Tabellreferens för granskningsloggsystem

Den här artikeln beskriver schemat för granskningsloggtabellen och innehåller exempelfrågor som du kan använda med systemtabellen för granskningsloggar för att besvara vanliga frågor om kontoaktivitet. Information om granskningslogghändelser finns i Diagnostikloggreferens.

Tabellsökväg: Den här systemtabellen finns på system.access.audit.

Överväganden för granskningsloggar

• De flesta granskningsloggar är endast tillgängliga i arbetsytans region.
• Granskningsloggar på kontonivå registreras workspace_id som 0.

Tabellschema för granskningsloggsystem

Systemtabellen för granskningsloggar använder följande schema:

Exempelfrågor

Följande avsnitt innehåller SQL-exempelfrågor som du kan använda för att få insikter om systemtabellen för granskningsloggar.

Den här artikeln innehåller följande exempelfrågor:

• Vem kan komma åt den här tabellen?
• Vilka användare har använt en tabell under den senaste sju dagen?
• Vilka tabeller har en användare nyligen fått åtkomst till?
• Visa behörighetsändringar för alla skyddsbara objekt
• Visa de senaste körda notebook-kommandona
• Vilka användare har loggat in på en Databricks-app?
• Vilka Databricks-appar har uppdaterats för att ändra hur appen delas med andra användare eller grupper?

Vem kan komma åt den här tabellen?

Den här frågan använder information_schema för att avgöra vilka användare som har behörighet för en tabell. Ange värden för parametrarna katalog, schema och tabellnamn.

SELECT DISTINCT(grantee), privilege_type, 'catalog' AS level
FROM system.information_schema.catalog_privileges
WHERE
  catalog_name = :catalog_name
UNION
SELECT DISTINCT(grantee), privilege_type, 'schema' AS level
FROM system.information_schema.schema_privileges
WHERE
  catalog_name = :catalog_name AND schema_name = :schema_name
UNION
SELECT DISTINCT(grantee) AS `accessible by`, privilege_type, 'table' AS level
FROM
  system.information_schema.table_privileges
WHERE
  table_catalog = :catalog_name AND table_schema = :schema_name AND table_name = :table_name
UNION
SELECT table_owner, 'ALL_PRIVILEGES' AS privilege_type, 'owner' AS level
FROM system.information_schema.tables
WHERE
  table_catalog = :catalog_name AND table_schema = :schema_name AND table_name = :table_name

Vilka användare har använt en tabell under den senaste sju dagen?

För att den här frågan ska fungera anger du tabellsökvägsinformationen i frågeparametrarna.

SELECT
  user_identity.email as `User`,
  IFNULL(
    request_params.full_name_arg,
    request_params.name
  ) AS `Table`,
  action_name AS `Type of Access`,
  event_time AS `Time of Access`
FROM
  system.access.audit
WHERE
  (
    request_params.full_name_arg = :table_full_name
    OR (
      request_params.name = :table_name
      AND request_params.schema_name = :schema_name
    )
  )
  AND action_name IN ('createTable', 'getTable', 'deleteTable')
  AND event_date > now() - interval 7 day
ORDER BY
  event_date DESC

Vilka tabeller har en användare nyligen fått åtkomst till?

För att den här frågan ska fungera anger du användarens e-post i parametern :User och ett tal i parametern :days_ago.

SELECT
  action_name as `EVENT`,
  event_time as `WHEN`,
  IFNULL(request_params.full_name_arg, 'Non-specific') AS `TABLE ACCESSED`,
  IFNULL(request_params.commandText, 'GET table') AS `QUERY TEXT`
FROM
  system.access.audit
WHERE
  user_identity.email = :User
  AND action_name IN (
    'createTable',
    'commandSubmit',
    'getTable',
    'deleteTable'
  )
  AND datediff(now(), event_date) < :days_ago
ORDER BY
  event_date DESC

Exempelresultat

Visa behörighetsändringar för alla skyddsbara objekt

Den här frågan returnerar en händelse för varje behörighetsändring som har inträffat i ditt konto. Frågan returnerar den användare som gjorde ändringen, den skyddsbara objekttypen och namnet samt de specifika ändringar som gjordes.

SELECT event_time, user_identity.email, request_params.securable_type, request_params.securable_full_name, request_params.changes
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name = 'updatePermissions'
ORDER BY 1 DESC

Visa de senaste körda notebook-kommandona

Den här frågan returnerar de senast körda notebook-kommandona och användaren som körde kommandot.

SELECT event_time, user_identity.email, request_params.commandText
FROM system.access.audit
WHERE action_name = `runCommand`
ORDER BY event_time DESC
LIMIT 100

Vilka användare har loggat in på en Databricks-app?

Den här frågan returnerar en händelse för varje inloggning till en Databricks-appinstans.

SELECT
  event_date,
  workspace_id,
  request_params.request_object_id as app,
  user_identity.email as user_email,
  user_identity.subject_name as username
FROM
  system.access.audit
WHERE
  action_name IN ("workspaceInHouseOAuthClientAuthentication", "mintOAuthToken", "mintOAuthAuthorizationCode")
AND
  request_params["client_id"] LIKE "{{application-ID}}"
GROUP BY
  event_date,
  workspace_id,
  app,
  user_email,
  username

Ersätt {{application-ID}} med program-ID-värdet för tjänstens huvudnamn som tilldelats till en specifik Databricks-app. Det här värdet finns i administratörsinställningarna för Databricks-arbetsytan som är värd för appen.

Vilka Databricks-appar har uppdaterats för att ändra hur appen delas med andra användare eller grupper?

Den här frågan returnerar händelser för behörighetsuppdateringar för att ändra åtkomsten till Databricks-appar, inklusive behörighetstypen, den användare eller grupp som den nya behörigheten har tilldelats till och användaren som skickade ändringen.

SELECT
  event_date,
  workspace_id,
  request_params['request_object_id'] as app,
  user_identity['email'] as sharing_user,
  acl_entry['group_name'],
  acl_entry['user_name'],
  acl_entry['permission_level']
FROM
  system.access.audit t
LATERAL VIEW
  explode(from_json(request_params['access_control_list'], 'array<struct<user_name:string,permission_level:string,group_name:string>>')) acl_entry AS acl_entry
WHERE
  action_name = 'changeAppsAcl'
AND
  request_params['request_object_type'] = 'apps'
ORDER BY
  event_date DESC