通过

网络访问事件系统表参考

重要

此系统表为公共预览版。

网络访问事件表记录拒绝网络访问的事件。 每行表示单个事件，例如对外部域的阻止出站请求或来自受限 IP 的阻止入站请求。

出站网络访问事件系统表架构

出站网络访问事件表记录了因出口策略拒绝从工作区到外部目标的出站访问的事件。 例如，如果用户尝试从笔记本访问“google.com”并失败，则会记录该事件。

表路径：此系统表位于 system.access.outbound_network.

列名称 数据类型 Description Example
account_id 字符串 Databricks 帐户的 ID 7af234db-66d7-4db3-bbf0-956098224879
workspace_id 字符串 发生事件的工作区的 ID 1234567890123456
event_id 字符串 事件的 ID db52a413-7a0a-4d49-b742-7ae5f06bc4b2
destination_type 字符串 目标的类型。 可能的值为 DNS、 IP和 STORAGE DNS
destination 字符串 阻止的目标的详细信息。 根据目标类型，该值可以是域名、IP 地址或存储位置。 google.com
dns_event 结构 有关 DNS 目标的详细信息。 仅填充 DNS 目标，否则字段为 NULL。 { "domain_name":"google.com", "rcode": 3 }
storage_event 结构 有关存储目标的详细信息。 仅填充存储目标，否则字段为 NULL。 { "hostname":"s3://some-bucket", "path": "/some-path", "rejection_reason": "storage-bucket-path-denied" }
event_time 时间戳 事件发生时的时间戳 2024-05-01T01:01:01.123
access_type 字符串 发生的访问事件的类型。 DROP
network_source_type 字符串 事件发生的工作区中使用的特定产品或服务。 DBSQL、General Compute、MLServing、ML Build、Apps

示例查询

以下示例查询可帮助你深入了解帐户中的拒绝日志：

获取给定时间范围内给定工作区的所有拒绝日志。

SELECT
    event_id, destination_type, destination
    COUNT(*) AS destination_count
FROM
    system.access.outbound_network
WHERE
    event_time > '2024-09-25'
    AND event_time < '2024-09-26'
    AND account_id = <id>
    AND workspace_id = <id>
GROUP BY
    destination;

深入分析特定错误

SELECT
    storage_event.hostname, storage_event.path, storage_event.rejection_reason
FROM
    system.access.outbound_network AS storage_event
WHERE
    event_time > '2024-09-25'
    AND event_time < '2024-09-26'
    AND account_id = <id>
    AND workspace_id = <id>
    AND destination = 'storage path';

入站网络访问事件系统表架构

入站网络访问事件表记录了被入口策略拒绝的工作区入站访问事件。 例如，如果用户尝试从阻止的 IP 地址连接到工作区，则会记录失败的尝试。 基于上下文的入口控件处于 Beta 版中。

表路径：此系统表位于 system.access.inbound_network.

列名称 数据类型 Description Example
account_id 字符串 Databricks 帐户的 ID。 7af234db-66d7-4db3-bbf0-956098224879
workspace_id 字符串 发生事件的工作区的 ID。 1234567890123456
event_id 字符串 事件的 ID。 db52a413-7a0a-4d49-b742-7ae5f06bc4b2
request_path 字符串 请求的目的地。 /compute
source 结构 请求来源。 包含 IP、专用链接和相关属性。 { "ip": "10.0.0.1", "private-link": "some-pl-id" }
authenticated_as 字符串 请求的已验证身份标识。 必须是下列项之一：
  • <user>@<domain-name>
  • <sp-application-id>
  • group_name
 user@databricks.com
policy_id 字符串 入站策略中用于评估请求的 ID。 fbc3a2a1-ef12-43b8-9e88-f024ac219ba5
event_time 时间戳 事件发生时的时间戳。 2024-05-01T01:01:01.123
policy_outcome 字符串 访问事件结果的类型。 可能的值为 DENY 或 DENY_DRY_RUN。 DENY

示例查询

以下示例查询可帮助你分析帐户中的入口拒绝日志：

获取过去 2 小时内所有被拒绝的入站请求

SELECT *
FROM system.access.inbound_network
WHERE event_time >= current_timestamp() - interval 2 hour
ORDER BY event_time DESC;

按源 IP 拒绝的请求计数

SELECT
    source.ip,
    COUNT(*) AS deny_count
FROM
    system.access.inbound_network
WHERE
    event_time >= '2025-09-01'
    AND event_time < '2025-09-02'
    AND account_id = <id>
    AND workspace_id = <id>
GROUP BY
    source.ip
ORDER BY
    deny_count DESC;

深入分析特定错误

SELECT
    request_path,
    source.ip AS source_ip,
    authenticated_as,
    policy_outcome
FROM
    system.access.inbound_network
WHERE
    event_time > '2025-09-01'
    AND event_time < '2025-09-02'
    AND account_id = <id>
    AND workspace_id = <id>
    AND request_path = '/compute';
  • Last updated on