你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Extended Server Blob Auditing Policies - Create Or Update

参考

服务:: SQL Database

API 版本:: 2023-08-01

创建或更新扩展服务器的 Blob 审核策略。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/extendedAuditingSettings/default?api-version=2023-08-01

URI 参数

名称	在	必需	类型	说明
blobAuditingPolicyName	path	True	blobAuditingPolicyName	Blob 审核策略的名称。
resourceGroupName	path	True	string	包含资源的资源组的名称。可以从 Azure 资源管理器 API 或门户获取此值。
serverName	path	True	string	服务器的名称。
subscriptionId	path	True	string	标识 Azure 订阅的订阅 ID。
api-version	query	True	string	要用于请求的 API 版本。

请求正文

名称	必需	类型	说明
properties.state	True	BlobAuditingPolicyState	指定审核的状态。如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
properties.auditActionsAndGroups		string[]	指定要审核的 Actions-Groups 和作。建议使用的作组集是以下组合 - 这将审核针对数据库执行的所有查询和存储过程，以及成功和失败的登录： BATCH_COMPLETED_GROUP、SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP、FAILED_DATABASE_AUTHENTICATION_GROUP。上述组合也是从 Azure 门户启用审核时默认配置的集。要审核的受支持作组（注意：仅选择涵盖审核需求的特定组。使用不必要的组可能会导致大量审核记录）： APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP LEDGER_OPERATION_GROUP 这些组涵盖针对数据库执行的所有 sql 语句和存储过程，不应与其他组结合使用，因为这将导致重复的审核日志。有关详细信息，请参阅 Database-Level 审核作组。对于数据库审核策略，还可以指定特定作（请注意，不能为服务器审核策略指定作）。要审核的受支持作包括：SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES 定义要审核的作的一般形式是： {action} ON {object} BY {principal} 请注意，在上述格式中，可以引用表、视图或存储过程或整个数据库或架构等对象。对于后一种情况，将分别使用 FORMS DATABASE：：{db_name} 和 SCHEMA：：{schema_name}。例如：按 PUBLIC SELECT on DATABASE：：myDatabase by public SELECT on SCHEMA：：mySchema by public SELECT on SCHEMA：：mySchema by public SELECT on dbo.myTable 有关详细信息，请参阅 Database-Level 审核作
properties.isAzureMonitorTargetEnabled		boolean	指定是否将审核事件发送到 Azure Monitor。若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”，将“IsAzureMonitorTargetEnabled”指定为 true。使用 REST API 配置审核时，还应在数据库上创建具有“SQLSecurityAuditEvents”诊断日志类别的诊断设置。请注意，对于服务器级别审核，应使用“master”数据库作为 {databaseName}。诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview 有关详细信息，请参阅诊断设置 REST API 或诊断设置 PowerShell
properties.isDevopsAuditEnabled		boolean	指定 devops 审核的状态。如果状态为“已启用”，devops 日志将发送到 Azure Monitor。若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”、“IsAzureMonitorTargetEnabled”为 true，将“IsDevopsAuditEnabled”指定为 true 使用 REST API 配置审核时，还应在 master 数据库上创建具有“DevOpsOperationsAudit”诊断日志类别的诊断设置。诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/master/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview 有关详细信息，请参阅诊断设置 REST API 或诊断设置 PowerShell
properties.isManagedIdentityInUse		boolean	指定是否使用托管标识访问 Blob 存储
properties.isStorageSecondaryKeyInUse		boolean	指定 storageAccountAccessKey 值是否为存储的辅助密钥。
properties.predicateExpression		string	指定创建审核时 where 子句的条件。
properties.queueDelayMs		integer (int32)	指定在强制处理审核作之前可以经过的时间（以毫秒为单位）。默认值为 1000（1 秒）。最大值为 2,147,483,647。
properties.retentionDays		integer (int32)	指定要保留在存储帐户中的审核日志中的天数。
properties.storageAccountAccessKey		string	指定审核存储帐户的标识符密钥。如果状态为 Enabled 且 storageEndpoint 已指定，则不指定 storageAccountAccessKey 将使用 SQL Server 系统分配的托管标识来访问存储。使用托管标识身份验证的先决条件：在 Azure Active Directory 中为 SQL Server 分配系统分配的托管标识（AAD）。通过将“存储 Blob 数据参与者”RBAC 角色添加到服务器标识，授予对存储帐户的 SQL Server 标识访问权限。有关详细信息，请参阅使用托管标识身份验证对存储的审核
properties.storageAccountSubscriptionId		string (uuid)	指定 Blob 存储订阅 ID。
properties.storageEndpoint		string	指定 blob 存储终结点（例如 https://MyAccount.blob.core.windows.net）。如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。

响应

名称	类型	说明
200 OK	ExtendedServerBlobAuditingPolicy	已成功更新扩展审核设置。
202 Accepted		正在更新扩展审核设置。标头 Location: string
Other Status Codes	ErrorResponse	错误响应： *** 400 InvalidServerBlobAuditingPolicyCreateRequest - 创建服务器 blob 审核策略请求不存在或没有属性对象。 400 InvalidBlobAuditActionsAndGroups - 审核作或作组无效。 400 DataSecurityInvalidUserSuppliedParameter - 客户端提供了无效的参数值。 400 BlobAuditingInvalidPolicyLength - 策略长度无效，应为 200 个字符。 400 BlobAuditingPredicateExpressionEmpty - 参数“predicateExpression”无效，值不能为空。 400 ManagedInstanceStoppingOrStopped - 实例处于停止/停止状态时提交的冲突作 400 ManagedInstanceStarting - 实例处于启动状态时提交的冲突作 400 InvalidBlobAuditActionsAndGroups - 审核作或作组无效。 400 BlobAuditingNetworkSecurityPerimeterNotAllowed - 网络安全外围阻止了对存储帐户的出站请求 400 BlobAuditingInvalidStorageAccountCredentials - 提供的存储帐户或访问密钥无效。 400 BlobAuditingStorageOutboundFirewallNotAllowed - 存储帐户不在允许的 FQDN 列表中，因此，出站防火墙规则将阻止请求。 400 InsufficientDiskSpaceForAuditing - 磁盘空间不足，无法节省数据库中的审核元数据 400 InvalidBlobAuditActions - 审核作无效 404 ServerNotInSubscriptionResourceGroup - 指定的服务器在指定的资源组和订阅中不存在。 404 SubscriptionDoesNotHaveServer - 找不到请求的服务器 404 OperationIdNotFound - ID作不存在。 409 ServerBlobAuditingPolicyInProgress - 设置服务器 Blob 审核已在进行中。 409 CannotCancelOperation - 管理作处于无法取消的状态。 409 OperationCancelled -作已被用户取消。 409 OperationInterrupted - 无法完成资源上的作，因为它被同一资源上的另一个作中断。 429 SubscriptionTooManyCreateUpdateRequests - 请求超出可用资源可以处理的最大请求数。 429 SubscriptionTooManyRequests - 请求超出可用资源可以处理的最大请求数。 500 OperationTimedOut -作超时并自动回滚。请重试该作。 503 TooManyRequests - 请求超出可用资源可以处理的最大请求数。

名称

类型

说明

200 OK

ExtendedServerBlobAuditingPolicy

已成功更新扩展审核设置。

202 Accepted

正在更新扩展审核设置。

标头

Location: string

Other Status Codes

ErrorResponse

错误响应： ***

400 InvalidServerBlobAuditingPolicyCreateRequest - 创建服务器 blob 审核策略请求不存在或没有属性对象。
400 InvalidBlobAuditActionsAndGroups - 审核作或作组无效。
400 DataSecurityInvalidUserSuppliedParameter - 客户端提供了无效的参数值。
400 BlobAuditingInvalidPolicyLength - 策略长度无效，应为 200 个字符。
400 BlobAuditingPredicateExpressionEmpty - 参数“predicateExpression”无效，值不能为空。
400 ManagedInstanceStoppingOrStopped - 实例处于停止/停止状态时提交的冲突作
400 ManagedInstanceStarting - 实例处于启动状态时提交的冲突作
400 InvalidBlobAuditActionsAndGroups - 审核作或作组无效。
400 BlobAuditingNetworkSecurityPerimeterNotAllowed - 网络安全外围阻止了对存储帐户的出站请求
400 BlobAuditingInvalidStorageAccountCredentials - 提供的存储帐户或访问密钥无效。
400 BlobAuditingStorageOutboundFirewallNotAllowed - 存储帐户不在允许的 FQDN 列表中，因此，出站防火墙规则将阻止请求。
400 InsufficientDiskSpaceForAuditing - 磁盘空间不足，无法节省数据库中的审核元数据
400 InvalidBlobAuditActions - 审核作无效
404 ServerNotInSubscriptionResourceGroup - 指定的服务器在指定的资源组和订阅中不存在。
404 SubscriptionDoesNotHaveServer - 找不到请求的服务器
404 OperationIdNotFound - ID作不存在。
409 ServerBlobAuditingPolicyInProgress - 设置服务器 Blob 审核已在进行中。
409 CannotCancelOperation - 管理作处于无法取消的状态。
409 OperationCancelled -作已被用户取消。
409 OperationInterrupted - 无法完成资源上的作，因为它被同一资源上的另一个作中断。
429 SubscriptionTooManyCreateUpdateRequests - 请求超出可用资源可以处理的最大请求数。
429 SubscriptionTooManyRequests - 请求超出可用资源可以处理的最大请求数。
500 OperationTimedOut -作超时并自动回滚。请重试该作。
503 TooManyRequests - 请求超出可用资源可以处理的最大请求数。

示例

Update a server's extended blob auditing policy with all parameters

Update a server's extended blob auditing policy with minimal parameters

Update a server's extended blob auditing policy with all parameters

示例请求

HTTP

PUT https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-4799/providers/Microsoft.Sql/servers/blobauditingtest-6440/extendedAuditingSettings/default?api-version=2023-08-01

{
  "properties": {
    "state": "Enabled",
    "storageAccountAccessKey": "sdlfkjabc+sdlfkjsdlkfsjdfLDKFTERLKFDFKLjsdfksjdflsdkfD2342309432849328476458/3RSD==",
    "storageEndpoint": "https://mystorage.blob.core.windows.net",
    "retentionDays": 6,
    "storageAccountSubscriptionId": "00000000-1234-0000-5678-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "queueDelayMs": 4000,
    "auditActionsAndGroups": [
      "SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP",
      "FAILED_DATABASE_AUTHENTICATION_GROUP",
      "BATCH_COMPLETED_GROUP"
    ],
    "predicateExpression": "object_name = 'SensitiveData'",
    "isAzureMonitorTargetEnabled": true
  }
}

示例响应

状态代码:: 200

{
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-4799/providers/Microsoft.Sql/servers/blobauditingtest-6440/extendedAuditingSettings/default",
  "name": "default",
  "type": "Microsoft.Sql/servers/extendedAuditingSettings",
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net",
    "retentionDays": 6,
    "storageAccountSubscriptionId": "00000000-1234-0000-5678-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "queueDelayMs": 4000,
    "auditActionsAndGroups": [
      "SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP",
      "FAILED_DATABASE_AUTHENTICATION_GROUP",
      "BATCH_COMPLETED_GROUP"
    ],
    "predicateExpression": "object_name = 'SensitiveData'",
    "isAzureMonitorTargetEnabled": true
  }
}

状态代码:: 202

Update a server's extended blob auditing policy with minimal parameters

示例请求

HTTP

PUT https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-4799/providers/Microsoft.Sql/servers/blobauditingtest-6440/extendedAuditingSettings/default?api-version=2023-08-01

{
  "properties": {
    "state": "Enabled",
    "storageAccountAccessKey": "sdlfkjabc+sdlfkjsdlkfsjdfLDKFTERLKFDFKLjsdfksjdflsdkfD2342309432849328476458/3RSD==",
    "storageEndpoint": "https://mystorage.blob.core.windows.net"
  }
}

示例响应

状态代码:: 200

{
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-4799/providers/Microsoft.Sql/servers/blobauditingtest-6440/extendedAuditingSettings/default",
  "name": "default",
  "type": "Microsoft.Sql/servers/extendedAuditingSettings",
  "properties": {
    "state": "Enabled",
    "storageEndpoint": "https://mystorage.blob.core.windows.net",
    "retentionDays": 6,
    "storageAccountSubscriptionId": "00000000-1234-0000-5678-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "auditActionsAndGroups": [
      "SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP",
      "FAILED_DATABASE_AUTHENTICATION_GROUP",
      "BATCH_COMPLETED_GROUP"
    ],
    "isAzureMonitorTargetEnabled": false
  }
}

状态代码:: 202

定义

名称	说明
blobAuditingPolicyName	Blob 审核策略的名称。
BlobAuditingPolicyState	指定审核的状态。如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
ErrorAdditionalInfo	资源管理错误附加信息。
ErrorDetail	错误详细信息。
ErrorResponse	错误响应
ExtendedServerBlobAuditingPolicy	扩展服务器 Blob 审核策略。

blobAuditingPolicyName

枚举

Blob 审核策略的名称。

值	说明
default

BlobAuditingPolicyState

枚举

指定审核的状态。如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。

值	说明
Disabled
Enabled

ErrorAdditionalInfo

Object

资源管理错误附加信息。

名称	类型	说明
info	object	其他信息。
type	string	其他信息类型。

ErrorDetail

Object

错误详细信息。

名称	类型	说明
additionalInfo	ErrorAdditionalInfo[]	错误附加信息。
code	string	错误代码。
details	ErrorDetail[]	错误详细信息。
message	string	错误消息。
target	string	错误目标。

ErrorResponse

Object

错误响应

名称	类型	说明
error	ErrorDetail	错误对象。

ExtendedServerBlobAuditingPolicy

Object

扩展服务器 Blob 审核策略。

名称	类型	说明
id	string	资源 ID。
name	string	资源名称。
properties.auditActionsAndGroups	string[]	指定要审核的 Actions-Groups 和作。建议使用的作组集是以下组合 - 这将审核针对数据库执行的所有查询和存储过程，以及成功和失败的登录： BATCH_COMPLETED_GROUP、SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP、FAILED_DATABASE_AUTHENTICATION_GROUP。上述组合也是从 Azure 门户启用审核时默认配置的集。要审核的受支持作组（注意：仅选择涵盖审核需求的特定组。使用不必要的组可能会导致大量审核记录）： APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP LEDGER_OPERATION_GROUP 这些组涵盖针对数据库执行的所有 sql 语句和存储过程，不应与其他组结合使用，因为这将导致重复的审核日志。有关详细信息，请参阅 Database-Level 审核作组。对于数据库审核策略，还可以指定特定作（请注意，不能为服务器审核策略指定作）。要审核的受支持作包括：SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES 定义要审核的作的一般形式是： {action} ON {object} BY {principal} 请注意，在上述格式中，可以引用表、视图或存储过程或整个数据库或架构等对象。对于后一种情况，将分别使用 FORMS DATABASE：：{db_name} 和 SCHEMA：：{schema_name}。例如：按 PUBLIC SELECT on DATABASE：：myDatabase by public SELECT on SCHEMA：：mySchema by public SELECT on SCHEMA：：mySchema by public SELECT on dbo.myTable 有关详细信息，请参阅 Database-Level 审核作
properties.isAzureMonitorTargetEnabled	boolean	指定是否将审核事件发送到 Azure Monitor。若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”，将“IsAzureMonitorTargetEnabled”指定为 true。使用 REST API 配置审核时，还应在数据库上创建具有“SQLSecurityAuditEvents”诊断日志类别的诊断设置。请注意，对于服务器级别审核，应使用“master”数据库作为 {databaseName}。诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview 有关详细信息，请参阅诊断设置 REST API 或诊断设置 PowerShell
properties.isDevopsAuditEnabled	boolean	指定 devops 审核的状态。如果状态为“已启用”，devops 日志将发送到 Azure Monitor。若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”、“IsAzureMonitorTargetEnabled”为 true，将“IsDevopsAuditEnabled”指定为 true 使用 REST API 配置审核时，还应在 master 数据库上创建具有“DevOpsOperationsAudit”诊断日志类别的诊断设置。诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/master/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview 有关详细信息，请参阅诊断设置 REST API 或诊断设置 PowerShell
properties.isManagedIdentityInUse	boolean	指定是否使用托管标识访问 Blob 存储
properties.isStorageSecondaryKeyInUse	boolean	指定 storageAccountAccessKey 值是否为存储的辅助密钥。
properties.predicateExpression	string	指定创建审核时 where 子句的条件。
properties.queueDelayMs	integer (int32)	指定在强制处理审核作之前可以经过的时间（以毫秒为单位）。默认值为 1000（1 秒）。最大值为 2,147,483,647。
properties.retentionDays	integer (int32)	指定要保留在存储帐户中的审核日志中的天数。
properties.state	BlobAuditingPolicyState	指定审核的状态。如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
properties.storageAccountAccessKey	string	指定审核存储帐户的标识符密钥。如果状态为 Enabled 且 storageEndpoint 已指定，则不指定 storageAccountAccessKey 将使用 SQL Server 系统分配的托管标识来访问存储。使用托管标识身份验证的先决条件：在 Azure Active Directory 中为 SQL Server 分配系统分配的托管标识（AAD）。通过将“存储 Blob 数据参与者”RBAC 角色添加到服务器标识，授予对存储帐户的 SQL Server 标识访问权限。有关详细信息，请参阅使用托管标识身份验证对存储的审核
properties.storageAccountSubscriptionId	string (uuid)	指定 Blob 存储订阅 ID。
properties.storageEndpoint	string	指定 blob 存储终结点（例如 https://MyAccount.blob.core.windows.net）。如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
type	string	资源类型。

通过

Extended Server Blob Auditing Policies - Create Or Update

URI 参数

请求正文

响应

示例

Update a server's extended blob auditing policy with all parameters

示例请求

示例响应

Update a server's extended blob auditing policy with minimal parameters

示例请求

示例响应

定义

blobAuditingPolicyName

BlobAuditingPolicyState

ErrorAdditionalInfo

ErrorDetail

ErrorResponse

ExtendedServerBlobAuditingPolicy

其他资源