Formato del log di controllo del database SQL

  • Articolo

Si applica a: Database SQL di Azure Istanza gestita di SQL di Azure Azure Synapse Analytics

Il controllo del database SQL di Azure tiene traccia degli eventi che si verificano nel database e li registra in un log di controllo nell'account di archiviazione di Azure, o li invia a Hub eventi o Log Analytics per l'elaborazione downstream e l'analisi.

Convenzioni di denominazione

Controllo BLOB

I log di controllo archiviati nell'archiviazione BLOB di Azure vengono archiviati in un contenitore denominato sqldbauditlogs nell’account di archiviazione di Azure. La gerarchia delle directory all'interno del contenitore è nel formato <ServerName>/<DatabaseName>/<AuditName>/<Date>/. Il formato del nome file BLOB è <CreationTime>_<FileNumberInSession>.xel, dove CreationTime è in formato UTC hh_mm_ss_ms e FileNumberInSession è un indice di esecuzione nel caso in cui i log di sessione si estendano su più file BLOB.

Ad esempio, per il database Database1 nel Server1, il seguente è un possibile percorso valido:

Server1/Database1/SqlDbAuditing_ServerAudit_NoRetention/2019-02-03/12_23_30_794_0.xel

I log di controllo delle repliche di sola lettura vengono archiviati nello stesso contenitore. La gerarchia delle directory all'interno del contenitore è nel formato <ServerName>/<DatabaseName>/<AuditName>/<Date>/RO/. Il nome del file BLOB condivide lo stesso formato. I log di controllo delle repliche di sola lettura vengono archiviati nello stesso contenitore.

Hub eventi

Gli eventi di controllo vengono scritti nello spazio dei nomi e nell'hub eventi definito durante la configurazione di controllo e vengono acquisiti nel corpo degli eventi Apache Avro e archiviati usando la formattazione JSON con la codifica UTF-8. Per leggere i log di controllo, è possibile usare Avro Tools o strumenti simili in grado di elaborare tale formato.

Log Analytics

Gli eventi di controllo vengono scritti nell'area di lavoro Log Analytics definita durante la configurazione del controllo, nella tabella AzureDiagnostics con la categoria SQLSecurityAuditEvents, e la tabella con la categoria DevOpsOperationsAudit per le Operazioni di supporto tecnico Microsoft. Per altre informazioni utili sul linguaggio di ricerca e i comandi di Log Analytics, vedere Guida di riferimento alla ricerca in Log Analytics.

Campi del log di controllo

Nome (BLOB) Nome (Hub eventi/Log Analytics) Descrizione Tipo di BLOB Tipo di Hub eventi/Log Analytics
action_id action_id_s ID dell'azione. varchar(4) string
action_name action_name_s Nome dell'azione N/D string
additional_information additional_information_s Qualsiasi informazione aggiuntiva sull'evento, archiviata in formato XML nvarchar(4000) string
affected_rows affected_rows_d Numero di righe interessate dalla query bigint int
application_name application_name_s Nome dell’applicazione client nvarchar(128) string
audit_schema_version audit_schema_version_d Sempre 1 int int
class_type class_type_s Tipo di entità controllabile in cui si verifica il controllo varchar(2) string
class_type_desc class_type_description_s Descrizione dell’entità controllabile in cui si verifica il controllo N/D string
client_ip client_ip_s IP sorgente dell’applicazione client nvarchar(128) string
connection_id N/D ID della connessione nel server GUID N/D
data_sensitivity_information data_sensitivity_information_s Tipi di informazioni ed etichette di riservatezza restituite dalla query di controllo, in base alle colonne classificate nel database. Informazioni sull'individuazione e la classificazione dei dati nel database SQL di Azure nvarchar(4000) string
database_name database_name_s Contesto del database in cui si è verificata l'azione sysname string
database_principal_id database_principal_id_d ID del contesto dell'utente del database in cui viene eseguita l'azione int int
database_principal_name database_principal_name_s Nome del contesto dell'utente del database in cui viene eseguita l'azione sysname string
duration_milliseconds duration_milliseconds_d Durata dell’esecuzione della query in millisecondi bigint int
event_time event_time_t Data e ora di attivazione dell'azione controllabile datetime2 datetime
host_name N/D Nome host del client string N/D
is_column_permission is_column_permission_s Flag che indica se si tratta di un'autorizzazione a livello di colonna. 1 = true, 0 = false bit string
N/D is_server_level_audit_s Flag che indica se questo controllo è a livello di server N/D string
object_id object_id_d ID dell'entità in cui si è verificato il controllo. Sono inclusi gli oggetti server, i database, gli oggetti di database e gli oggetti dello schema. 0 se l'entità è il server stesso o se il controllo non viene eseguito a livello di oggetto int int
object_name object_name_s Nome dell'entità in cui si è verificato il controllo. Sono inclusi gli oggetti server, i database, gli oggetti di database e gli oggetti dello schema. 0 se l'entità è il server stesso o se il controllo non viene eseguito a livello di oggetto sysname string
obo_middle_tier_app_id obo_middle_tier_app_id_s ID applicazione dell'applicazione di livello intermedio connessa a database SQL tramite l'accesso OBO. varchar(120) string
permission_bitmask permission_bitmask_s Se applicabile, visualizza le autorizzazioni concesse, negate o revocate. varbinary(16) string
response_rows response_rows_d Numero di righe restituite nel set di risultati bigint int
schema_name schema_name_s Contesto dello schema in cui si è verificata l'azione. NULL per i controlli che si verificano al di fuori di uno schema sysname string
N/D securable_class_type_s Oggetto a protezione diretta che esegue il mapping al campo class_type controllato N/D string
sequence_group_id sequence_group_id_g Identificatore univoco varbinary GUID
sequence_number sequence_number_d Viene tenuta traccia della sequenza dei record all'interno di un singolo record di controllo con dimensioni troppo elevate per il buffer di scrittura dei controlli. Notare che il controllo del database SQL di Azure e di Azure Synapse archivia 4000 caratteri di dati per i campi di tipo carattere in un record di controllo. Quando sono presenti più di 4000 caratteri, tutti i dati oltre i primi 4000 caratteri verranno troncati int int
server_instance_name server_instance_name_s Nome dell'istanza del server in cui si è verificato il controllo sysname string
server_principal_id server_principal_id_d ID del contesto dell'account di accesso utilizzato per eseguire l'azione int int
server_principal_name server_principal_name_s Account di accesso corrente sysname string
server_principal_sid server_principal_sid_s SID dell'account di accesso corrente varbinary string
session_id session_id_d ID della sessione in cui si è verificato l'evento smallint int
session_server_principal_name session_server_principal_name_s Entità server per la sessione sysname string
statement statement_s Istruzione T-SQL eseguita (se disponibile) nvarchar(4000) string
succeeded succeeded_s Indica se l'azione che ha generato l'evento è riuscita. Per gli eventi diversi da accesso e batch, riporta solo l'esito del controllo dell'autorizzazione, non l'operazione. 1 = Esito positivo, 0 = Esito negativo bit string
target_database_principal_id target_database_principal_id_d Entità database su cui viene eseguita un'operazione GRANT/DENY/REVOKE. 0 se non applicabile int int
target_database_principal_name target_database_principal_name_s Utente di destinazione dell'azione. Se questo attributo non è applicabile, il valore è NULL string string
target_server_principal_id target_server_principal_id_d Entità server su cui viene eseguita un'operazione GRANT/DENY/REVOKE. Se non applicabile, restituisce 0 int int
target_server_principal_name target_server_principal_name_s Account di accesso di destinazione dell'azione. Se questo attributo non è applicabile, il valore è NULL sysname string
target_server_principal_sid target_server_principal_sid_s SID dell'account di accesso di destinazione. Se questo attributo non è applicabile, il valore è NULL varbinary string
transaction_id transaction_id_d Solo SQL Server (a partire dalla versione 2016) - 0 per database SQL di Azure bigint int
user_defined_event_id user_defined_event_id_d ID evento definito dall'utente passato come argomento a sp_audit_write. NULL per gli eventi di sistema (impostazione predefinita) e diverso da zero per l'evento definito dall'utente. Per altre informazioni, vedere sp_audit_write (Transact-SQL) smallint int
user_defined_information user_defined_information_s Informazioni definite dall'utente passate come argomento a sp_audit_write. NULL per gli eventi di sistema (impostazione predefinita) e diverso da zero per l'evento definito dall'utente. Per altre informazioni, vedere sp_audit_write (Transact-SQL) nvarchar(4000) string

Passaggi successivi

Altre informazioni sul controllo del database SQL di Azure.