Referenz zur Systemtabelle des Überwachungsprotokolls

Dieser Artikel beschreibt das Schema der Überwachungsprotokolltabelle und enthält Beispielabfragen, die Sie mit der Systemtabelle des Überwachungsprotokolls verwenden können, um allgemeine Fragen zur Kontoaktivität zu beantworten. Informationen zu Überwachungsprotokollereignissen finden Sie unter Referenz zu Diagnoseprotokollen.

Tabellenpfad: Diese Systemtabelle befindet sich unter system.access.audit.

Überlegungen zu Prüfprotokollen

• Die meisten Überwachungsprotokolle sind nur in der Region des Arbeitsbereichs verfügbar.
• Überwachungsprotokolle auf Kontoebene erfassen workspace_id als 0.

Schema der Systemtabelle für Überwachungsprotokolle

Die Überwachungsprotokollsystemtabelle verwendet das folgende Schema:

Beispielabfragen

Die folgenden Abschnitte enthalten Beispiel-SQL-Abfragen, die Sie verwenden können, um Einblicke in Ihre Systemtabelle für Überwachungsprotokolle zu erhalten.

Dieser Artikel enthält die folgenden Beispielabfragen:

• Wer kann auf diese Tabelle zugreifen?
• Welche Benutzer haben innerhalb der letzten sieben Tage auf eine Tabelle zugegriffen?
• Auf welche Tabellen hat ein Benutzer kürzlich zugegriffen?
• Anzeigen von Berechtigungsänderungen für alle sicherungsfähigen Objekte
• Anzeigen der zuletzt ausgeführten Notebookbefehle
• Welche Benutzer haben sich bei einer Databricks-App angemeldet?
• Welche Databricks-Apps wurden aktualisiert, um zu ändern, wie die App für andere Benutzer oder Gruppen freigegeben wird?
• Welche sind die zuletzt erstellten Databricks-Apps?
• Was sind die neuesten Aktionen eines Databricks Apps-Benutzers?

Wer kann auf diese Tabelle zugreifen?

Diese Abfrage verwendet die information_schema , um zu bestimmen, welche Benutzer über Berechtigungen für eine Tabelle verfügen. Geben Sie Werte für die Parameter "Katalog", "Schema" und "Tabellenname" ein.

SELECT DISTINCT(grantee), privilege_type, 'catalog' AS level
FROM system.information_schema.catalog_privileges
WHERE
  catalog_name = :catalog_name
UNION
SELECT DISTINCT(grantee), privilege_type, 'schema' AS level
FROM system.information_schema.schema_privileges
WHERE
  catalog_name = :catalog_name AND schema_name = :schema_name
UNION
SELECT DISTINCT(grantee) AS `accessible by`, privilege_type, 'table' AS level
FROM
  system.information_schema.table_privileges
WHERE
  table_catalog = :catalog_name AND table_schema = :schema_name AND table_name = :table_name
UNION
SELECT table_owner, 'ALL_PRIVILEGES' AS privilege_type, 'owner' AS level
FROM system.information_schema.tables
WHERE
  table_catalog = :catalog_name AND table_schema = :schema_name AND table_name = :table_name

Welche Benutzer haben innerhalb der letzten sieben Tage auf eine Tabelle zugegriffen?

Damit diese Abfrage funktioniert, geben Sie die Tabellenpfadinformationen in die Abfrageparameter ein.

SELECT
  user_identity.email as `User`,
  IFNULL(
    request_params.full_name_arg,
    request_params.name
  ) AS `Table`,
  action_name AS `Type of Access`,
  event_time AS `Time of Access`
FROM
  system.access.audit
WHERE
  (
    request_params.full_name_arg = :table_full_name
    OR (
      request_params.name = :table_name
      AND request_params.schema_name = :schema_name
    )
  )
  AND action_name IN ('createTable', 'getTable', 'deleteTable')
  AND event_date > now() - interval 7 day
ORDER BY
  event_date DESC

Auf welche Tabellen hat ein Benutzer kürzlich zugegriffen?

Damit diese Abfrage funktioniert, geben Sie die E-Mail-Adresse des Benutzers in den :User Parameter und eine Zahl im :days_ago Parameter ein.

SELECT
  action_name as `EVENT`,
  event_time as `WHEN`,
  IFNULL(request_params.full_name_arg, 'Non-specific') AS `TABLE ACCESSED`,
  IFNULL(request_params.commandText, 'GET table') AS `QUERY TEXT`
FROM
  system.access.audit
WHERE
  user_identity.email = :User
  AND action_name IN (
    'createTable',
    'commandSubmit',
    'getTable',
    'deleteTable'
  )
  AND datediff(now(), event_date) < :days_ago
ORDER BY
  event_date DESC

Beispielergebnis

Änderungen der Berechtigungen für alle sicherbaren Objekte anzeigen

Diese Abfrage gibt ein Ereignis für jede Berechtigungsänderung in Ihrem Konto zurück. Die Abfrage gibt den Benutzer, der die Änderung vorgenommen hat, den sicherungsfähigen Objekttyp und -namen sowie die spezifischen vorgenommenen Änderungen zurück.

SELECT event_time, user_identity.email, request_params.securable_type, request_params.securable_full_name, request_params.changes
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name = 'updatePermissions'
ORDER BY 1 DESC

Anzeigen der zuletzt ausgeführten Notebookbefehle

Diese Abfrage gibt die zuletzt ausgeführten Notizbuchbefehle und den Benutzer zurück, der den Befehl ausgeführt hat.

SELECT event_time, user_identity.email, request_params.commandText
FROM system.access.audit
WHERE action_name = `runCommand`
ORDER BY event_time DESC
LIMIT 100

Welche Benutzer haben sich bei einer Databricks-App angemeldet?

Diese Abfrage gibt ein Ereignis für jede Anmeldung bei einer Databricks-App-Instanz zurück.

SELECT
  event_date,
  workspace_id,
  user_identity.email as user_email,
  user_identity.subject_name as username
FROM
  system.access.audit
WHERE
  action_name IN ("workspaceInHouseOAuthClientAuthentication", "mintOAuthToken", "mintOAuthAuthorizationCode")
AND
  request_params["client_id"] = "<oauth2-app-client-id>"
GROUP BY
  event_date,
  workspace_id,
  user_email,
  username

Ersetzen Sie <oauth2-app-client-id> durch den Wert der OAuth2-App-Client-ID für den Dienstprinzipal, der einer bestimmten Databricks-App zugewiesen ist. Dieser Wert finden Sie in den Administratoreinstellungen für den Databricks-Arbeitsbereich, in dem die App gehostet wird, oder in der Registerkarte "Autorisierung ", wenn Sie die Details für eine App anzeigen.

Welche Databricks-Apps wurden aktualisiert, um zu ändern, wie die App für andere Benutzer oder Gruppen freigegeben wird?

Diese Abfrage gibt Ereignisse für Berechtigungsaktualisierungen zurück, um den Zugriff auf Databricks-Apps zu ändern, einschließlich des Berechtigungstyps, des Benutzers oder der Gruppe, dem die neue Berechtigung zugewiesen ist, und dem Benutzer, der die Änderung übermittelt hat.

SELECT
  event_date,
  workspace_id,
  request_params['request_object_id'] as app,
  user_identity['email'] as sharing_user,
  acl_entry['group_name'],
  acl_entry['user_name'],
  acl_entry['permission_level']
FROM
  system.access.audit t
LATERAL VIEW
  explode(from_json(request_params['access_control_list'], 'array<struct<user_name:string,permission_level:string,group_name:string>>')) acl_entry AS acl_entry
WHERE
  action_name = 'changeAppsAcl'
AND
  request_params['request_object_type'] = 'apps'
ORDER BY
  event_date DESC

Welche sind die zuletzt erstellten Databricks-Apps?

Diese Abfrage gibt App-Erstellungsereignisse zurück, einschließlich des Namens, des Erstellers und des Erstellungsdatums der App, sortiert nach dem Zeitstempel des Erstellungsereignisses.

SELECT
  event_time,
  user_identity.email AS email,
  action_name,
  get_json_object(request_params.app, '$.name') AS app_name
FROM
  system.access.audit
WHERE
  action_name == "createApp"
ORDER BY
  event_time DESC

Was sind die neuesten Aktionen eines Databricks Apps-Benutzers?

Diese Abfrage gibt die letzten Aktionen eines Benutzers von Databricks Apps zurück, sortiert nach dem Zeitstempel des Ereignisses.

SELECT
  event_time,
  user_identity.email AS email,
  service_name,
  action_name
FROM
  system.access.audit
WHERE
  service_name = 'apps'
AND
  user_identity.email = '<user-email>'
ORDER BY
  event_time DESC