Comment configurer le suivi d’audit de la base de données pour MS Azure MySQL
Outre d’autres fonctionnalités, DataSunrise dispose d’un outil d’audit dédié, le suivi d’audit de base de données, basé sur l’utilisation des outils et mécanismes d’audit natifs de la base de données. Dans cet article, nous expliquons comment configurer DataSunrise et votre base de données MySQL hébergée sur MS Azure pour effectuer le suivi d’audit de la base de données.
Notez que ce guide décrit toutes les actions nécessaires pour que le suivi d’audit de la base de données fonctionne dès le début. Supposons que vous n’ayez ni une base de données ni les ressources Azure correspondantes. Pour suivre les étapes de ce guide, vous avez seulement besoin de DataSunrise installé sur votre machine et d’un accès au portail Microsoft Azure.
Se connecter au portail Microsoft Azure
Tout d’abord, connectez-vous au portail Microsoft Azure et suivez les étapes ci-dessous. Si vous ne connaissez pas l’interface d’Azure, vous pourriez trouver utile d’utiliser le champ de recherche situé en haut de l’écran (« Rechercher des ressources, des services et des documents »).
Enregistrement d’une application Azure
DataSunrise utilisera cette application pour télécharger les fichiers journaux de votre MySQL à partir du conteneur Blob associé à votre compte de stockage. Suivez les étapes ci-dessous :
1. Accédez à Enregistrements d’application -> Nouvel enregistrement et enregistrez votre application. Notez que URI de redirection (facultatif) n’est pas requis.
2. Accordez à votre application les autorisations d’accès aux conteneurs Blob.
À la page Autorisations des API, cliquez sur Ajouter une autorisation
Dans l’onglet API Microsoft, sélectionnez Stockage Azure puis sélectionnez Autorisations déléguées et user_impersonation :
Cliquez sur Ajouter des autorisations pour appliquer les modifications
3. Créez un secret pour votre application afin qu’Azure puisse identifier votre application.
- Accédez à Certificats et secrets
- Dans Secrets client, cliquez sur Nouveau secret client pour créer un nouveau secret. ENREGISTREZ LA VALEUR DU SECRET QUELQUE PART : vous en aurez besoin plus tard.
Création d’un groupe de ressources
Un groupe de ressources est nécessaire pour contenir les entités (ressources) associées à votre environnement de base de données.
Accédez à Groupes de ressources et créez un groupe de ressources.
Création d’un compte de stockage
Le compte de stockage contiendra les fichiers journaux de votre MySQL. DataSunrise récupérera ces journaux à partir de votre compte de stockage.
1. Accédez à Comptes de stockage et créez un compte
2. Sélectionnez votre groupe de ressources dans les paramètres du compte de stockage et nommez le compte de stockage. Laissez tous les autres paramètres par défaut
3. Accédez à Contrôle d’accès (IAM) et cliquez sur Ajouter -> Ajouter une attribution de rôle
Sélectionnez Lecteur : Suivant. Cliquez sur +Sélectionner des membres et sélectionnez votre application enregistrée. Passez en revue et attribuez. Ceci est nécessaire pour permettre à votre application d’accéder aux fichiers journaux contenus dans les conteneurs Blob de votre compte de stockage :
4. Cliquez à nouveau sur Ajouter une attribution de rôle et sélectionnez Lecteur de données du Blob de stockage.
5. Cliquez sur +Sélectionner des membres et sélectionnez votre application enregistrée. Passez en revue et attribuez
Création d’un serveur de base de données MySQL
Créez un serveur de base de données MySQL si vous n’en avez pas. Sinon, modifiez les paramètres de votre base de données conformément aux étapes ci-dessous :
1. Accédez à Azure Database for MySQL servers et créez un nouveau serveur : accédez à Créer -> Serveur flexible -> Créer
2. Fournissez tous les détails du serveur requis
3. Dans l’onglet Réseautage, cochez Accès public… et ajoutez les règles de pare-feu nécessaires. Terminez le déploiement.
4. Accédez à votre base de données MySQL -> Paramètres -> Paramètres du serveur et activez audit_log_enabled pour activer l’audit natif de votre base de données. Sélectionnez les types d’événements à enregistrer en configurant audit_log_events. Ajoutez les utilisateurs MySQL à inclure ou exclure de la journalisation en configurant respectivement audit_log_exclude_users et audit_log_include_users.
Enregistrez les paramètres.
5. Configurez votre base de données pour stocker les journaux dans un compte de stockage associé.
Accédez à Surveillance -> Paramètres de diagnostic -> Ajouter un paramètre de diagnostic
Cochez MySqlAuditLogs et Archiver vers un compte de stockage et sélectionnez votre compte de stockage :
Création d’une instance MySQL dans DataSunrise
Ouvrez la console Web de DataSunrise et accédez à Configuration -> Bases de données pour créer une instance de base de données MySQL (reportez-vous à la sous-section « Création d’un profil de base de données cible » du guide utilisateur de DataSunrise pour plus de détails).
Vous devrez fournir les informations suivantes :
1. Sélectionnez Suivi des journaux d’audit de la base de données dans les paramètres de l’instance. Remplissez tous les champs obligatoires.
2. Copiez le ClientID et le TenantID de votre application Azure pour permettre à DataSunrise d’utiliser l’application pour télécharger les fichiers journaux de votre MySQL :
3. Saisissez le secret du client enregistré précédemment (reportez-vous à l’étape 3 de l’Enregistrement d’une application Azure).
4. Saisissez le Nom du conteneur de Blob. Vous pouvez trouver le nom de votre conteneur Blob dans Comptes de stockage -> votre compte -> Conteneurs de vos paramètres Azure :
Résultats de l’audit
Créez des règles d’audit pour votre base de données MySQL (reportez-vous à la sous-section « Création d’une règle d’audit de données » du guide utilisateur) et exécutez quelques requêtes sur votre base de données MySQL. Accédez à Audit -> Pistes transactionnelles pour les résultats d’audit :
