配置審計日誌記錄

啟用或禁用詳細審計日誌

1. 作為一個管理員,磚管理控製台。

2. 點擊工作空間設置。

3. 旁邊詳細審計日誌啟用或禁用該功能。

當您啟用或禁用詳細日誌記錄,一個可審計的事件類別工作空間用行動workspaceConfKeys。的workspaceConfKeys請求參數是enableVerboseAuditLogs。請求參數workspaceConfValues是真正的(功能啟用)或假(功能禁用)。

附加詳細的筆記本行動

額外的詳細行動審計日誌類別筆記本:

額外的詳細數據磚SQL操作

額外的操作審計日誌類別中databrickssql:

檢查響應領域相關的附加信息的命令結果:

• statusCodeHTTP響應代碼。這將是錯誤400,如果是一般的錯誤。

  • errorMessage——錯誤消息。在某些情況下對某些長期運行的命令,errorMessage字段可能不填充失敗。

  • 結果:這個字段是空的。

配置選項

配置審計日誌,你有以下選項。

• 如果你有一個工作在你的磚賬戶,按照說明的小節中,創建一個配置對象的常見配置您的工作區。

• 如果您有多個工作區在同一個磚帳戶,你能做下列:

  • 共享相同的配置(日誌交付S3 bucket和我角色)所有工作區帳戶。這是唯一的配置選項,還提供帳戶級別審計日誌。這是默認選項。

  • 使用單獨的帳戶配置為每個工作區。

  • 使用單獨的配置不同組的工作空間,每個共享配置。

• 如果你有多個工作區,每個關聯到一個單獨的磚帳戶,您必須為每個帳戶創建獨特的存儲和證書配置對象,但是您可以重用一個S3 bucket或我這些配置對象之間的作用。

高級流

高級審計日誌交付的流動:

1. 配置存儲:在AWS,創建一個新的AWS S3 bucket。使用磚API, API調用帳戶創建一個存儲配置對象,使用bucket名稱。

   請注意

   提供日誌一個AWS帳戶以外的賬戶用於日誌交付我創建的角色,您需要添加一個S3 bucket的政策。你不添加政策在這一步。

2. 配置的憑證:在AWS,創建合適的AWS我的角色。使用磚API, API調用帳戶創建一個憑證配置對象,使用我的角色的攻擊。角色策略可以指定一個路徑前綴日誌交付S3 bucket中。你可以選擇來定義我的角色包括多個路徑前綴如果你想記錄交付配置不同的工作區分享S3 bucket,但使用不同的路徑前綴。

3. 可選cross-account支持提供日誌的AWS帳戶以外的帳戶我的角色創建日誌交付時,添加一個S3 bucket的政策。這個策略引用id cross-account我您在前麵步驟中創建的角色。

4. 調用日誌API:調用API來創建一個日誌傳送配置,使用憑證和存儲配置對象從以前的步驟。這個步驟允許您指定如果你想把所有工作空間的日誌傳送配置在您的帳戶(當前和未來的工作空間)或一組特定的工作區。帳戶級別事件的列表,請參閱審計事件。

在完成這些步驟之後,您可以訪問JSON文件。交貨地點是:

桶- - - - - -的名字> / <交付- - - - - -路徑- - - - - -前綴> /workspaceId= <workspaceId> /日期= <yyyy- - - - - -毫米- - - - - -dd> /auditlogs_<內部- - - - - -id>。json

如果您配置的審計日誌交付整個帳戶,帳戶級別審計事件不與任何一個工作區送達有關workspaceId = 0分區。

新的JSON文件交付每隔幾分鍾,可能為每個工作區覆蓋現有的文件。最初設立審計日誌交付時,它需要一個小時日誌開始交付。審計日誌後開始交貨,可審計的事件通常在15分鍾內記錄。額外的配置更改生效一般需要一個小時。

關於訪問這些文件的更多信息和分析他們使用磚,明白了分析審計日誌。

需求

• 賬戶所有者(或帳戶管理,如果你在一個E2帳戶)的電子郵件地址和密碼進行身份驗證的api。電子郵件地址和密碼都是區分大小寫的。

• 賬戶的賬戶ID。E2版本的平台,讓你的帳戶IDBeplay体育安卓版本管理您的帳戶使用帳戶控製台non-E2賬戶,得到從你的帳戶ID使用選項卡概述。聯係你的磚代表如果你不能找到你的帳戶ID。

api如何驗證

本文中描述的api上發表accounts.cloud.m.eheci.com所有AWS基礎端點區域部署。

使用下麵的基URL API請求:https://accounts.cloud.m.eheci.com/api/2.0/

該REST API需要HTTP基本身份驗證,包括設置HTTP頭授權。在這篇文章中,用戶名是指你的帳戶所有者(或賬戶管理,如果你是在一個E2帳戶)的電子郵件地址。電子郵件地址是區分大小寫的。有幾種方法可以為工具,如旋度提供您的憑據。

• 通過用戶名和帳號密碼分別在每個請求的頭<用戶名>:<密碼>語法。

  例如:

  curl - x - u得到”<用戶名>:<密碼>”- h“application / json內容類型:\“https://accounts.cloud.m.eheci.com/api/2.0/accounts/ <帳戶id > / <端點>”

• base64編碼應用到你的<用戶名>:<密碼>字符串,並提供直接的HTTP頭:

  curl - x - h得到“application / json內容類型:\- h“基本授權:< base64-username-pw >”“https://accounts.cloud.m.eheci.com/api/2.0/accounts/ <帳戶id > / <端點>”

• 創建一個. netrc文件,機,登錄,密碼屬性:

  機器accounts.cloud.m.eheci.com登錄<用戶名>密碼<密碼>

  來調用. netrc文件,使用- n在你的旋度命令:

  curl - n - x得到“https://accounts.cloud.m.eheci.com/api/2.0/accounts/ <帳戶id > /工作區”

  本文的示例使用這種身份驗證方式。

完整的API參考,請參閱賬戶API 2.0。

步驟1:配置存儲

磚提供日誌的S3 bucket您的帳戶。您可以配置多個工作區使用一個S3 bucket,或者您可以定義不同的工作區(或工作區組)使用不同的桶。

這個過程描述了如何設置一個配置對象與一個共同的賬戶配置一個或多個工作區。使用不同的存儲位置不同的工作區,對每個工作區重複本文中的程序或一組工作區。

1. 創建S3 bucket,下麵的指令AWS存儲配置。

   重要的

   提供日誌另一個AWS帳戶用於磚工作區,您必須添加一個S3 bucket的政策。你不添加桶政策在這一步。看到步驟3:可選cross-account支持。

2. 創建一個代表你的磚存儲配置記錄新的S3 bucket。指定您的S3 bucket通過調用創建新存儲配置API(帖子/賬戶/ <帳戶id > /存儲配置)。

   通過以下幾點:

   • storage_configuration_name:新的獨特的存儲配置名稱。

   • root_bucket_info:一個包含一個JSON對象bucket_name字段包含您的S3 bucket名稱。

   複製storage_configuration_id在響應中返回值。您將使用它來創建日誌傳送配置在後麵的步驟。

   例如:

   curl - x - n後\“https://accounts.cloud.m.eheci.com/api/2.0/accounts/ < databricks-account-id > /存儲配置”\- d”{:“storage_configuration_name databricks-workspace-storageconf-v1”," root_bucket_info ": {:“bucket_name my-company-example-bucket”}}'

   回應:

   {“storage_configuration_id”:“< databricks-storage-config-id >”,“account_id”:“< databricks-account-id >”,“root_bucket_info”:{“bucket_name”:“my-company-example-bucket”},“storage_configuration_name”:“databricks-workspace-storageconf-v1”,“creation_time”:1579754875555}

步驟2:配置憑證

這個過程描述了如何設置一個配置對象與一個共同的賬戶配置一個或多個工作區。為不同的工作區使用不同的憑證,對每個工作區重複本文中的程序或一組工作區。

1. 登錄你的AWS控製台作為用戶與管理員權限和去我服務。

2. 單擊角色在側邊欄選項卡。

3. 點擊創建角色。

   1. 在選擇類型的信任的實體,點擊AWS服務。

   2. 在常見用例,點擊EC2。

   3. 單擊下一個:權限按鈕。

   4. 單擊下一個:標簽按鈕。

   5. 單擊下一個:審查按鈕。

   6. 在角色名字段中,輸入角色名稱。

      

   7. 點擊創建角色。角色的列表顯示。

4. 在角色列表中,點擊創建的角色。

5. 添加一個內嵌的政策。

   1. 的權限選項卡上,單擊添加內嵌策略。

      

   2. 在策略編輯器中,單擊JSON選項卡。

      

   3. 複製這個訪問政策和修改它。替換以下值的政策用您自己的配置值:

      • < s3-bucket-name >:你的桶的名字AWS S3 bucket。

      • < s3-bucket-path-prefix >(可選):交貨地點的路徑在S3 bucket。如果未指定的,日誌送到桶的根源。這條路必須匹配delivery_path_prefix爭論時調用日誌API。

      {“版本”:“2012-10-17”,“聲明”:【{“效應”:“允許”,“行動”:【“s3: GetBucketLocation”),“資源”:【“攻擊:aws: s3::: < s3-bucket-name >”]},{“效應”:“允許”,“行動”:【“s3: propertynames”,“s3: GetObject”,“s3: DeleteObject”,“s3: PutObjectAcl”,“s3: AbortMultipartUpload”),“資源”:【“攻擊:aws: s3::: < s3-bucket-name > / < s3-bucket-path-prefix > /”,“攻擊:aws: s3::: < s3-bucket-name > / < s3-bucket-path-prefix > / *”]},{“效應”:“允許”,“行動”:【“s3: ListBucket”,“s3: ListMultipartUploadParts”,“s3: ListBucketMultipartUploads”),“資源”:“攻擊:aws: s3::: < s3-bucket-name >”,“條件”:{“StringLike”:{“s3:前綴”:【“< s3-bucket-path-prefix >”,“< s3-bucket-path-prefix > / *”]}}}]}

      您可以自定義策略使用的路徑前綴:

      • 如果你不想使用桶路徑前綴,刪除< s3-bucket-path-prefix > /(包括最終削減)的政策似乎每次。

      • 如果你想要記錄交付配置不同的工作區分享S3 bucket,但使用不同的路徑前綴,您可以定義我的角色包括多個路徑前綴。有兩個獨立的部分的政策參考< s3-bucket-path-prefix >。在每種情況下,複製兩個相鄰行引用路徑前綴。重複每一對線為每一個新路徑前綴,例如:

      {“資源”:【“攻擊:aws: s3::: < mybucketname > /現場小組/”,“攻擊:aws: s3::: < mybucketname > /現場小組/ *”,“攻擊:aws: s3::: < mybucketname > /財務團隊/”,“攻擊:aws: s3::: < mybucketname > /財務團隊/ *”]}

   4. 點擊審查政策。

   5. 在的名字字段中,輸入一個政策的名字。

   6. 點擊創建政策。

   7. 如果你使用服務控製策略拒絕某些行為在AWS帳戶級別,確保sts: AssumeRole是白名單數據磚可以假設cross-account角色。

6. 在角色總結頁麵,點擊信任關係選項卡。

7. 這種訪問政策粘貼到編輯器和策略中以下值替換為您自己的配置值:

   < databricks-account-id >——你的磚帳戶ID。

   {“版本”:“2012-10-17”,“聲明”:【{“效應”:“允許”,“校長”:{“AWS”:“攻擊:aws:我::414351767826:角色/ SaasUsageDeliveryRole-prod-IAMRole-3PLHICCRR1TK”},“行動”:“sts: AssumeRole”,“條件”:{“StringEquals”:{“sts: ExternalId”:【“< databricks-account-id >”]}}}]}

8. 在總結作用,複製的角色是並將其保存為以後的步驟。

   

9. 為你創建一個磚憑證的配置ID AWS的角色。調用創建證書配置API(帖子/賬戶/ <帳戶id > /憑證)。這個請求建立cross-account信任和返回一個引用ID來使用,當你創建一個新的工作區。

   取代<帳戶id >你的磚帳戶ID。請求主體:

   • 集credentials_name在你的賬戶名稱是獨一無二的。

   • 集aws_credentials一個對象,該對象包含一個sts_role財產。該對象必須指定role_arn您已經創建了角色。

   身體將包括的響應credentials_id領域,磚憑證的配置ID,您需要創建一個新的工作區。複製這一領域,因此您可以使用它來創建日誌傳送配置在後麵的步驟。

   例如:

   curl - x - n後\“https://accounts.cloud.m.eheci.com/api/2.0/accounts/ < databricks-account-id > /憑證”\- d”{:“credentials_name databricks-credentials-v1”," aws_credentials ": {" sts_role ": {:“role_arn攻擊:aws:我::< aws-account-id >: / my-company-example-role”角色}}}'

   示例響應:

   {“credentials_id”:“< databricks-credentials-id >”,“account_id”:“< databricks-account-id >”,“aws_credentials”:{“sts_role”:{“role_arn”:“攻擊:aws:我::< aws-account-id >: / my-company-example-role”角色,“external_id”:“< databricks-account-id >”}},“credentials_name”:“databricks-credentials-v1”,“creation_time”:1579753556257}

   複製credentials_id場的響應,供以後使用。

步驟3:可選cross-account支持

如果你的S3 bucket是在同一個AWS帳戶作為我的角色用於日誌交付,跳過這個步驟。

提供日誌另一個AWS帳戶用於磚工作區,您必須添加一個S3 bucket政策,在這個步驟中提供。這個策略引用id cross-account我您在前麵步驟中創建的角色。

1. 在AWS控製台中,S3服務。

2. 單擊桶的名字。

3. 單擊權限選項卡。

4. 單擊桶的政策按鈕。

   

5. 複製和修改這個桶的政策。

   取代< s3-bucket-name >S3 bucket名稱。取代< customer-iam-role-id >與你的角色ID創建我的角色。取代< s3-bucket-path-prefix >與你想要桶路徑前綴。看到後指出政策樣本信息自定義路徑前綴。

   {“版本”:“2012-10-17”,“聲明”:({“效應”:“允許”,“校長”:{“AWS”:(“攻擊:aws:我::< customer-iam-role-id >”]},“行動”:“s3: GetBucketLocation”,“資源”:“攻擊:aws: s3::: < s3-bucket-name >”},{“效應”:“允許”,“校長”:{“AWS”:“攻擊:aws:我::< customer-iam-role-id >”},“行動”:(“s3: propertynames”,“s3: GetObject”,“s3: DeleteObject”,“s3: PutObjectAcl”,“s3: AbortMultipartUpload”,“s3: ListMultipartUploadParts”),“資源”:(“攻擊:aws: s3::: < s3-bucket-name > / < s3-bucket-path-prefix > /”,“攻擊:aws: s3::: < s3-bucket-name > / < s3-bucket-path-prefix > / *”]},{“效應”:“允許”,“校長”:{“AWS”:“攻擊:aws:我::< customer-iam-role-id >”},“行動”:“s3: ListBucket”,“資源”:“攻擊:aws: s3::: < s3-bucket-name >”,“條件”:{“StringLike”:{“s3:前綴”:(“< s3-bucket-path-prefix >”,“< s3-bucket-path-prefix > / *”]}}}]}

   您可以自定義策略使用的路徑前綴:

   • 如果你不想使用桶路徑前綴,刪除< s3-bucket-path-prefix > /(包括最終削減)的政策似乎每次。

   • 如果你想要記錄交付配置共享相同的S3 bucket多個工作區,但使用不同的路徑前綴,您可以定義我的角色包括多個路徑前綴。兩部分的政策參考< s3-bucket-path-prefix >。在每一個地方,複製兩個相鄰行引用路徑前綴。重複每一對線為每個新路徑前綴。例如:

     {“資源”:【“攻擊:aws: s3::: < mybucketname > /現場小組/”,“攻擊:aws: s3::: < mybucketname > /現場小組/ *”,“攻擊:aws: s3::: < mybucketname > /財務團隊/”,“攻擊:aws: s3::: < mybucketname > /財務團隊/ *”]}

第四步:調用日誌API

配置日誌交付,調用日誌傳送配置API(帖子/賬戶/ <帳戶id > /日誌交付)。

你需要以下值複製在前麵的步驟:

• credentials_id:你的磚憑據的配置ID,這代表你cross-account憑證作用。

• storage_configuration_id:你的磚存儲配置ID,代表您的根S3 bucket。

還設置以下字段:

• log_type:總是設置為AUDIT_LOGS。

• output_format:總是設置為JSON。的模式,看看審計日誌模式。

• delivery_path_prefix(可選):將路徑前綴。這必須匹配路徑前綴用於你的角色的政策。傳遞路徑< bucket名> / < delivery-path-prefix > / workspaceId = < workspaceId > /日期= < yyyy-mm-dd > / auditlogs_ <內部id > . json。如果您配置的審計日誌交付整個帳戶,帳戶級別審計事件不與任何一個工作區送達有關workspaceId = 0分區。

• workspace_ids_filter(可選):將一個數組的工作區IDs日誌你想交付。默認情況下,工作區篩選字段是空的,日誌交付應用在賬戶層麵,交付工作日誌為所有工作空間在您的帳戶,加上戶頭級別的日誌。你可以設置這個字段的數組空間id(每一個是一個int64日誌交付應當適用),在這種情況下,隻有工作日誌與指定的工作區。帳戶級別事件的列表,請參閱審計事件。

  如果你計劃使用不同的日誌交付配置不同的工作區,顯式地設置這個字段。請注意交付配置提到特定工作區不會適用於新的工作區中創建未來,和交付不包括帳戶級別日誌。

  對於某些類型的磚部署的隻有一個工作區/帳戶ID,所以這個領域是不必要的。

例如:

curl - x - n後\“https://accounts.cloud.m.eheci.com/api/2.0/accounts/ < databricks-account-id > /日誌交付”\- d”{" log_delivery_configuration ": {:“log_type AUDIT_LOGS”,“config_name”:“審計日誌配置”,:“output_format JSON”,“credentials_id”:“< databricks-credentials-id >”,“storage_configuration_id”:“< databricks-storage-config-id >”,:“delivery_path_prefix auditlogs-data”,“workspace_ids_filter”:(6383650456894062,4102272838062927]}}'

示例響應:

{“log_delivery_configuration”:{“config_id”:“< config-id >”,“config_name”:“審計日誌配置”,“log_type”:“AUDIT_LOGS”,“output_format”:“JSON”,“account_id”:“<帳戶id >”,“credentials_id”:“< databricks-credentials-id >”,“storage_configuration_id”:“< databricks-storage-config-id >”,“workspace_ids_filter”:(6383650456894062,4102272838062927),“delivery_path_prefix”:“auditlogs-data”,“狀態”:“啟用”,“creation_time”:1591638409000,“update_time”:1593108904000,“log_delivery_status”:{“狀態”:“創建”,“消息”:“日誌傳送配置成功創建了。地位將被更新後首次交付嚐試。”}}}

審計活動注意事項

• 如果動作需要很長時間,請求和響應分別記錄但請求和響應具有相同requestId。

  • 除了mount-related操作,磚不包括DBFS-related操作審計日誌。我們建議您設置在S3服務器訪問日誌記錄,可以記錄對象級別的操作與我相關聯的角色。如果你我的角色映射到磚用戶,磚用戶不能分享我的角色。

  • 自動化操作,如調整集群由於自動定量或啟動工作調度,由用戶執行係統用戶。

請求參數

請求參數requestParams列出了每個支持服務和行動在下麵幾節中,按工作空間層事件和帳戶級別分組活動。

的requestParams字段是截斷。如果它的JSON表示的大小超過100 KB,值截斷字符串…截斷是附加到截斷條目。在極少數情況下,截斷地圖仍大於100 KB,單一截斷鍵和一個空值存在。

工作空間層審計日誌事件