SQL-Überwachungsprotokolle in Fabric Data Warehouse

Gilt für:✅ SQL-Analyseendpunkt und Warehouse in Microsoft Fabric

Die Überwachung in Fabric Data Warehouse bietet erweiterte Sicherheits- und Compliancefunktionen durch Nachverfolgen und Aufzeichnen von Datenbankereignissen.

Durch die Verwendung von SQL-Audit-Logs können Sie Datenbankaktivitäten überwachen, potenzielle Sicherheitsbedrohungen erkennen und Compliance-Anforderungen erfüllen, indem Sie eine Audit-Spur wichtiger Aktionen aufrechterhalten, wie zum Beispiel:

• Authentifizierungsversuche und Zugriffssteuerungsänderungen
• Datenzugriffs- und Änderungsvorgänge
• Schemaänderungen und administrative Aktivitäten
• Berechtigungsänderungen und Sicherheitskonfigurationen

Lesen Sie zunächst die Schritte zum Konfigurieren von SQL-Überwachungsprotokollen in Fabric Data Warehouse.

Lagerung

SQL-Überwachungsprotokolle werden im Ruhezustand verschlüsselt und in OneLake gespeichert.

Für Fabric Data Warehouse werden Überwachungsprotokolle in .XEL Dateien geschrieben, die im Lagerüberwachungsordner in OneLake gespeichert sind.

Benutzer mit den folgenden Rollen können auf den Überwachungsordner zugreifen:

• Arbeitsbereichsadministratoren
• Arbeitsbereichsmitglieder
• Mitwirkende im Arbeitsbereich
• Arbeitsbereichsbetrachter mit Leseberechtigung für alles

Diese Benutzer können:

• Durchsuchen Sie den Überwachungsordner
• Anzeigen der .XEL von der SQL-Überwachung generierten Überwachungsdateien
• Kopieren der Dateien für die Offlineanalyse
• Öffnen der Dateien mit Tools wie SQL Server Management Studio (SSMS)

Sie können auch Überwachungsprotokolle mit T-SQL über sys.fn_get_audit_file_v2 abfragen.

Anweisungen finden Sie unter So konfigurieren Sie SQL-Überwachungsprotokolle in Fabric Data Warehouse.

Leistung

Die SQL-Audit-Logs-Funktion ist auf die Verfügbarkeit und Leistung der zu prüfenden Datenbank optimiert. Während Zeiträumen mit sehr hoher Aktivität oder hoher Netzwerklast lässt das Überwachungsfeature möglicherweise die Durchführung von Transaktionen zu, ohne alle zur Überwachung markierten Ereignisse aufzuzeichnen.

Erlaubnisse

Benutzer müssen über die Berechtigung "Überwachungsabfragen" verfügen , um Überwachungsprotokolle zu konfigurieren und abzufragen.

• Standardmäßig verfügen Arbeitsbereichsadministratoren über die Berechtigung Überwachen von Abfragen für alle Elemente im Arbeitsbereich.
• Administratoren können anderen Nutzern über das Teilen-Dialogfeld Audit-Abfragen für Einträge gewähren.

Arbeitsbereich-Administratoren können einem Element Audit-Abfrageberechtigungen erteilen, indem sie das geteilte Menü im Fabric-Portal verwenden. Um zu überprüfen, ob ein Benutzer über die Berechtigung Überwachen von Abfragen verfügt, überprüfen Sie die Einstellungen unter Berechtigungen verwalten.

1. Wählen Sie in Ihrem Lagerartikel die Schaltfläche " Freigeben " aus.

   Oder, im Fabric-Portal, in Ihrem Arbeitsbereich. Wählen Sie das ... Kontextmenü für Ihr Warehouse-Element aus, und wählen Sie "Berechtigungen verwalten" aus.

2. Im Fenster "Personen Zugriff gewähren " gewähren Sie einem Benutzer Berechtigungen.

   

Abfrage von Audit-Logs mit T-SQL-Berechtigungen

Erteile den Nutzern die VIEW DATABASE SECURITY AUDIT Berechtigung, damit sie Audit-Logs mit T-SQL-Berechtigungen abfragen können, auch wenn sie keine Workspace-Admin-Rollen haben.

Wenn Sie folgende Berechtigung erteilen, kann ein Benutzer Audit-Logs mit der sys.fn_get_audit_file_v2 Funktion abfragen:

GRANT VIEW DATABASE SECURITY AUDIT TO [user];

Überwachungsaktionsgruppen und -aktionen auf Datenbankebene

Um die Konfiguration von Überwachungsprotokollen zugänglicher zu gestalten, verwendet das Fabric-Portal benutzerfreundliche Namen, damit Nicht-SQL-Administratoren und andere Benutzer die erfassten Ereignisse im Fabric Data Warehouse leicht verstehen können.

Fabric ordnet diese freundlichen Namen den zugrunde liegenden SQL-Überwachungsaktionsgruppen zu. Verwenden Sie die folgende Tabelle als Referenz.

Überwachungsaktionen auf Datenbankebene

Zusätzlich zu Aktionsgruppen können Sie einzelne Überwachungsaktionen so konfigurieren, dass bestimmte Datenbankereignisse protokolliert werden:

Reduzieren Sie Audit-Rauschen durch Prädikatenfilterung

Um zu filtern, welche Ereignisse erfasst werden, verwenden Sie den optionalen Prädikaten-Ausdrucksfilter .

Verwenden Sie Prädikatenfilterung, um Rauschen durch erwartete, sich wiederholende Aktivitäten wie Automatisierungsidentitäten, Serviceprinzipien oder geplante Aufträge zu reduzieren, ohne die Aktionsgruppen, die Ihre Organisation für Compliance- oder Untersuchungszwecke benötigt, deaktivieren zu müssen.

• Nur wenn ein Ereignis mit dem konfigurierten Prädikat übereinstimmt, wird das SQL-Audit-Log-Ereignis für diese Aktion generiert.
  • Das Filtern erfolgt, bevor das Ereignis geschrieben wird, sodass ausgeschlossene Ereignisse später nicht für eine rückwirkende Untersuchung verfügbar sind. Behandeln Sie Prädikatenausschlüsse als bewusste Audit-Policy-Entscheidung und überprüfen Sie das konfigurierte Prädikat regelmäßig, wenn sich Eigentum, Berechtigungen und Risikoprofile ändern.
• Prädikatenfilterung bewertet nur Ereignisse, die bereits so konfiguriert sind, dass sie von einer aktivierten Audit-Aktionsgruppe oder -aktion erfasst werden.
  • Wenn die zugrunde liegende Aktionsgruppe nicht aktiviert ist, wird kein Ereignis erzeugt, das das Prädikat auswerten kann, und der Filter hat keine Auswirkung. Um beispielsweise Anweisungen mit einem Prädikat auf dem Feld statement zu filternSELECT, muss man zuerst die Aktionsgruppe Batch Was Completed (BATCH_COMPLETED_GROUP) aktivieren.

Du kannst einen Prädikatenausdruck über das Fabric-Portal oder die REST-API konfigurieren. Für Schritte siehe Konfigurieren eines Prädikatenausdrucks.

Prädikatenausdruckssyntax

Prädikatausdrücke verwenden dieselbe Syntax wie die <predicate_expression> Klausel in CREATE SERVER AUDIT (Transact-SQL), jedoch ohne das WHERE Schlüsselwort:

<predicate_expression> ::=
    { [ NOT ] <predicate_factor>
    [ { AND | OR } [ NOT ] { <predicate_factor> } ] [ ,... n ] }

<predicate_factor> ::=
    event_field_name { = | <> | != | > | >= | < | <= | LIKE }
    { number | 'string' }

• event_field_name entspricht einer Spalte, die von sys.fn_get_audit_file (Transact-SQL) zurückgegeben wird. Du kannst alle dokumentierten Spalten verwenden, außer file_name, audit_file_offset, und event_time.
• action_id und class_type sind Zeichenketten, aber man kann sie nur mit numerischen Werten in einem Prädikat vergleichen.
• String-Vergleiche führen keine implizite Typumwandlung durch.
• Die maximale Ausdruckslänge beträgt 3.000 Zeichen.
• Eine leere Zeichenkette bedeutet, dass kein Prädikat angewendet wird.

Um beispielsweise Aktivitäten auszuschließen, die von einem bekannten Dienstprinzipal oder einer Automatisierungsidentität erzeugt werden, filtern Sie auf server_principal_name. Um wiederholende SELECT Aussagen auszuschließen, filtern Sie auf dem statement Feld: NOT statement LIKE 'SELECT %'.

Einschränkungen

• Ihr Standardarbeitsbereich unterstützt keine SQL-Überwachungsprotokolle.
• SQL-Überwachungsprotokolle werden für Lagermomentaufnahmen nicht unterstützt.

Einschränkungen bei Endpunkten der SQL-Analyse

Die folgenden Einschränkungen gelten beim Überwachen von SQL-Analyseendpunkten:

• DML-Vorgänge werden nicht erfasst. Das Audit zeichnet keine Vorgänge wie INSERT, UPDATE, DELETE und MERGE auf, da die Datenmanipulation für Lakehouse-Tabellen über die Lakehouse-Laufzeitumgebung und nicht über den SQL-Analyseendpunkt erfolgt.
• Der direkte Zugriff auf den Überwachungsordner wird derzeit nicht unterstützt. Benutzer können die zugrunde liegenden .XEL Überwachungsdateien nicht aus dem Lakehouse-Überwachungsordner durchsuchen oder herunterladen.

Sie können weiterhin Audit-Events für SQL-Analytics-Endpunkte mit der T-SQL-Funktion sys.fn_get_audit_file_v2abfragen.

Nächster Schritt

Verwandte Inhalte

• Sicherheit für Data Warehousing in Microsoft Fabric
• Sicherheit in Microsoft Fabric