Freigeben über

Extended Server Blob Auditing Policies - Get

Dienst:
SQL Database
API-Version:
2025-01-01

Es bekommt die Blob-Auditing-Policy eines erweiterten Servers.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Sql/servers/{serverName}/extendedAuditingSettings/default?api-version=2025-01-01

URI-Parameter

Name In Erforderlich Typ Beschreibung
blobAuditingPolicyName
 path True

BlobAuditingPolicyName

Der Name der Blob-Audit-Richtlinie.
resourceGroupName
 path True

string

minLength: 1
maxLength: 90

Der Name der Ressourcengruppe. Bei dem Namen wird die Groß-/Kleinschreibung nicht beachtet.
serverName
 path True

string

Name des Servers
subscriptionId
 path True

string (uuid)

Die ID des Zielabonnements. Der Wert muss eine UUID sein.
api-version
 query True

string

minLength: 1

Die API-Version, die für diesen Vorgang verwendet werden soll.

Antworten

Name Typ Beschreibung
200 OK

ExtendedServerBlobAuditingPolicy

Azure-Operation erfolgreich abgeschlossen.
Other Status Codes

ErrorResponse

Unerwartete Fehlerantwort.

Sicherheit

azure_auth

Azure Active Directory OAuth2 Flow.

Typ: oauth2
Ablauf: implicit
Autorisierungs-URL: https://login.microsoftonline.com/common/oauth2/authorize

Bereiche

Name Beschreibung
user_impersonation Identitätswechsel ihres Benutzerkontos

Beispiele

Get a server's blob extended auditing policy

Beispielanforderung

GET https://management.azure.com/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-4799/providers/Microsoft.Sql/servers/blobauditingtest-6440/extendedAuditingSettings/default?api-version=2025-01-01

Beispiel für eine Antwort

Statuscode:
200 
{
  "name": "default",
  "type": "Microsoft.Sql/servers/extendedAuditingSettings",
  "id": "/subscriptions/00000000-1111-2222-3333-444444444444/resourceGroups/blobauditingtest-6852/providers/Microsoft.Sql/servers/blobauditingtest-2080/extendedAuditingSettings/default",
  "properties": {
    "auditActionsAndGroups": [],
    "isAzureMonitorTargetEnabled": false,
    "isManagedIdentityInUse": false,
    "isStorageSecondaryKeyInUse": false,
    "predicateExpression": "object_name = 'SensitiveData'",
    "retentionDays": 0,
    "state": "Disabled",
    "storageAccountSubscriptionId": "00000000-0000-0000-0000-000000000000",
    "storageEndpoint": ""
  }
}

Definitionen

Name Beschreibung
BlobAuditingPolicyName
BlobAuditingPolicyState

Gibt den Status der Überwachung an. Wenn der Status aktiviert ist, sind "storageEndpoint" oder "isAzureMonitorTargetEnabled" erforderlich.
createdByType

Der Identitätstyp, der die Ressource erstellt hat.
ErrorAdditionalInfo

Der Ressourcenverwaltungsfehler zusätzliche Informationen.
ErrorDetail

Das Fehlerdetails.
ErrorResponse

Fehlerantwort
ExtendedServerBlobAuditingPolicy

Eine erweiterte Server-BLOB-Überwachungsrichtlinie.
systemData

Metadaten zur Erstellung und letzten Änderung der Ressource.

BlobAuditingPolicyName

Enumeration
Wert Beschreibung
default

Standardwert

BlobAuditingPolicyState

Enumeration

Gibt den Status der Überwachung an. Wenn der Status aktiviert ist, sind "storageEndpoint" oder "isAzureMonitorTargetEnabled" erforderlich.

Wert Beschreibung
Enabled

Aktiviert
Disabled

Deaktiviert

createdByType

Enumeration

Der Identitätstyp, der die Ressource erstellt hat.

Wert Beschreibung
User
Application
ManagedIdentity
Key

ErrorAdditionalInfo

Objekt

Der Ressourcenverwaltungsfehler zusätzliche Informationen.

Name Typ Beschreibung
info

object

Die zusätzlichen Informationen.
type

string

Der zusätzliche Informationstyp.

ErrorDetail

Objekt

Das Fehlerdetails.

Name Typ Beschreibung
additionalInfo

ErrorAdditionalInfo[]

Die zusätzlichen Informationen des Fehlers.
code

string

Der Fehlercode.
details

ErrorDetail[]

Die Fehlerdetails.
message

string

Die Fehlermeldung.
target

string

Das Fehlerziel.

ErrorResponse

Objekt

Fehlerantwort

Name Typ Beschreibung
error

ErrorDetail

Das Fehlerobjekt.

ExtendedServerBlobAuditingPolicy

Objekt

Eine erweiterte Server-BLOB-Überwachungsrichtlinie.

Name Typ Beschreibung
id

string (arm-id)

Vollqualifizierte Ressourcen-ID für die Ressource. Z. B. "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/{resourceProviderNamespace}/{resourceType}/{resourceName}"
name

string

Der Name der Ressource
properties.auditActionsAndGroups

string[]

Gibt die zu überwachenden Actions-Groups und Aktionen an.

Die empfohlene Gruppe von Aktionsgruppen ist die folgende Kombination : Dadurch werden alle Abfragen und gespeicherten Prozeduren überwacht, die für die Datenbank ausgeführt werden, sowie erfolgreiche und fehlgeschlagene Anmeldungen:

BATCH_COMPLETED_GROUP, SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP, FAILED_DATABASE_AUTHENTICATION_GROUP.

Diese oben genannte Kombination ist auch das Set, das standardmäßig konfiguriert wird, wenn das Auditing über das Azure-Portal aktiviert wird.

Die unterstützten Aktionsgruppen für die Überwachung sind (Hinweis: Wählen Sie nur bestimmte Gruppen aus, die Ihre Überwachungsanforderungen abdecken. Die Verwendung unnötiger Gruppen könnte zu sehr großen Mengen von Überwachungsdatensätzen führen:

APPLICATION_ROLE_CHANGE_PASSWORD_GROUP BACKUP_RESTORE_GROUP DATABASE_LOGOUT_GROUP DATABASE_OBJECT_CHANGE_GROUP DATABASE_OBJECT_OWNERSHIP_CHANGE_GROUP DATABASE_OBJECT_PERMISSION_CHANGE_GROUP DATABASE_OPERATION_GROUP DATABASE_PERMISSION_CHANGE_GROUP DATABASE_PRINCIPAL_CHANGE_GROUP DATABASE_PRINCIPAL_IMPERSONATION_GROUP DATABASE_ROLE_MEMBER_CHANGE_GROUP FAILED_DATABASE_AUTHENTICATION_GROUP SCHEMA_OBJECT_ACCESS_GROUP SCHEMA_OBJECT_CHANGE_GROUP SCHEMA_OBJECT_ OWNERSHIP_CHANGE_GROUP SCHEMA_OBJECT_PERMISSION_CHANGE_GROUP SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP USER_CHANGE_PASSWORD_GROUP BATCH_STARTED_GROUP BATCH_COMPLETED_GROUP DBCC_GROUP DATABASE_OWNERSHIP_CHANGE_GROUP DATABASE_CHANGE_GROUP LEDGER_OPERATION_GROUP

Dies sind Gruppen, die alle sql-Anweisungen und gespeicherten Prozeduren abdecken, die für die Datenbank ausgeführt werden, und sollten nicht in Kombination mit anderen Gruppen verwendet werden, da dies zu doppelten Überwachungsprotokollen führt.

Weitere Informationen finden Sie unter Database-Level Überwachen von Aktionsgruppen.

Für die Datenbanküberwachungsrichtlinie können auch bestimmte Aktionen angegeben werden (beachten Sie, dass Aktionen für die Serverüberwachungsrichtlinie nicht angegeben werden können). Die unterstützten Aktionen zum Prüfen sind: AUSWÄHLEN AKTUALISIEREN, EINFÜGEN, LÖSCHEN AUSFÜHREN, EMPFANGSREFERENZEN AUSFÜHREN

Die allgemeine Form zur Definition einer zu auditierenden Aktion lautet: {action} ON {object} BY {principal}

Beachten Sie, dass <Objekt> im obigen Format auf ein Objekt wie eine Tabelle, Ansicht oder gespeicherte Prozedur oder eine gesamte Datenbank oder ein gesamtes Schema verweisen kann. In letzteren Fällen werden die Formulare DATABASE::{db_name} und SCHEMA::{schema_name} verwendet.

Zum Beispiel: SELECT on dbo.myTable by public SELECT on DATABASE::myDatabase by public SELECT on SCHEMA::mySchema by public

Weitere Informationen finden Sie unter Database-Level Überwachungsaktionen
properties.isAzureMonitorTargetEnabled

boolean

Spezifiziert, ob Audit-Events an Azure Monitor gesendet werden. Um die Ereignisse an Azure Monitor zu senden, geben Sie 'State' als 'Enabled' und 'IsAzureMonitorTargetEnabled' als true an.

Bei Verwendung der REST-API zum Konfigurieren der Überwachung sollten auch Diagnoseeinstellungen mit der Diagnoseprotokollkategorie "SQLSecurityAuditEvents" in der Datenbank erstellt werden. Beachten Sie, dass Sie für die Überwachung auf Serverebene die Datenbank "master" als {databaseName} verwenden sollten.

Diagnoseeinstellungen URI-Format: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/{databaseName}/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Weitere Informationen finden Sie unter REST-API für Diagnoseeinstellungen oder Diagnoseeinstellungen powerShell-
properties.isDevopsAuditEnabled

boolean

Gibt den Status der Devops-Überwachung an. Wenn der Zustand aktiviert ist, werden DevOps-Logs an Azure Monitor gesendet. Um die Ereignisse an Azure Monitor zu senden, geben Sie 'State' als 'Enabled', 'IsAzureMonitorTargetEnabled' als true und 'IsDevopsAuditEnabled' als true an

Bei Verwendung der REST-API zum Konfigurieren der Überwachung sollten auch Diagnoseeinstellungen mit der Diagnoseprotokollkategorie "DevOpsOperationsAudit" in der Masterdatenbank erstellt werden.

Diagnoseeinstellungen URI-Format: PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.Sql/servers/{serverName}/databases/master/providers/microsoft.insights/diagnosticSettings/{settingsName}?api-version=2017-05-01-preview

Weitere Informationen finden Sie unter REST-API für Diagnoseeinstellungen oder Diagnoseeinstellungen powerShell-
properties.isManagedIdentityInUse

boolean

Gibt an, ob verwaltete Identität für den Zugriff auf BLOB-Speicher verwendet wird.
properties.isStorageSecondaryKeyInUse

boolean

Gibt an, ob storageAccountAccessKey-Wert der Sekundärschlüssel des Speichers ist.
properties.predicateExpression

string

Gibt die Bedingung an, wo Klausel beim Erstellen einer Überwachung festgelegt wird.
properties.queueDelayMs

integer (int32)

Gibt die Zeitspanne in Millisekunden an, die verstrichen werden kann, bevor Überwachungsaktionen verarbeitet werden müssen. Der Standardwert ist 1000 (1 Sekunde). Das Maximum beträgt 2.147.483.647.
properties.retentionDays

integer (int32)

Gibt die Anzahl der Tage an, die in den Überwachungsprotokollen im Speicherkonto gespeichert werden sollen.
properties.state

BlobAuditingPolicyState

Gibt den Status der Überwachung an. Wenn der Status aktiviert ist, sind "storageEndpoint" oder "isAzureMonitorTargetEnabled" erforderlich.
properties.storageAccountAccessKey

string (password)

Gibt den Bezeichnerschlüssel des Überwachungsspeicherkontos an. Wenn der Status aktiviert ist und "storageEndpoint" angegeben ist, verwendet "storageAccountAccessKey" nicht die vom Sql Server zugewiesene verwaltete Identität für den Zugriff auf den Speicher. Voraussetzungen für die Verwendung der verwalteten Identitätsauthentifizierung:

  1. Weisen Sie SQL Server eine systemzugewiesene verwaltete Identität in Azure Active Directory (AAD) zu.
  2. Gewähren Sie dem Speicherkonto Zugriff auf die SQL Server-Identität, indem Sie die Rolle 'Storage Blob Data Contributor' RBAC zur Serveridentität hinzufügen. Weitere Informationen finden Sie unter Überwachung des Speichers mit verwalteter Identitätsauthentifizierung
properties.storageAccountSubscriptionId

string (uuid)

Gibt die BLOB-Speicherabonnement-ID an.
properties.storageEndpoint

string

Gibt den BLOB-Speicherendpunkt an (z. B. https://MyAccount.blob.core.windows.net). Wenn der Status aktiviert ist, ist "storageEndpoint" oder "isAzureMonitorTargetEnabled" erforderlich.
systemData

systemData

Azure Resource Manager-Metadaten, die createdBy und modifiedBy-Informationen enthalten.
type

string

Der Typ der Ressource. Zum Beispiel "Microsoft. Compute/virtualMachines" oder "Microsoft. Speicher/Speicherkonten"

systemData

Objekt

Metadaten zur Erstellung und letzten Änderung der Ressource.

Name Typ Beschreibung
createdAt

string (date-time)

Der Zeitstempel der Ressourcenerstellung (UTC).
createdBy

string

Die Identität, die die Ressource erstellt hat.
createdByType

createdByType

Der Identitätstyp, der die Ressource erstellt hat.
lastModifiedAt

string (date-time)

Der Zeitstempel der letzten Änderung der Ressource (UTC)
lastModifiedBy

string

Die Identität, die die Ressource zuletzt geändert hat.
lastModifiedByType

createdByType

Der Identitätstyp, der die Ressource zuletzt geändert hat.