Référence de la table système des Logs d'audit

info

Aperçu

Cette table système est en aperçu public.

Cet article présente le schéma de la table des logs d’audit et contient des exemples de query que vous pouvez utiliser avec la table système des logs d’audit pour répondre aux questions courantes sur l’activité du compte. Pour plus d’information sur les événements des logs d’audit, consultez Référence des logs d’audit.

**Chemin de la table** : Cette table système est située system.access.audit à.

Considérations relatives aux Logs d'audit

• La plupart des Logs d'audit ne sont disponibles que dans la région du Workspace.
• Les logs d'audit au niveau du compte enregistrent workspace_id en tant que 0.
• Lorsque vous supprimez un workspace, Databricks supprime de system.access.audit les événements d'audit de ce workspace datant de plus de 14 jours.
• Si le catalogue __databricks_internal apparaît dans les événements d'audit ou d'autres tables système, il s'agit d'un catalogue réservé que Databricks utilise pour stocker l'état interne. Consultez Le catalogue __databricks_internal.
• Pour certains événements, les clés dans request_params contenant des définitions SQL sont omises, sauf si vous êtes administrateur de compte ou membre du groupe databricks_pii_access . Voir Paramètres de requête masqués d’accès.

Schéma de la table système des Logs d'audit

La table système des logs d'audit utilise le schéma suivant :

Nom de colonne	Type de données	Description	Exemple
account_id	chaîne	ID du compte	23e22ba4-87b9-4cc2-9770-d10b894bxx
workspace_id	chaîne	ID du workspace	1234567890123456
version	chaîne	Version du schéma du Log d'audit	2.0
event_time	Horodatage	Timestamp de l'événement. Les informations de fuseau horaire sont enregistrées à la fin de la valeur, +00:00 représentant le fuseau horaire UTC.	2023-01-01T01:01:01.123+00:00
event_date	Date	Date calendaire à laquelle l'action a eu lieu. Pour améliorer les performances de la query, filtrez sur event_date plutôt que sur event_time.	2023-01-01
source_ip_address	chaîne	Adresse IP d'origine de la requête	10.30.0.242
user_agent	chaîne	Origine de la demande	Apache-HttpClient/4.5.13 (Java/1.8.0_345)
session_id	chaîne	ID de la session d'où provient la demande	123456789
user_identity	structure	Identité de l'utilisateur initiant la requête	{"email": "user@domain.com", "subjectName": null}
service_name	chaîne	Nom du service initiant la requête	unityCatalog
action_name	chaîne	Catégorie de l'événement capturé dans le log d'audit	getTable
request_id	chaîne	ID de la demande	ServiceMain-4529754264
request_params	Carte	Mappage des valeurs de clé contenant tous les paramètres de requête. Dépend du type de requête. Pour certains événements, les clés contenant des définitions SQL sont omises, sauf si vous êtes administrateur de compte ou membre du groupe databricks_pii_access. Voir Accéder aux paramètres de requête masqués.	[["full_name_arg", "user.chat.messages"], ["workspace_id", "123456789"], ["metastore_id", "123456789"]]
response	structure	Structure des valeurs de retour de la réponse	{"statusCode": 200, "errorMessage": null, "result": null}
audit_level	chaîne	événement au niveau du Workspace ou du compte	ACCOUNT_LEVEL
event_id	chaîne	ID de l'événement	34ac703c772f3549dcc8671f654950f0
identity_metadata	structure	Identités impliquées dans l'action, y compris run_by et run_as. Consultez la référence des métadonnées d'identité et l'activité de compute dédiée au groupe d'audit.	{"run_by": "example@email.com", "run_as": "example@email.com"}

Nom de colonne	Type de données	Description	Exemple
account_id	chaîne	ID du compte	23e22ba4-87b9-4cc2-9770-d10b894bxx
workspace_id	chaîne	ID du workspace	1234567890123456
version	chaîne	Version du schéma du Log d'audit	2.0
event_time	Horodatage	Timestamp de l'événement. Les informations de fuseau horaire sont enregistrées à la fin de la valeur, +00:00 représentant le fuseau horaire UTC.	2023-01-01T01:01:01.123+00:00
event_date	Date	Date calendaire à laquelle l'action a eu lieu. Pour améliorer les performances de la query, filtrez sur event_date plutôt que sur event_time.	2023-01-01
source_ip_address	chaîne	Adresse IP d'origine de la requête	10.30.0.242
user_agent	chaîne	Origine de la demande	Apache-HttpClient/4.5.13 (Java/1.8.0_345)
session_id	chaîne	ID de la session d'où provient la demande	123456789
user_identity	structure	Identité de l'utilisateur initiant la requête	{"email": "user@domain.com", "subjectName": null}
service_name	chaîne	Nom du service initiant la requête	unityCatalog
action_name	chaîne	Catégorie de l'événement capturé dans le log d'audit	getTable
request_id	chaîne	ID de la demande	ServiceMain-4529754264
request_params	Carte	Mappage des valeurs de clé contenant tous les paramètres de requête. Dépend du type de requête. Pour certains événements, les clés contenant des définitions SQL sont omises, sauf si vous êtes administrateur de compte ou membre du groupe databricks_pii_access. Voir Accéder aux paramètres de requête masqués.	[["full_name_arg", "user.chat.messages"], ["workspace_id", "123456789"], ["metastore_id", "123456789"]]
response	structure	Structure des valeurs de retour de la réponse	{"statusCode": 200, "errorMessage": null, "result": null}
audit_level	chaîne	événement au niveau du Workspace ou du compte	ACCOUNT_LEVEL
event_id	chaîne	ID de l'événement	34ac703c772f3549dcc8671f654950f0
identity_metadata	structure	Identités impliquées dans l'action, y compris run_by et run_as. Consultez la référence des métadonnées d'identité et l'activité de compute dédiée au groupe d'audit.	{"run_by": "example@email.com", "run_as": "example@email.com"}

Référence des métadonnées d'identité

La structure identity_metadata a le schéma suivant :

JSON

{
  "run_by": "string",
  "run_as": "string",
  "run_by_display_name": "string",
  "run_as_display_name": "string",
  "acting_resource": "string",
  "acting_resource_type": "string",
  "acting_resource_display_name": "string"
}

La structure (struct) capture les identités impliquées dans une action :

• run_by est l’identité qui a initié l’événement, et run_as est l’identité utilisée pour l’autorisation. run_by_display_name et run_as_display_name sont leurs noms d’affichage lisibles par un humain.
• acting_resource, acting_resource_type, and acting_resource_display_name are populated when a Ressources acts on behalf of a user, such as an OAuth app. acting_resource is the Ressources path, acting_resource_type is the type of Ressources, and acting_resource_display_name is its human-readable name (for an OAuth app, the name of the app).

Le chemin d'accès acting_resource prend l'une des formes suivantes :

• accounts/<account_id>/published-app-client-ids/<client_id> lorsque l’acteur est une application OAuth publiée, par exemple databricks-cli.
• accounts/<account_id>/oauth2/custom-app-integrations/<client_id> lorsque l’acteur est une application OAuth du client, où <client_id> est un UUID.

Accéder aux paramètres de requête masqués

Certains événements d’audit stockent des définitions SQL dans request_params. Ces clés sont omises sauf si vous êtes administrateur de compte ou membre du groupe au niveau du compte databricks_pii_access :

• function_info
• view_definition
• definition_json
• managed_definition

Les autres clés dans request_params et toutes les autres colonnes restent inchangées. L'accès aux valeurs non masquées utilise le groupe databricks_pii_access. Pour créer le groupe et gérer ses membres et ses autorisations, consultez Create and manage the databricks_pii_access group.