Fabric Data Warehouse の SQL 監査ログ

適用対象:✅ Microsoft Fabric の SQL 分析エンドポイントおよびウェアハウス

Fabric Data Warehouse の監査では、データベース イベントを追跡および記録することで、セキュリティとコンプライアンスの能力を強化できます。

SQL 監査ログを使用すると、次のような主要なアクションの監査証跡を維持することで、データベース アクティビティを監視し、潜在的なセキュリティ脅威を検出し、コンプライアンス要件を満たすことができます。

• 認証の試行とアクセス制御の変更
• データ アクセスと変更の操作
• スキーマの変更と管理アクティビティ
• アクセス許可の変更とセキュリティ構成

開始するには、「 Fabric Data Warehouse で SQL 監査ログを構成する方法」の手順を確認します。

Storage

SQL 監査ログは保存時に暗号化され、OneLake に格納されます。

Fabric Data Warehouse の場合、監査ログは OneLake のウェアハウス.XELに格納されているファイルに書き込まれます。

次の ロール を持つユーザーは、監査フォルダーにアクセスできます。

• ワークスペース 管理者
• Workspace メンバー
• ワークスペース の共同作成者
• すべてを読む権限があるワークスペースビューアー

これらのユーザーは次のことができます。

• 監査フォルダーを参照する
• SQL 監査によって生成された .XEL 監査ファイルを表示する
• オフライン分析用のファイルをコピーする
• SQL Server Management Studio (SSMS) などのツールを使用してファイルを開く

sys.fn_get_audit_file_v2を使用して T-SQL を使用して監査ログにクエリを実行することもできます。

手順については、Fabric Data Warehouse で SQL 監査ログを構成する方法を参照してください。

Performance

SQL 監査ログ機能は、監査対象のデータベースの可用性とパフォーマンスに最適化されています。 アクティビティが非常に高い、またはネットワーク負荷が高い期間中、監査機能は、監査対象としてマークされたすべてのイベントを記録せずにトランザクションが続行するのを許可する場合があります。

権限

監査ログを構成してクエリを実行するには、 監査クエリ (監査) アクセス許可が必要です。

• 既定では、ワークスペース管理者には、ワークスペース内のすべての項目に対する監査クエリのアクセス許可があります。
• 管理者は、[共有] ダイアログ ボックスを使用して、項目に対する監査クエリのアクセス許可を他のユーザーに付与できます。

ワークスペース管理者は、Fabric ポータルの [共有] メニュー オプションを使用して、監査クエリのアクセス許可を項目に付与できます。 ユーザーが監査クエリのアクセス許可を持っているかどうかを確認するには、[アクセス許可の管理] 設定を確認します。

1. 倉庫アイテムで、[ 共有 ] ボタンを選択します。

   または、Fabric ポータルのワークスペースで実行します。 倉庫アイテムの ... コンテキスト メニューを選択し、[ アクセス許可の管理] を選択します。

2. [ ユーザーのアクセス権の付与 ] ウィンドウでは、ユーザーにアクセス許可を付与できます。

   アイテムの [共有] メニューで監査クエリ (監査) 権限を選択する場所を示すスクリーンショット。

T-SQL アクセス許可を使用した監査ログのクエリ

また、ワークスペースの管理者ロールがない場合でも、 VIEW DATABASE SECURITY AUDIT アクセス許可を付与することで、T-SQL アクセス許可を使用して監査ログにクエリを実行する機能をユーザーに付与することもできます。

次のアクセス許可を付与すると、ユーザーは sys.fn_get_audit_file_v2 関数を使用して監査ログを照会できます。

GRANT VIEW DATABASE SECURITY AUDIT TO [user];

データベース レベルの監査アクション グループとアクション

監査ログ構成のアクセシビリティを高めるために、Fabric ポータルではフレンドリ名を使用して、SQL 管理者以外や他のユーザーがキャプチャされた Fabric Data Warehouse イベントを簡単に理解できるようにします。

ファブリックは、これらのフレンドリ名を基になる SQL 監査アクション グループにマップします。 参照として次の表を使用します。

データベース レベルの監査アクション

アクション グループに加えて、個々の監査アクションを構成して、特定のデータベース イベントをログに記録できます。

制限事項

• 既定のワークスペースでは、SQL 監査ログはサポートされていません。
• SQL 監査ログは、 ウェアハウス スナップショットではサポートされていません。

SQL 分析エンドポイントの制限事項

SQL 分析エンドポイントを監査する場合は、次の制限が適用されます。

• DML 操作はキャプチャされません。 監査では、sql 分析エンドポイントではなく Lakehouse ランタイムを介して Lakehouse テーブルのデータ操作が行われるため、 INSERT、 UPDATE、 DELETE、 MERGE などの操作は記録されません。
• 監査フォルダーへの直接アクセスは現在サポートされていません。 ユーザーは、基になる .XEL 監査ファイルを Lakehouse 監査フォルダーから参照またはダウンロードできません。

T-SQL 関数 sys.fn_get_audit_file_v2を使用して、SQL 分析エンドポイントの監査イベントのクエリを実行できます。

次のステップ

関連コンテンツ

• Microsoft Fabric のデータ ウェアハウスのセキュリティ
• Microsoft Fabric のセキュリティ