Configurer le suivi d’audit de la base de données pour MS Azure PostgreSQL
Avec d’autres fonctionnalités, DataSunrise propose un outil d’audit dédié, le Suivi d’audit de la base de données, basé sur l’utilisation des outils et des mécanismes d’audit natifs de la base de données. Dans cet article, nous expliquons comment configurer DataSunrise et votre base de données PostgreSQL hébergée sur MS Azure pour effectuer le suivi d’audit de la base de données.
Veuillez noter que ce guide décrit toutes les actions nécessaires pour que le suivi d’audit de la base de données fonctionne dès le début. Supposons que vous n’ayez ni base de données ni les ressources Azure correspondantes. Pour suivre les étapes de ce guide, vous avez seulement besoin de DataSunrise installé sur votre machine et d’un accès au portail Azure.
Se connecter au portail Azure
Connectez-vous au portail Azure. Si vous n’êtes pas familiarisé avec l’interface d’Azure, vous pouvez trouver utile d’utiliser le champ de recherche situé en haut de l’écran (“Rechercher des ressources, des services et des documents”).
Enregistrement d’une application Azure
DataSunrise utilisera cette application pour télécharger les fichiers journaux de votre PostgreSQL depuis le conteneur Blob associé à votre compte de stockage. Suivez les étapes ci-dessous :
1. Naviguez vers Enregistrements d’application -> Nouvel enregistrement et enregistrez votre application. Notez que URI de redirection (optionnel) n’est pas requis.
2. Accordez à votre application les autorisations pour accéder aux conteneurs Blob.
À la page Autorisations API, cliquez sur Ajouter une autorisation
Dans l’onglet API Microsoft, sélectionnez Stockage Azure puis sélectionnez Autorisations déléguées et user_impersonation :
Cliquez sur Ajouter des autorisations pour appliquer les modifications
3. Créez un secret pour votre application afin qu’Azure puisse identifier votre application.
- Naviguez vers Certificats et secrets
- Dans Secrets des clients, cliquez sur Nouveau secret client pour créer un nouveau secret. ENREGISTREZ LA VALEUR DU SECRET QUELQUE PART : vous en aurez besoin plus tard.
Création d’un groupe de ressources
Un groupe de ressources est nécessaire pour contenir les entités (ressources) associées à votre environnement de base de données.
Naviguez vers Groupes de ressources et créez un groupe de ressources.
Création d’un compte de stockage
Le compte de stockage contiendra les fichiers journaux de votre PostgreSQL. DataSunrise récupérera ces journaux de votre compte de stockage.
1. Naviguez vers Comptes de stockage et créez un compte
2. Sélectionnez votre groupe de ressources dans les paramètres du compte de stockage et nommez le compte de stockage. Laissez tous les autres paramètres par défaut
3. Naviguez vers Contrôle d’accès (IAM) et cliquez sur Ajouter -> Ajouter une attribution de rôle
Sélectionnez Lecteur : Suivant. Cliquez sur +Sélectionner des membres et sélectionnez votre application enregistrée. Passez en revue et attribuez. Cela est nécessaire pour que votre application puisse accéder aux fichiers journaux contenus dans les conteneurs Blob de votre compte de stockage :
4. Cliquez sur Ajouter une attribution de rôle à nouveau et sélectionnez Lecteur des données Blob de stockage.
5. Cliquez sur +Sélectionner des membres et sélectionnez votre application enregistrée. Passez en revue et attribuez
Création d’un serveur de base de données PostgreSQL
Créez un serveur de base de données PostgreSQL si vous n’en avez pas. Sinon, modifiez les paramètres de votre base de données selon les étapes ci-dessous.
1. Naviguez vers Azure Database for PostgreSQL servers et créez un nouveau serveur : naviguez vers Create -> Flexible server -> Create
2. Fournissez tous les détails requis du serveur
3. Dans l’onglet Réseau, cochez Accès public… et ajoutez les règles de pare-feu requises. Achevez le déploiement.
4. Naviguez vers votre base de données PostgreSQL -> Paramètres -> Paramètres du serveur et définissez les paramètres suivants selon le tableau ci-dessous :
| Paramètre | Valeur requise |
|---|---|
| log_checkpoints | OFF |
| log_destination | CSVLOG |
| pgaudit.log | ALL |
| shared_preload_libraries | PG_STAT_STATEMENTS, PGAUDIT |
| log_line_prefix | %t-%c-u”%u”u- |
Enregistrez les paramètres
5. Configurez votre base de données pour stocker les journaux dans un compte de stockage associé.
Naviguez vers Surveillance -> Paramètres de diagnostic -> Ajouter un paramètre de diagnostic
Cochez à la fois Journal du serveur PostgreSQL et Données de sessions PostgreSQL. Ensuite, cochez Archiver vers un compte de stockage et sélectionnez votre compte de stockage
Création d’une instance PostgreSQL dans DataSunrise
Ouvrez la console Web de DataSunrise et naviguez vers Configuration -> Bases de données pour créer une instance de base de données PostgreSQL (référez-vous à la sous-section “Créer un profil de base de données cible” du guide de l’utilisateur de DataSunrise pour plus de détails) :
Vous devrez fournir les informations suivantes :
1. Sélectionnez Suivi des journaux d’audit de la base de données dans les paramètres de l’instance. Remplissez tous les champs requis.
2. Copiez ClientID et TenantID de votre application Azure pour permettre à DataSunrise d’utiliser l’application pour télécharger les fichiers journaux de votre PostgreSQL.
3. Entrez le secret client enregistré précédemment (voir l’étape 3 de l’Enregistrement d’une application Azure).
4. Entrez le Nom du conteneur Blob. Vous pouvez trouver le nom de votre Blob container dans les Comptes de stockage -> votre compte -> Containers de vos paramètres Azure :
Résultats de l’audit
Créez quelques règles d’audit pour votre base de données PostgreSQL (référez-vous à la sous-section “Créer une règle d’audit de données” du guide de l’utilisateur) et exécutez quelques requêtes sur votre base de données PostgreSQL et naviguez vers Audit -> Pistes transactionnelles pour obtenir les résultats de l’audit :
