Comment Configurer le Suivi d’Audit des Bases de Données pour MS Azure MySQL
Avec d’autres fonctionnalités, DataSunrise propose un outil d’audit dédié, le suivi d’audit des bases de données, basé sur l’utilisation des outils d’audit natifs de la base de données et des mécanismes. Dans cet article, nous expliquons comment configurer DataSunrise et votre MS Azure MySQL pour effectuer le suivi d’audit des bases de données.
Notez que ce guide décrit toutes les actions nécessaires pour que le suivi d’audit des bases de données fonctionne depuis le tout début. Supposons que vous n’ayez ni une base de données ni les ressources Azure correspondantes. Pour suivre les étapes de ce guide, vous avez seulement besoin de DataSunrise installé sur votre machine et d’un accès au portail Microsoft Azure.
Connexion au Portail Microsoft Azure
Tout d’abord, connectez-vous au portail Microsoft Azure et suivez les étapes ci-dessous. Si vous n’êtes pas familiarisé avec l’interface d’Azure, vous pourriez trouver utile d’utiliser le champ de recherche situé en haut de l’écran (“Rechercher des ressources, des services et des documents”).
Enregistrement d’une Application Azure
DataSunrise utilisera cette application pour télécharger les fichiers journaux de votre MySQL à partir du conteneur Blob associé à votre compte de stockage. Suivez l’étape ci-dessous :
1. Naviguez vers Enregistrements d’applications -> Nouvel enregistrement et enregistrez votre application. Notez que URI de redirection (optionnel) n’est pas nécessaire.
2. Accordez à votre application les permissions pour accéder aux conteneurs Blob.
Sur la page Permissions API, cliquez sur Ajouter une permission
Dans l’onglet APIs Microsoft, sélectionnez Azure Storage puis sélectionnez Permissions déléguées et user_impersonation :
Cliquez sur Ajouter des permissions pour appliquer les changements
3. Créez un secret pour votre application afin qu’Azure puisse identifier votre application.
- Naviguez vers Certificats et Secrets
- Dans Secrets client, cliquez sur Nouveau secret client pour créer un nouveau secret. ENREGISTREZ LA VALEUR DU SECRET QUELQUE PART : vous en aurez besoin plus tard.
Création d’un Groupe de Ressources
Un groupe de ressources est nécessaire pour contenir les entités (ressources) associées à votre environnement de base de données.
Naviguez vers Groupes de ressources et créez un groupe de ressources.
Création d’un Compte de Stockage
Un compte de stockage contiendra les fichiers journaux de votre MySQL. DataSunrise récupérera ces journaux à partir de votre compte de stockage.
1. Naviguez vers Comptes de stockage et créez un compte
2. Sélectionnez votre groupe de ressources dans les paramètres du compte de stockage et nommez le compte de stockage. Laissez tous les autres paramètres par défaut
3. Naviguez vers Contrôle d’accès (IAM) et cliquez sur Ajouter -> Ajouter une attribution de rôle
Sélectionnez Lecteur : Suivant. Cliquez sur + Sélectionner des membres et sélectionnez votre application enregistrée. Révisez et assignez. Cela est nécessaire pour que votre application puisse accéder aux fichiers journaux contenus dans les conteneurs Blob de votre compte de stockage :
4. Cliquez à nouveau sur Ajouter une attribution de rôle et sélectionnez Lecteur de données Blob de stockage.
5. Cliquez sur + Sélectionner des membres et sélectionnez votre application enregistrée. Révisez et assignez
Création d’un Serveur de Base de Données MySQL
Créez un serveur de base de données MySQL si vous n’en avez pas. Sinon, modifiez les paramètres de votre base de données selon les étapes ci-dessous :
1. Naviguez vers Azure Database for MySQL servers et créez un nouveau serveur : naviguez vers Créer -> Serveur flexible -> Créer
2. Fournissez tous les détails requis du serveur
3. Dans l’onglet Réseautage, cochez Accès public… et ajoutez les règles de pare-feu nécessaires. Complétez le déploiement.
4. Naviguez vers votre base de données MySQL -> Paramètres -> Paramètres du serveur et activez audit_log_enabled pour activer l’audit natif pour votre base de données. Sélectionnez les types d’événements à enregistrer en configurant audit_log_events. Ajoutez des utilisateurs MySQL à inclure ou à exclure du journal en configurant respectivement audit_log_exclude_users et audit_log_include_users.
Enregistrez les paramètres.
5. Configurez votre base de données pour stocker les journaux dans un compte de stockage associé.
Naviguez vers Surveillance -> Paramètres de diagnostic -> Ajouter un paramètre de diagnostic
Cochez Journaux d’audit MySql et Archiver dans un compte de stockage et sélectionnez votre compte de stockage :
Création d’une Instance MySQL dans DataSunrise
Ouvrez la console Web de DataSunrise et naviguez vers Configuration -> Bases de données pour créer une instance de base de données MySQL (référez-vous à la section “Créer un Profil de Base de Données Cible” du guide de l’utilisateur de DataSunrise pour plus de détails).
Vous devrez fournir les informations suivantes :
1. Sélectionnez Suivre les Journaux d’Audit de la Base de Données dans les paramètres de l’instance. Remplissez tous les champs requis.
2. Copiez l’ID du client et l’ID du locataire depuis votre application Azure pour permettre à DataSunrise d’utiliser l’application pour télécharger vos fichiers journaux MySQL :
3. Saisissez le secret client enregistré précédemment (référez-vous à l’étape 3 de Enregistrement d’une Application Azure).
4. Saisissez Nom du conteneur Blob. Vous pouvez trouver le nom de votre conteneur Blob dans les Comptes de stockage -> votre compte -> Conteneurs de vos paramètres Azure :
Résultats de l’Audit
Créez des règles d’audit pour votre base de données MySQL (référez-vous à la section “Créer une Règle d’Audit de Données” du guide de l’utilisateur) et exécutez quelques requêtes sur votre base de données MySQL. Naviguez vers Audit -> Trajectoires transactionnelles pour les résultats d’audit :
