通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

Server Blob Auditing Policies - Get

  • 参考
服务:
SQL Database
API 版本:
2021-11-01

获取服务器的 Blob 审核策略。

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/auditingSettings/default?api-version=2021-11-01

URI 参数

名称 在 必需 类型 说明
blobAuditingPolicyName
 path True

blobAuditingPolicyName

Blob 审核策略的名称。
resourceGroupName
 path True

string

包含资源的资源组的名称。 可以从 Azure 资源管理器 API 或门户获取此值。
serverName
 path True

string

服务器的名称。
subscriptionId
 path True

string

标识 Azure 订阅的订阅 ID。
api-version
 query True

string

要用于请求的 API 版本。

响应

名称 类型 说明
200 OK

ServerBlobAuditingPolicy

已成功检索服务器 Blob 审核策略。
Other Status Codes

错误响应： ***

  • 404 SubscriptionDoesNotHaveServer - 找不到请求的服务器

  • 404 ServerNotInSubscriptionResourceGroup - 指定的服务器在指定的资源组和订阅中不存在。

示例

Get a server's blob auditing policy

示例请求

GET https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-4799/providers/Microsoft.Sql/servers/blobauditingtest-6440/auditingSettings/default?api-version=2021-11-01

示例响应

状态代码:
200 
{
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-6852/providers/Microsoft.Sql/servers/blobauditingtest-2080/auditingSettings/default",
  "name": "default",
  "type": "Microsoft.Sql/servers/auditingSettings",
  "properties": {
    "state": "Disabled",
    "storageEndpoint": "",
    "retentionDays": 0,
    "auditActionsAndGroups": [],
    "storageAccountSubscriptionId": "00000000-0000-0000-0000-000000000000",
    "isStorageSecondaryKeyInUse": false,
    "isAzureMonitorTargetEnabled": false,
    "isManagedIdentityInUse": false
  }
}

定义

名称 说明
blobAuditingPolicyName

Blob 审核策略的名称。
BlobAuditingPolicyState

指定审核的状态。 如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
ServerBlobAuditingPolicy

服务器 Blob 审核策略。

blobAuditingPolicyName

枚举

Blob 审核策略的名称。

值 说明
default

BlobAuditingPolicyState

枚举

指定审核的状态。 如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。

值 说明
Disabled
Enabled

ServerBlobAuditingPolicy

Object

服务器 Blob 审核策略。

名称 类型 说明
id

string

资源 ID。
name

string

资源名称。
properties.auditActionsAndGroups

string[]

指定要审核的 Actions-Groups 和作。

建议使用的作组集是以下组合 - 这将审核针对数据库执行的所有查询和存储过程，以及成功和失败的登录：

BATCH_COMPLETED_GROUP、SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP、FAILED_DATABASE_AUTHENTICATION_GROUP。

上述组合也是从 Azure 门户启用审核时默认配置的集。

要审核的受支持作组（注意：仅选择涵盖审核需求的特定组。使用不必要的组可能会导致大量审核记录）：

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP LEDGER_OPERATION_GROUP

这些组涵盖针对数据库执行的所有 sql 语句和存储过程，不应与其他组结合使用，因为这将导致重复的审核日志。

有关详细信息，请参阅 Database-Level 审核作组。

对于数据库审核策略，还可以指定特定作（请注意，不能为服务器审核策略指定作）。 要审核的受支持作包括：SELECT UPDATE INSERT DELETE EXECUTE RECEIVE REFERENCES

定义要审核的作的一般形式是： {action} ON {object} BY {principal}

请注意，在上述格式中，可以引用表、视图或存储过程或整个数据库或架构等对象。 对于后一种情况，将分别使用 FORMS DATABASE：：{db_name} 和 SCHEMA：：{schema_name}。

例如：按 PUBLIC SELECT on DATABASE：：myDatabase by public SELECT on SCHEMA：：mySchema by public SELECT on SCHEMA：：mySchema by public SELECT on dbo.myTable

有关详细信息，请参阅 Database-Level 审核作
properties.isAzureMonitorTargetEnabled

boolean

指定是否将审核事件发送到 Azure Monitor。 若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”，将“IsAzureMonitorTargetEnabled”指定为 true。

使用 REST API 配置审核时，还应在数据库上创建具有“SQLSecurityAuditEvents”诊断日志类别的诊断设置。 请注意，对于服务器级别审核，应使用“master”数据库作为 {databaseName}。

诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

有关详细信息，请参阅 诊断设置 REST API 或 诊断设置 PowerShell
properties.isDevopsAuditEnabled

boolean

指定 devops 审核的状态。 如果状态为“已启用”，devops 日志将发送到 Azure Monitor。 若要将事件发送到 Azure Monitor，请将“State”指定为“Enabled”、“IsAzureMonitorTargetEnabled”为 true，将“IsDevopsAuditEnabled”指定为 true

使用 REST API 配置审核时，还应在 master 数据库上创建具有“DevOpsOperationsAudit”诊断日志类别的诊断设置。

诊断设置 URI 格式：PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/master/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

有关详细信息，请参阅 诊断设置 REST API 或 诊断设置 PowerShell
properties.isManagedIdentityInUse

boolean

指定是否使用托管标识访问 Blob 存储
properties.isStorageSecondaryKeyInUse

boolean

指定 storageAccountAccessKey 值是否为存储的辅助密钥。
properties.queueDelayMs

integer (int32)

指定在强制处理审核作之前可以经过的时间（以毫秒为单位）。 默认值为 1000（1 秒）。 最大值为 2,147,483,647。
properties.retentionDays

integer (int32)

指定要保留在存储帐户中的审核日志中的天数。
properties.state

BlobAuditingPolicyState

指定审核的状态。 如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
properties.storageAccountAccessKey

string

指定审核存储帐户的标识符密钥。 如果状态为 Enabled 且 storageEndpoint 已指定，则不指定 storageAccountAccessKey 将使用 SQL Server 系统分配的托管标识来访问存储。 使用托管标识身份验证的先决条件：

  1. 在 Azure Active Directory 中为 SQL Server 分配系统分配的托管标识（AAD）。
  2. 通过将“存储 Blob 数据参与者”RBAC 角色添加到服务器标识，授予对存储帐户的 SQL Server 标识访问权限。 有关详细信息，请参阅 使用托管标识身份验证对存储的审核
properties.storageAccountSubscriptionId

string (uuid)

指定 Blob 存储订阅 ID。
properties.storageEndpoint

string

指定 blob 存储终结点（例如 https://MyAccount.blob.core.windows.net）。 如果状态为“已启用”，则需要 storageEndpoint 或 isAzureMonitorTargetEnabled。
type

string

资源类型。