SQL Server の監査アクショングループおよびアクション

SQL Server 監査機能を使用すると、イベントと個々のイベントのサーバーレベルおよびデータベースレベルのグループを監査できます。詳細については、「SQL Server Audit (データベースエンジン)」を参照してください。

SQL Server 監査は、0 個以上の監査アクション項目で構成されます。これらの監査アクション項目には、Server_Object_Change_Groupなどのアクションのグループ、またはテーブルに対する SELECT 操作などの個々のアクションのいずれかを指定できます。

注

Server_Object_Change_Groupには、任意のサーバーオブジェクト (データベースまたはエンドポイント) の CREATE、ALTER、DROP が含まれます。

監査には、次のカテゴリのアクションを含めることができます。

サーバーレベルこれらのアクションには、管理の変更やログオン操作やログオフ操作などのサーバー操作が含まれます。
データベースのレベル。これらのアクションには、データ操作言語 (DML) 操作とデータ定義言語 (DDL) 操作が含まれます。
監査レベル。これらのアクションには、監査プロセスのアクションが含まれます。

SQL Server 監査コンポーネントで実行される一部のアクションは、本質的に特定の監査で監査され、このような場合は、イベントが親オブジェクトで発生したために自動的に監査イベントが発生します。

次のアクションは本質的に監査されます。

サーバー監査状態の変更 (状態を ON または OFF に設定)

次のイベントは本質的に監査されません。

サーバー監査仕様の作成
サーバー監査仕様の変更
サーバー監査仕様を削除 (DROP SERVER AUDIT SPECIFICATION)
データベース監査仕様を作成します
データベース監査仕様の変更
データベース監査仕様を削除する

最初に作成されると、すべての監査が無効になります。

Server-Level 監査アクショングループ

サーバーレベルの監査アクショングループは、SQL Server セキュリティ監査イベントクラスに似たアクションです。詳細については、「 SQL Server イベントクラスリファレンス」を参照してください。

次の表では、サーバーレベルの監査アクショングループについて説明し、該当する場合は同等の SQL Server イベントクラスを示します。

アクショングループ名	説明
アプリケーションの役割パスワード変更グループ	このイベントは、アプリケーションロールのパスワードが変更されるたびに発生します。 Audit App Role Change Password イベントクラスと同じです。
監査_変更_グループ	このイベントは、監査が作成、変更、または削除されるたびに発生します。このイベントは、監査仕様が作成、変更、または削除されるたびに発生します。監査に対する変更は、その監査で監査されます。監査変更イベントクラスと同じです。
バックアップ_リストア_グループ	このイベントは、バックアップまたは復元コマンドが発行されるたびに発生します。 Audit Backup and Restore イベントクラスと同じです。
BROKER_LOGIN_GROUP	このイベントは、Service Broker トランスポートセキュリティに関連する監査メッセージを報告するために発生します。 Audit Broker ログインイベントクラスと同じです。
DATABASE_CHANGE_GROUP（データベース変更グループ）	このイベントは、データベースの作成、変更、または削除時に発生します。このイベントは、データベースが作成、変更、または削除されるたびに発生します。 Audit Database Management イベントクラスと同じです。
データベース_ログアウト_グループ	このイベントは、包含データベースユーザーがデータベースからログアウトしたときに発生します。 Audit Database Logout イベントクラスと同じです。
データベースミラーリングログイングループ	このイベントは、データベースミラーリングトランスポートセキュリティに関連する監査メッセージを報告するために発生します。 Audit Database Mirroring Login イベントクラスと同じです。
データベースオブジェクトアクセスグループ	このイベントは、メッセージの種類、アセンブリ、コントラクトなどのデータベースオブジェクトにアクセスするたびに発生します。このイベントは、任意のデータベースへのアクセスに対して発生します。手記：これにより、監査レコードが大きくなる可能性があります。 Audit Database オブジェクトアクセスイベントクラスと同じです。
データベース_オブジェクト_変更_グループ	このイベントは、スキーマなどのデータベースオブジェクトに対して CREATE、ALTER、または DROP ステートメントが実行されるときに発生します。このイベントは、データベースオブジェクトが作成、変更、または削除されるたびに発生します。手記：これにより、非常に大量の監査レコードが発生する可能性があります。 Audit Database オブジェクト管理イベントクラスと同じです。
データベースオブジェクト所有権変更グループ	このイベントは、データベーススコープ内のオブジェクトの所有者が変更されたときに発生します。このイベントは、サーバー上の任意のデータベースでオブジェクトの所有権が変更された場合に発生します。監査データベースオブジェクト所有権取得イベントクラスと同じです。
データベースオブジェクト権限変更グループ	このイベントは、アセンブリやスキーマなどのデータベースオブジェクトに対して GRANT、REVOKE、または DENY が発行されたときに発生します。このイベントは、サーバー上の任意のデータベースに対するオブジェクト権限の変更に対して発生します。 Audit Database オブジェクト GDR イベントクラスと同じです。
データベース操作グループ	このイベントは、チェックポイントやサブスクライブクエリ通知などのデータベース内の操作が発生したときに発生します。このイベントは、任意のデータベースに対するすべてのデータベース操作で発生します。 Audit Database Operation イベントクラスと同じです。
データベース所有権変更グループ	このイベントは、ALTER AUTHORIZATION ステートメントを使用してデータベースの所有者を変更し、それを行うために必要なアクセス許可がチェックされるときに発生します。このイベントは、サーバー上の任意のデータベースでデータベースの所有権が変更された場合に発生します。 Audit Change Database Owner イベントクラスと同じです。
データベース権限変更グループ	このイベントは、SQL Server の任意のプリンシパルによってステートメントのアクセス許可に対して GRANT、REVOKE、または DENY が発行されるたびに発生します (データベースに対するアクセス許可の付与など、データベースのみのイベントに適用されます)。このイベントは、サーバー内の任意のデータベースのデータベース権限変更 (GDR) に対して発生します。 Audit Database Scope GDR イベントクラスと同じです。
データベース主体変更グループ	このイベントは、ユーザーなどのプリンシパルがデータベースから作成、変更、または削除されるときに発生します。 Audit Database Principal Management イベントクラスに相当します。 (非推奨のsp_grantdbaccess、sp_revokedbaccess、sp_addPrincipal、およびsp_dropPrincipalストアドプロシージャで発生する Audit Add DB プリンシパルイベントクラスにも相当します)。このイベントは、ストアドプロシージャsp_droprole sp_addroleを使用してデータベースロールが追加または削除されるたびに発生します。このイベントは、データベースプリンシパルが任意のデータベースから作成、変更、または削除されるたびに発生します。 Audit Add Role イベントクラスに相当します。
DATABASE_PRINCIPAL_IMPERSONATION_GROUP	このイベントは、EXECUTE AS <principal> SETPRINCIPAL などのデータベーススコープに偽装操作がある場合に発生します。このイベントは、任意のデータベースで行われる偽装に対して発生します。 Audit Database Principal Impersonation イベントクラスと同じです。
データベースロールメンバー変更グループ	このイベントは、ログインがデータベースロールに追加またはデータベースロールから削除されるたびに発生します。このイベントクラスは、sp_addrolemember、sp_changegroup、およびsp_droprolememberストアドプロシージャに対して発生します。このイベントは、任意のデータベースのデータベースロールメンバーの変更で発生します。 AUDIT Add メンバーを DB ロールイベントクラスに追加するのと同じです。
DBCC_GROUP	このイベントは、プリンシパルが DBCC コマンドを発行するたびに発生します。 Audit DBCC イベントクラスと同じです。
データベース認証グループの認証失敗	プリンシパルが包含データベースにログオンしようとして失敗したことを示します。このクラスのイベントは、新しい接続または接続プールから再利用される接続によって発生します。 Audit Login Failed イベントクラスと同じです。
ログイン失敗グループ	プリンシパルが SQL Server にログオンしようとして失敗したことを示します。このクラスのイベントは、新しい接続または接続プールから再利用される接続によって発生します。 Audit Login Failed イベントクラスと同じです。
フルテキスト_グループ	フルテキストイベントが発生したことを示します。 Audit Fulltext イベントクラスと同じです。
LOGIN_CHANGE_PASSWORD_GROUP	このイベントは、ALTER LOGIN ステートメントまたはストアドプロシージャを使用してログインパスワードsp_password変更されるたびに発生します。 Audit Login Change Password イベントクラスと同じです。
ログアウトグループ	プリンシパルが SQL Server からログアウトしたことを示します。このクラスのイベントは、新しい接続または接続プールから再利用される接続によって発生します。 Audit Logout イベントクラスと同じです。
スキーマ_オブジェクト_アクセス_グループ	このイベントは、スキーマでオブジェクト権限が使用されるたびに発生します。 Audit Schema オブジェクトアクセスイベントクラスと同じです。
SCHEMA_OBJECT_CHANGE_GROUP	このイベントは、スキーマに対して CREATE、ALTER、または DROP 操作が実行されるときに発生します。 Audit Schema オブジェクト管理イベントクラスと同じです。このイベントは、スキーマオブジェクトで発生します。 Audit オブジェクト派生アクセス許可イベントクラスと同じです。このイベントは、データベースのスキーマが変更されるたびに発生します。＜c0＞監査ステートメント許可イベントクラス＜/c0＞と同等です。
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、スキーマオブジェクト (テーブル、プロシージャ、関数など) の所有者を変更するアクセス許可がチェックされると発生します。これは、ALTER AUTHORIZATION ステートメントを使用して所有者をオブジェクトに割り当てるときに発生します。このイベントは、サーバー上の任意のデータベースのスキーマ所有権の変更に対して発生します。 Audit Schema オブジェクト所有権を取得するイベントクラスと同じです。
スキーマオブジェクト権限変更グループ	このイベントは、スキーマオブジェクトに対して許可、拒否、取り消しが実行されるたびに発生します。 Audit Schema オブジェクト GDR イベントクラスと同じです。
サーバーオブジェクト変更グループ	このイベントは、サーバーオブジェクトに対する CREATE、ALTER、または DROP 操作で発生します。 Audit Server オブジェクト管理イベントクラスと同じです。
サーバーオブジェクト所有権変更グループ	このイベントは、サーバースコープ内のオブジェクトの所有者が変更されたときに発生します。 Audit Server オブジェクトの所有権取得イベントクラスと同じです。
サーバーオブジェクト権限変更グループ	このイベントは、SQL Server の任意のプリンシパルによってサーバーオブジェクトのアクセス許可に対して GRANT、REVOKE、または DENY が発行されるたびに発生します。 Audit Server オブジェクト GDR イベントクラスと同じです。
サーバー操作グループ	このイベントは、設定、リソース、外部アクセス、承認の変更などのセキュリティ監査操作が使用されるときに発生します。 Audit Server Operation イベントクラスと同じです。
サーバー_権限_変更_グループ	このイベントは、ログインの作成など、サーバースコープ内のアクセス許可に対して GRANT、REVOKE、または DENY が発行されたときに発生します。 Audit Server Scope GDR イベントクラスと同等です。
サーバープリンシパル変更グループ	このイベントは、サーバープリンシパルが作成、変更、または削除されるときに発生します。 Audit Server Principal Management イベントクラスと同じです。このイベントは、プリンシパルがsp_defaultdbまたはsp_defaultlanguageストアドプロシージャまたは ALTER LOGIN ステートメントを発行したときに発生します。 Audit Addlogin イベントクラスと同じです。このイベントは、sp_addloginおよびsp_droploginストアドプロシージャで発生します。 Audit Login Change Property イベントクラスにも該当します。このイベントは、sp_grantloginまたはsp_revokeloginストアドプロシージャに対して発生します。 Audit Login GDR イベントクラスと同じです。
サーバープリンシパル模倣グループ	このイベントは、EXECUTE AS <login>など、サーバースコープ内に偽装がある場合に発生します。 Audit Server Principal Impersonation イベントクラスと同じです。
サーバーロールメンバー変更グループ	このイベントは、ログインが固定サーバーロールに追加または削除されるたびに発生します。このイベントは、sp_addsrvrolememberおよびsp_dropsrvrolememberストアドプロシージャに対して発生します。 Audit Add Login to Server Role イベントクラスと同じです。
サーバー状態変更グループ	このイベントは、SQL Server サービスの状態が変更されたときに発生します。 Audit Server の Starts および Stops イベントクラスと同じです。
データベース認証成功グループ	プリンシパルが包含データベースに正常にログインしたことを示します。データベース認証成功監査イベントクラスと同じです。
成功ログイングループ	プリンシパルが SQL Server に正常にログインしたことを示します。このクラスのイベントは、新しい接続または接続プールから再利用される接続によって発生します。 Audit Login イベントクラスと同じです。
トレース変更グループ	このイベントは、ALTER TRACE 権限をチェックするすべてのステートメントに対して発生します。 Audit Server Alter Trace イベントクラスと同じです。
ユーザーのパスワード変更グループ	このイベントは、ALTER USER ステートメントを使用して包含データベースユーザーのパスワードが変更されるたびに発生します。
ユーザー定義監査グループ	このグループは、 sp_audit_write (Transact-SQL) を使用して発生したイベントを監視します。通常、トリガーまたはストアドプロシージャには、重要なイベントの監査を有効にする `sp_audit_write` の呼び出しが含まれます。

考慮事項

サーバーレベルのアクショングループは、SQL Server インスタンス全体のアクションを対象とします。たとえば、サーバー監査仕様に適切なアクショングループが追加されると、任意のデータベースのスキーマオブジェクトアクセスチェックが記録されます。データベース監査仕様では、そのデータベース内のスキーマオブジェクトアクセスのみが記録されます。

サーバーレベルのアクションでは、データベースレベルのアクションに対する詳細なフィルター処理は許可されません。詳細なアクションフィルター処理を実装するには、従業員グループ内のログインに関する Customers テーブルの SELECT アクションの監査などのデータベースレベルの監査が必要です。システムビューなどのサーバースコープオブジェクトは、ユーザーデータベース監査仕様には含めないでください。

Database-Level 監査アクショングループ

Database-Level 監査アクショングループは、SQL Server セキュリティ監査イベントクラスに似たアクションです。イベントクラスの詳細については、「 SQL Server イベントクラスリファレンス」を参照してください。

次の表では、データベースレベルの監査アクショングループについて説明し、該当する場合は同等の SQL Server イベントクラスを示します。

アクショングループ名	説明
アプリケーションの役割パスワード変更グループ	このイベントは、アプリケーションロールのパスワードが変更されるたびに発生します。 Audit App Role Change Password イベントクラスと同じです。
監査_変更_グループ	このイベントは、監査が作成、変更、または削除されるたびに発生します。このイベントは、監査仕様が作成、変更、または削除されるたびに発生します。監査に対する変更は、その監査で監査されます。監査変更イベントクラスと同じです。
バックアップ_リストア_グループ	このイベントは、バックアップまたは復元コマンドが発行されるたびに発生します。 Audit Backup and Restore イベントクラスと同じです。
DATABASE_CHANGE_GROUP（データベース変更グループ）	このイベントは、データベースの作成、変更、または削除時に発生します。 Audit Database Management イベントクラスと同じです。
データベース_ログアウト_グループ	このイベントは、包含データベースユーザーがデータベースからログアウトしたときに発生します。 Audit Backup and Restore イベントクラスと同じです。
データベースオブジェクトアクセスグループ	このイベントは、証明書や非対称キーなどのデータベースオブジェクトにアクセスするたびに発生します。 Audit Database オブジェクトアクセスイベントクラスと同じです。
データベース_オブジェクト_変更_グループ	このイベントは、スキーマなどのデータベースオブジェクトに対して CREATE、ALTER、または DROP ステートメントが実行されるときに発生します。 Audit Database オブジェクト管理イベントクラスと同じです。
データベースオブジェクト所有権変更グループ	このイベントは、データベーススコープ内のオブジェクトの所有者の変更が発生したときに発生します。監査データベースオブジェクト所有権取得イベントクラスと同じです。
データベースオブジェクト権限変更グループ	このイベントは、アセンブリやスキーマなどのデータベースオブジェクトに対して GRANT、REVOKE、または DENY が発行されたときに発生します。 Audit Database オブジェクト GDR イベントクラスと同じです。
データベース操作グループ	このイベントは、チェックポイントやサブスクライブクエリ通知などのデータベース内の操作が発生したときに発生します。 Audit Database Operation イベントクラスと同じです。
データベース所有権変更グループ	このイベントは、ALTER AUTHORIZATION ステートメントを使用してデータベースの所有者を変更し、それを行うために必要なアクセス許可がチェックされるときに発生します。 Audit Change Database Owner イベントクラスと同じです。
データベース権限変更グループ	このイベントは、データベースに対するアクセス許可の付与などのデータベースのみのイベントに対して、SQL Server の任意のユーザーがステートメントのアクセス許可に対して GRANT、REVOKE、または DENY を発行するたびに発生します。 Audit Database Scope GDR イベントクラスと同じです。
データベース主体変更グループ	このイベントは、ユーザーなどのプリンシパルがデータベースから作成、変更、または削除されるときに発生します。 Audit Database Principal Management イベントクラスに相当します。また、非推奨のsp_grantdbaccess、sp_revokedbaccess、sp_adduser、およびsp_dropuserストアドプロシージャで発生する Audit Add DB ユーザーイベントクラスと同等です。このイベントは、非推奨のsp_addroleおよびsp_droproleストアドプロシージャを使用してデータベースロールが追加または削除されるたびに発生します。 Audit Add Role イベントクラスに相当します。
DATABASE_PRINCIPAL_IMPERSONATION_GROUP	このイベントは、EXECUTE AS <user> SETUSER などのデータベーススコープ内に偽装がある場合に発生します。 Audit Database Principal Impersonation イベントクラスと同じです。
データベースロールメンバー変更グループ	このイベントは、ログインがデータベースロールに追加またはデータベースロールから削除されるたびに発生します。このイベントクラスは、sp_addrolemember、sp_changegroup、およびsp_droprolememberストアドプロシージャで使用されます。同等のイベントクラスとして監査 DB ロールメンバー追加イベントクラスと同じです。
DBCC_GROUP	このイベントは、プリンシパルが DBCC コマンドを発行するたびに発生します。 Audit DBCC イベントクラスと同じです。
データベース認証グループの認証失敗	プリンシパルが包含データベースにログオンしようとして失敗したことを示します。このクラスのイベントは、新しい接続または接続プールから再利用される接続によって発生します。このイベントが発生します。
スキーマ_オブジェクト_アクセス_グループ	このイベントは、スキーマでオブジェクト権限が使用されるたびに発生します。 Audit Schema オブジェクトアクセスイベントクラスと同じです。
SCHEMA_OBJECT_CHANGE_GROUP	このイベントは、スキーマに対して CREATE、ALTER、または DROP 操作が実行されるときに発生します。 Audit Schema オブジェクト管理イベントクラスと同じです。このイベントは、スキーマオブジェクトで発生します。 Audit オブジェクト派生アクセス許可イベントクラスと同じです。監査ステートメント許可イベントクラスにも相当します。
SCHEMA_OBJECT_OWNERSHIP_CHANGE_GROUP	このイベントは、テーブル、プロシージャ、関数などのスキーマオブジェクトの所有者を変更する権限がチェックされると発生します。これは、ALTER AUTHORIZATION ステートメントを使用して所有者をオブジェクトに割り当てるときに発生します。 Audit Schema オブジェクト所有権を取得するイベントクラスと同じです。
スキーマオブジェクト権限変更グループ	このイベントは、スキーマオブジェクトに対して許可、拒否、または取り消しが発行されるたびに発生します。 Audit Schema オブジェクト GDR イベントクラスと同じです。
データベース認証成功グループ	プリンシパルが包含データベースに正常にログインしたことを示します。データベース認証成功監査イベントクラスと同じです。
ユーザーのパスワード変更グループ	このイベントは、ALTER USER ステートメントを使用して包含データベースユーザーのパスワードが変更されるたびに発生します。
ユーザー定義監査グループ	このグループは、 sp_audit_write (Transact-SQL) を使用して発生したイベントを監視します。

Database-Level 監査活動

データベースレベルのアクションは、テーブル、ビュー、ストアドプロシージャ、関数、拡張ストアドプロシージャ、キュー、シノニムなど、データベーススキーマおよびスキーマオブジェクトに対する特定のアクションの監査を直接サポートします。型、XML スキーマコレクション、データベース、およびスキーマは監査されません。スキーマオブジェクトの監査は、スキーマとデータベースで構成できます。つまり、指定したスキーマまたはデータベースに含まれるすべてのスキーマオブジェクトのイベントが監査されます。次の表では、データベースレベルの監査アクションについて説明します。

アクション	説明
選択する	このイベントは、SELECT が発行されるたびに発生します。
更新	このイベントは、UPDATE が発行されるたびに発生します。
挿入する	このイベントは、INSERT が発行されるたびに発生します。
削除	このイベントは、DELETE が発行されるたびに発生します。
実行せよ	このイベントは、EXECUTE が発行されるたびに発生します。
受け取る	このイベントは、RECEIVE が発行されるたびに発生します。
参考文献	このイベントは、REFERENCES 権限がチェックされるたびに発生します。

考慮事項

データベースレベルの監査アクションは、列には適用されません。
クエリプロセッサがクエリをパラメーター化すると、クエリの列値ではなく、監査イベントログにパラメーターを表示できます。
RPC ステートメントはログに記録されません。

Audit-Level 監査アクショングループ

監査プロセスのアクションを監査することもできます。これは、サーバースコープまたはデータベーススコープに含めることができます。データベーススコープでは、データベース監査の仕様に対してのみ発生します。次の表では、監査レベルの監査アクショングループについて説明します。

アクショングループ名	説明
監査_変更_グループ	このイベントは、次のいずれかのコマンドが発行されるたびに発生します。サーバー監査の作成 - ALTER SERVER AUDIT（サーバー監査を変更する）サーバー監査を削除 - サーバー監査仕様を作成サーバー監査仕様を変更する - サーバー監査仕様を削除する (DROP SERVER AUDIT SPECIFICATION) - データベース監査仕様の作成 (CREATE DATABASE AUDIT SPECIFICATION) - データベース監査仕様を変更するデータベース監査仕様を削除

アクショングループ名

説明

監査_変更_グループ

このイベントは、次のいずれかのコマンドが発行されるたびに発生します。

サーバー監査の作成
- ALTER SERVER AUDIT（サーバー監査を変更する）
サーバー監査を削除
- サーバー監査仕様を作成
サーバー監査仕様を変更する
- サーバー監査仕様を削除する (DROP SERVER AUDIT SPECIFICATION)
- データベース監査仕様の作成 (CREATE DATABASE AUDIT SPECIFICATION)
- データベース監査仕様を変更する
データベース監査仕様を削除

サーバー監査およびサーバー監査の仕様を作成する

サーバー監査およびデータベース監査の仕様を作成する

サーバー監査を作成する (Transact-SQL)

サーバー監査の変更 (Transact-SQL)

DROP SERVER AUDIT (Transact-SQL)

サーバー監査仕様を作成する (Transact-SQL)

ALTER SERVER AUDIT SPECIFICATION (サーバー監査仕様の変更Transact-SQL)

DROP SERVER AUDIT SPECIFICATION (Transact-SQL)

データベース監査仕様を作成(Transact-SQL)

ALTER DATABASE AUDIT SPECIFICATION (Transact-SQL)

データベース監査仕様を削除 (DROP DATABASE AUDIT SPECIFICATIONTransact-SQL)

オーサライゼーションの変更 (Transact-SQL)