Informazioni di riferimento sulla tabella di sistema del log di controllo

Questo articolo descrive lo schema della tabella dei log di controllo e include query di esempio che è possibile usare con la tabella di sistema del log di controllo per rispondere alle domande comuni sull'utilizzo degli account. Per informazioni sugli eventi del log di controllo, vedere Informazioni di riferimento sul log di diagnostica.

Percorso tabella: questa tabella di sistema si trova in system.access.audit.

Considerazioni sul log di controllo

• La maggior parte dei log di controllo è disponibile solo nell'area dell'area di lavoro.
• In tutte le aree sono disponibili solo i log a livello di account del catalogo Unity.
• I log di controllo a livello di account registrano workspace_id come 0.

Schema della tabella di sistema del log di controllo

La tabella di sistema del log di controllo usa lo schema seguente:

Query di esempio

Le sezioni seguenti includono query di esempio che è possibile usare per ottenere informazioni dettagliate sulla tabella di sistema dei log di controllo. Per il funzionamento di queste query, sostituire i valori tra parentesi graffe {{}} con i parametri.

Questo articolo include le query di esempio seguenti:

• Chi può accedere a questa tabella?
• Quali utenti hanno eseguito l'accesso a una tabella nell'ultimo giorno?
• Quali tabelle hanno eseguito l'accesso a un utente?
• Visualizzare le modifiche alle autorizzazioni per tutti gli oggetti a protezione diretta
• Visualizzare i comandi dei notebook eseguiti più di recente
• Quali utenti hanno eseguito l'accesso a un'app Databricks?
• Quali app di Databricks sono state aggiornate per modificare la modalità di condivisione dell'app con altri utenti o gruppi?

Chi può accedere a questa tabella?

Questa query usa per information_schema determinare quali utenti dispongono delle autorizzazioni per una tabella.

SELECT DISTINCT(grantee) AS `ACCESSIBLE BY`
FROM system.information_schema.table_privileges
WHERE table_schema = '{{schema_name}}' AND table_name = '{{table_name}}'
  UNION
    SELECT table_owner
    FROM system.information_schema.tables
    WHERE table_schema = '{{schema_name}}' AND table_name = '{{table}}'
  UNION
    SELECT DISTINCT(grantee)
    FROM system.information_schema.schema_privileges
    WHERE schema_name = '{{schema_name}}'

Quali utenti hanno eseguito l'accesso a una tabella nell'ultimo giorno?

SELECT
  user_identity.email as `User`,
  IFNULL(request_params.full_name_arg,
    request_params.name)
    AS `Table`,
    action_name AS `Type of Access`,
    event_time AS `Time of Access`
FROM system.access.audit
WHERE (request_params.full_name_arg = '{{catalog.schema.table}}'
  OR (request_params.name = '{{table_name}}'
  AND request_params.schema_name = '{{schema_name}}'))
  AND action_name
    IN ('createTable','getTable','deleteTable')
  AND event_date > now() - interval '1 day'
ORDER BY event_date DESC

Quali tabelle hanno eseguito l'accesso a un utente?

SELECT
        action_name as `EVENT`,
        event_time as `WHEN`,
        IFNULL(request_params.full_name_arg, 'Non-specific') AS `TABLE ACCESSED`,
        IFNULL(request_params.commandText,'GET table') AS `QUERY TEXT`
FROM system.access.audit
WHERE user_identity.email = '{{User}}'
        AND action_name IN ('createTable',
'commandSubmit','getTable','deleteTable')
        -- AND datediff(now(), event_date) < 1
        -- ORDER BY event_date DESC

Risultato di esempio

Visualizzare le modifiche alle autorizzazioni per tutti gli oggetti a protezione diretta

Questa query restituirà un evento per ogni modifica dell'autorizzazione che si è verificata nell'account. La query restituirà l'utente che ha apportato la modifica, il tipo di oggetto a protezione diretta e il nome e le modifiche specifiche apportate.

SELECT event_time, user_identity.email, request_params.securable_type, request_params.securable_full_name, request_params.changes
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name = 'updatePermissions'
ORDER BY 1 DESC

Visualizzare i comandi dei notebook eseguiti più di recente

Questa query restituisce i comandi del notebook di esecuzione più recenti e l'utente che ha eseguito il comando.

SELECT event_time, user_identity.email, request_params.commandText
FROM system.access.audit
WHERE action_name = `runCommand`
ORDER BY event_time DESC
LIMIT 100

Quali utenti hanno eseguito l'accesso a un'app Databricks?

Questa query restituisce un evento per ogni account di accesso a un'istanza dell'app Databricks.

SELECT
  event_date,
  workspace_id,
  request_params.request_object_id as app,
  user_identity.email as user_email,
  user_identity.subject_name as username
FROM
  system.access.audit
WHERE
  action_name IN ("workspaceInHouseOAuthClientAuthentication", "mintOAuthToken", "mintOAuthAuthorizationCode")
AND
  request_params["client_id"] LIKE "{{application-ID}}"
GROUP BY
  event_date,
  workspace_id,
  app,
  user_email,
  username

Sostituire {{application-ID}} con il valore ID applicazione per l'entità servizio assegnata a un'app Databricks specifica. Questo valore è disponibile nelle impostazioni di amministrazione per l'area di lavoro di Databricks che ospita l'app.

Quali app di Databricks sono state aggiornate per modificare la modalità di condivisione dell'app con altri utenti o gruppi?

Questa query restituisce eventi per gli aggiornamenti delle autorizzazioni per modificare l'accesso alle app Databricks, tra cui il tipo di autorizzazione, l'utente o il gruppo a cui viene assegnata la nuova autorizzazione e l'utente che ha inviato la modifica.

SELECT
  event_date,
  workspace_id,
  request_params['request_object_id'] as app,
  user_identity['email'] as sharing_user,
  acl_entry['group_name'],
  acl_entry['user_name'],
  acl_entry['permission_level']
FROM
  system.access.audit t
LATERAL VIEW
  explode(from_json(request_params['access_control_list'], 'array<struct<user_name:string,permission_level:string,group_name:string>>')) acl_entry AS acl_entry
WHERE
  action_name = 'changeAppsAcl'
AND
  request_params['request_object_type'] = 'apps'
ORDER BY
  event_date DESC