VNet とファイアウォールの背後にあるストレージ アカウントに対して監査を書き込む

適用対象: Azure SQL Database Azure Synapse Analytics

Azure SQL Database および Azure Synapse Analytics の監査では、仮想ネットワークとファイアウォールの背後にある Azure ストレージ アカウントへの、データベース イベントの書き込みがサポートされています。

この記事では、このオプション向けに Azure SQL Database と Azure ストレージ アカウントを構成する 2 つの方法について説明します。 最初のものは Azure portal を使用し、2 番目のものは REST を使用します。

バックグラウンド

Azure Virtual Network (VNet) は、Azure 内のプライベート ネットワークの基本的な構成要素です。 VNet により、Azure Virtual Machines (VM) などのさまざまな種類の Azure リソースが、他の Azure リソース、インターネット、およびオンプレミスのネットワークと安全に通信することができます。 VNet は、自社のデータ センターにおける従来のネットワークと似ていますが、スケール、可用性、分離性など、Azure インフラストラクチャのさらなる利点を提供します。

VNet の概念やベスト プラクティスなどの詳細については、「Azure Virtual Network とは」を参照してください。

仮想ネットワークの作成方法の詳細については、「クイック スタート:Azure portal を使用した仮想ネットワークの作成」を参照してください。

前提条件

監査により VNet またはファイアウォールの背後にあるストレージ アカウントに書き込むためには、次の前提条件が満たされている必要があります。

Azure Portal での構成

お使いのサブスクリプションで、Azure portal に接続します。 リソース グループとサーバーに移動します。

1. [セキュリティ] の見出しの下にある [監査] をクリックします。 [ON] を選択します。

2. [ストレージ] を選択します。 ログを保存するストレージ アカウントを選択します。 ストレージ アカウントは、前提条件に記載されている要件を満たしている必要があります。

3. [容量の詳細] を開きます

4. 保持期間の日数を選択します。 次に、 [OK] をクリックします 保持期間よりも古いログは削除されます。

5. 監査設定で [保存] を選択します。

VNet またはファイアウォールの背後にあるストレージ アカウントに書き込むように監査を構成できました。

REST コマンドによる構成

Azure portal を使用する代わりに REST コマンドを使用して、VNet とファイアウォールの背後にあるストレージ アカウントにデータベース イベントを書き込むように監査を構成することもできます。

このセクションのサンプル スクリプトでは、スクリプトを実行する前にそれを更新する必要があります。 スクリプト内の次の値を置き換えます。

VNet またはファイアウォールの背後にあるストレージ アカウントにイベントを書き込むように SQL 監査を構成するには、次のようにします。

1. Microsoft Entra ID (旧称 Azure Active Directory) でサーバーを登録する PowerShell または REST API を使用します。

   PowerShell

   Connect-AzAccount
   Select-AzSubscription -SubscriptionId <subscriptionId>
   Set-AzSqlServer -ResourceGroupName <your resource group> -ServerName <azure server name> -AssignIdentity
   

   REST API:

   要求のサンプル

   PUT https://management.azure.com/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Sql/servers/<azure server name>?api-version=2015-05-01-preview
   

   要求本文

   {
   "identity": {
              "type": "SystemAssigned",
              },
   "properties": {
     "fullyQualifiedDomainName": "<azure server name>.database.windows.net",
     "administratorLogin": "<administrator login>",
     "administratorLoginPassword": "<complex password>",
     "version": "12.0",
     "state": "Ready"
     }
   }
   

2. 先ほどの手順で Microsoft Entra ID に登録したデータベースをホストするサーバーに、ストレージ BLOB データ共同作成者ロールを割り当てます。

   詳細な手順については、「Azure portal を使用して Azure ロールを割り当てる」を参照してください。

   Note

   所有者特権を持つメンバーのみが、この手順を実行できます。 さまざまな Azure の組み込みロールについては、「Azure 組み込みロール」を参照してください。

3. storageAccountAccessKey を指定せずに、サーバーの BLOB 監査ポリシーを構成します。

   要求のサンプル

     PUT https://management.azure.com/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Sql/servers/<azure server name>/auditingSettings/default?api-version=2017-03-01-preview
   

   要求本文

   {
     "properties": {
      "state": "Enabled",
      "storageEndpoint": "https://<storage account>.blob.core.windows.net"
     }
   }
   

Azure PowerShell の使用

• データベース監査ポリシーを作成または更新する (Set-AzSqlDatabaseAudit)
• サーバー監査ポリシーを作成または更新する (Set-AzSqlServerAudit)

Azure Resource Manager テンプレートの使用

次の例に示すように、Azure Resource Manager テンプレートを使用して、仮想ネットワークとファイアウォールの背後にあるストレージ アカウントにデータベース イベントを書き込むように監査を構成できます。

• BLOB ストレージに監査ログを書き込むように監査機能を有効にした Azure SQL Server をデプロイする

次のステップ

• PowerShell を使用して、仮想ネットワーク サービス エンドポイントと、Azure SQL Database の仮想ネットワーク規則を作成する。
• 仮想ネットワーク規則:REST API を使用した操作
• サーバーの仮想ネットワーク サービス エンドポイントとルールを使用する