404 SourceDatabaseNotFound — база данных-источник не существует.

  • 404 DatabaseDoesNotExist — пользователь указал имя базы данных, которое не существует в этом экземпляре сервера.

  • 500 DatabaseIsUnavailable — сбой загрузки. Повторите попытку позже.

Примеры

Get a database's blob auditing policy

Образец запроса

GET https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-6852/providers/Microsoft.Sql/servers/blobauditingtest-2080/databases/testdb/auditingSettings/default?api-version=2021-11-01

Пример ответа

Код состояния:
200 
{
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-6852/providers/Microsoft.Sql/servers/blobauditingtest-2080/databases/testdb",
  "name": "default",
  "type": "Microsoft.Sql/servers/databases/auditingSettings",
  "kind": "V12",
  "properties": {
    "state": "Disabled",
    "storageEndpoint": "",
    "retentionDays": 0,
    "auditActionsAndGroups": [],
    "storageAccountSubscriptionId": "00000000-0000-0000-0000-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "isAzureMonitorTargetEnabled": false,
    "isManagedIdentityInUse": false
  }
}

Определения

Имя Описание
blobAuditingPolicyName

Имя политики аудита BLOB-объектов.
BlobAuditingPolicyState

Указывает состояние аудита. Если состояние — Включено, требуется storageEndpoint или isAzureMonitorTargetEnabled.
DatabaseBlobAuditingPolicy

Политика аудита BLOB-объектов базы данных.

blobAuditingPolicyName

Enumeration

Имя политики аудита BLOB-объектов.

Значение Описание
default

BlobAuditingPolicyState

Enumeration

Указывает состояние аудита. Если состояние — Включено, требуется storageEndpoint или isAzureMonitorTargetEnabled.

Значение Описание
Disabled
Enabled

DatabaseBlobAuditingPolicy

Object

Политика аудита BLOB-объектов базы данных.

Имя Тип Описание
id

string

Идентификатор ресурса.
kind

string

Тип ресурса.
name

string

Имя ресурса.
properties.auditActionsAndGroups

string[]

Указывает Actions-Groups и действия для аудита.

Рекомендуемый набор групп действий для использования— это будет аудит всех запросов и хранимых процедур, выполняемых в базе данных, а также успешных и неудачных попыток входа.

BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP.

Это сочетание также является набором, который настраивается по умолчанию при включении аудита из портал Azure.

Поддерживаемые группы действий для аудита: (примечание. Выберите только определенные группы, которые охватывают ваши потребности в аудите. Использование ненужных групп может привести к очень большому количеству записей аудита:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_ OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP LEDGER_OPERATION_GROUP

Это группы, которые охватывают все инструкции SQL и хранимые процедуры, выполняемые в базе данных, и не должны использоваться в сочетании с другими группами, так как это приведет к дублированию журналов аудита.

Дополнительные сведения см. в разделе Группы действий аудита на уровне базы данных.

Для политики аудита базы данных также можно указать определенные действия (обратите внимание, что действия не могут быть указаны для политики аудита сервера). Поддерживаемые действия для аудита: SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES

Общая форма определения действия для аудита: {action} ON {object} BY {principal}

Обратите внимание, что в приведенном выше формате может ссылаться на объект, например таблицу, представление или хранимую процедуру, либо на всю базу данных или схему. В последних случаях используются формы DATABASE::{db_name} и SCHEMA::{schema_name} соответственно.

Например: SELECT on dbo.myTable by public SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public

Дополнительные сведения см. в разделе Действия аудита на уровне базы данных.
properties.isAzureMonitorTargetEnabled

boolean

Указывает, отправляются ли события аудита в Azure Monitor. Чтобы отправить события в Azure Monitor, укажите "Состояние" как "Включено" и "IsAzureMonitorTargetEnabled" в качестве значения true.

При использовании REST API для настройки аудита необходимо также создать параметры диагностики с категорией журналов диагностики SQLSecurityAuditEvents в базе данных. Обратите внимание, что для аудита уровня сервера следует использовать базу данных "master" как {databaseName}.

Формат URI параметров диагностики: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Дополнительные сведения см. в разделах REST API параметров диагностики или Параметры диагностики PowerShell.
properties.isManagedIdentityInUse

boolean

Указывает, используется ли управляемое удостоверение для доступа к хранилищу BLOB-объектов.
properties.isStorageSecondaryKeyInUse

boolean

Указывает, является ли значение storageAccountAccessKey вторичным ключом хранилища.
properties.queueDelayMs

integer

Определяет задержку в миллисекундах, после которой продолжается выполнение действий аудита. Минимальное значение по умолчанию — 1000 (1 секунда). Максимальное значение — 2 147 483 647.
properties.retentionDays

integer

Указывает количество дней для хранения в журналах аудита в учетной записи хранения.
properties.state

BlobAuditingPolicyState

Указывает состояние аудита. Если состояние — Включено, требуется storageEndpoint или isAzureMonitorTargetEnabled.
properties.storageAccountAccessKey

string

Указывает ключ идентификатора учетной записи хранения аудита. Если состояние включено и указано значение storageEndpoint, не указывая storageAccountAccessKey, для доступа к хранилищу будет использоваться управляемое удостоверение SQL Server, назначаемое системой. Необходимые условия для использования проверки подлинности управляемого удостоверения:

  1. Назначьте SQL Server управляемое удостоверение, назначаемое системой, в Azure Active Directory (AAD).
  2. Предоставьте SQL Server удостоверению доступ к учетной записи хранения, добавив роль RBAC "Участник данных BLOB-объектов хранилища" к удостоверению сервера. Дополнительные сведения см. в статье Аудит в хранилище с помощью проверки подлинности управляемого удостоверения.
properties.storageAccountSubscriptionId

string

Указывает идентификатор подписки хранилища BLOB-объектов.
properties.storageEndpoint

string

Указывает конечную точку хранилища BLOB-объектов (например, https://MyAccount.blob.core.windows.net). Если состояние включено, требуется storageEndpoint или isAzureMonitorTargetEnabled.
type

string

Тип ресурса.