Denetim kayıt sistemi tablo referansı

Bu makalede denetim günlüğü tablosu şeması özetlenmiştir ve sık sorulan hesap etkinliği sorularını yanıtlamak için denetim günlüğü sistem tablosuyla kullanabileceğiniz örnek sorgular bulunur. Denetim günlüğü olayları hakkında bilgi için Tanılama günlüğü referansına bkz.

Tablo yolu: Bu sistem tablosu system.access.auditkonumunda bulunur.

Denetim günlüğünde dikkat edilmesi gerekenler

• Denetim günlüklerinin çoğu yalnızca çalışma alanının bölgesinde kullanılabilir.
• Hesap düzeyinde denetim günlükleri, `workspace_id` olarak `0` şeklinde kaydeder.

Denetim günlüğü sistem tablosu şeması

Denetim günlüğü sistem tablosu aşağıdaki şemayı kullanır:

Örnek sorgular

Aşağıdaki bölümler, denetim günlükleri sistem tablonuz hakkında içgörü elde etmek için kullanabileceğiniz örnek SQL sorgularını içerir.

Bu makale aşağıdaki örnek sorguları içerir:

• Bu tabloya kimler erişebilir?
• Son yedi gün içinde tabloya hangi kullanıcılar erişmiş ?
• Bir kullanıcı son zamanlarda hangi tablolara erişmiş?
• Güvenliği sağlanabilir tüm nesneler için izin değişikliklerini görüntüleme
• En son çalıştırılacak not defteri komutlarını görüntüleme
• Bir Databricks uygulamasında hangi kullanıcılar oturum açtı?
• Hangi Databricks uygulamaları, uygulamanın diğer kullanıcılar veya gruplarla nasıl paylaşıldığını değiştirecek şekilde güncelleştirildi?

Bu tabloya kimler erişebilir?

Bu sorgu, tabloda hangi kullanıcıların izinlerine sahip olduğunu belirlemek için information_schema kullanır. Katalog, şema ve tablo adı parametreleri için değerleri girin.

SELECT DISTINCT(grantee), privilege_type, 'catalog' AS level
FROM system.information_schema.catalog_privileges
WHERE
  catalog_name = :catalog_name
UNION
SELECT DISTINCT(grantee), privilege_type, 'schema' AS level
FROM system.information_schema.schema_privileges
WHERE
  catalog_name = :catalog_name AND schema_name = :schema_name
UNION
SELECT DISTINCT(grantee) AS `accessible by`, privilege_type, 'table' AS level
FROM
  system.information_schema.table_privileges
WHERE
  table_catalog = :catalog_name AND table_schema = :schema_name AND table_name = :table_name
UNION
SELECT table_owner, 'ALL_PRIVILEGES' AS privilege_type, 'owner' AS level
FROM system.information_schema.tables
WHERE
  table_catalog = :catalog_name AND table_schema = :schema_name AND table_name = :table_name

Son yedi gün içinde tabloya hangi kullanıcılar erişmiş ?

Bu sorgunun çalışması için sorgu parametrelerine tablo yolu bilgilerini girin.

SELECT
  user_identity.email as `User`,
  IFNULL(
    request_params.full_name_arg,
    request_params.name
  ) AS `Table`,
  action_name AS `Type of Access`,
  event_time AS `Time of Access`
FROM
  system.access.audit
WHERE
  (
    request_params.full_name_arg = :table_full_name
    OR (
      request_params.name = :table_name
      AND request_params.schema_name = :schema_name
    )
  )
  AND action_name IN ('createTable', 'getTable', 'deleteTable')
  AND event_date > now() - interval 7 day
ORDER BY
  event_date DESC

Bir kullanıcı son zamanlarda hangi tablolara erişmiş?

Bu sorgunun çalışması için kullanıcının e-postasını :User parametresine ve :days_ago parametresine bir sayı girin.

SELECT
  action_name as `EVENT`,
  event_time as `WHEN`,
  IFNULL(request_params.full_name_arg, 'Non-specific') AS `TABLE ACCESSED`,
  IFNULL(request_params.commandText, 'GET table') AS `QUERY TEXT`
FROM
  system.access.audit
WHERE
  user_identity.email = :User
  AND action_name IN (
    'createTable',
    'commandSubmit',
    'getTable',
    'deleteTable'
  )
  AND datediff(now(), event_date) < :days_ago
ORDER BY
  event_date DESC

Örnek sonuç

Güvenliği sağlanabilir tüm nesneler için izin değişikliklerini görüntüleme

Bu sorgu, hesabınızda gerçekleşen her izin değişikliği için bir olay döndürür. Sorgu, değişikliği yapan kullanıcıyı, güvenli kılınabilir nesne türünü ve adını ve yapılan belirli değişiklikleri döndürür.

SELECT event_time, user_identity.email, request_params.securable_type, request_params.securable_full_name, request_params.changes
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name = 'updatePermissions'
ORDER BY 1 DESC

En son çalıştırılacak not defteri komutlarını görüntüleme

Bu sorgu, en son çalıştırılan not defteri komutlarını ve komutu çalıştıran kullanıcıyı döndürür.

SELECT event_time, user_identity.email, request_params.commandText
FROM system.access.audit
WHERE action_name = `runCommand`
ORDER BY event_time DESC
LIMIT 100

Bir Databricks uygulamasında hangi kullanıcılar oturum açtı?

Bu sorgu, databricks uygulama örneğinde her oturum açma işlemi için bir olay döndürür.

SELECT
  event_date,
  workspace_id,
  request_params.request_object_id as app,
  user_identity.email as user_email,
  user_identity.subject_name as username
FROM
  system.access.audit
WHERE
  action_name IN ("workspaceInHouseOAuthClientAuthentication", "mintOAuthToken", "mintOAuthAuthorizationCode")
AND
  request_params["client_id"] LIKE "{{application-ID}}"
GROUP BY
  event_date,
  workspace_id,
  app,
  user_email,
  username

{{application-ID}}'yi, belirli bir Databricks uygulamasına atanan hizmet sorumlusunun Uygulama Kimliği değeriyle değiştirin. Bu değer, uygulamayı barındıran Databricks çalışma alanının yönetici ayarlarında bulunabilir.

Hangi Databricks uygulamaları, uygulamanın diğer kullanıcılar veya gruplarla nasıl paylaşıldığını değiştirecek şekilde güncelleştirildi?

Bu sorgu, izin türü, yeni iznin atandığı kullanıcı veya grup ve değişikliği gönderen kullanıcı dahil olmak üzere Databricks uygulamalarına erişimi değiştirmek için izin güncelleştirmelerine yönelik olayları döndürür.

SELECT
  event_date,
  workspace_id,
  request_params['request_object_id'] as app,
  user_identity['email'] as sharing_user,
  acl_entry['group_name'],
  acl_entry['user_name'],
  acl_entry['permission_level']
FROM
  system.access.audit t
LATERAL VIEW
  explode(from_json(request_params['access_control_list'], 'array<struct<user_name:string,permission_level:string,group_name:string>>')) acl_entry AS acl_entry
WHERE
  action_name = 'changeAppsAcl'
AND
  request_params['request_object_type'] = 'apps'
ORDER BY
  event_date DESC