Azure SQL Serverでの監査の有効化

2026.01.14 　最終更新日: 2026.01.15

このブログシリーズ「クラウドセキュリティ実践集」では、一般的なセキュリティ課題を取り上げ、「なぜ危険なのか？」というリスクの解説から、「どうやって直すのか？」という具体的な修復手順（コンソール、Azure CLI、Terraformなど）まで、分かりやすく解説します。

この記事では、Azure SQL Serverで監査を有効化する方法について、リスクと対策を解説します。

ポリシーの説明

Azure SQL Server監査は、データベースイベントを追跡し、Azure Storage アカウント、Log Analytics ワークスペース、またはEvent Hubsに監査ログを書き込む機能です。この機能は、サーバーレベルとデータベースレベルの2つのスコープで構成可能で、それぞれ異なる監査要件に対応します。

修復方法

Azure ポータルを使用して、SQL Server監査を有効化します。

前提条件

必要権限: SQL Security Manager を推奨（最小権限）。Contributor など同等以上でも可だが、最小権限の観点で SQL Security Manager を明示
監査ログ保存用のストレージアカウント（必須、RBAC権限設定済み）
Log Analyticsワークスペース（監査の宛先として選択）。“診断設定”の権限と混同しないよう注意
Event Hub（リアルタイム分析が必要な場合、Send権限必要）

コンソールでの修復手順

Azure Portalにログイン
- https://portal.azure.com にアクセスし、管理者権限を持つアカウントでログインします
SQL Serverリソースへ移動
- 検索バーで「SQL servers」と入力し、SQL serversを選択
- 監査を有効化したいSQL Serverを選択します
監査設定画面を開く
- 左側のメニューから「セキュリティ」セクションの「監査」を選択
- 「監査」トグルを「オン」に切り替えます
監査ログの保存先を設定
- 以下の3つのオプションから選択（複数選択を強く推奨）：
a) Storage アカウントへの保存
- 「ストレージ」にチェックを入れる
- 「ストレージの詳細」をクリック
- サブスクリプション、ストレージアカウントを選択
- 保持期間（日数）を設定：
  - 開発環境: 30日以上
  - 本番環境: 90日以上（規制要件により調整）
  - 規制対象: 365日以上
b) Log Analyticsへの送信
- 「Log Analytics」にチェックを入れる
- サブスクリプション、Log Analytics ワークスペースを選択
c) Event Hubへの送信
- 「イベントハブ」にチェックを入れる
- サブスクリプション、名前空間、イベントハブ名を選択

監査対象の設定
- 「監査アクショングループ」で以下を選択：
必須監査グループ（コンプライアンス要件）:
- SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP – 成功した認証の記録
- FAILED_DATABASE_AUTHENTICATION_GROUP – 失敗した認証の記録（ブルートフォース攻撃検出）
- DATABASE_PERMISSION_CHANGE_GROUP – 権限変更の追跡
- DATABASE_PRINCIPAL_CHANGE_GROUP – ユーザー/ロール変更の追跡
- DATABASE_ROLE_MEMBER_CHANGE_GROUP – ロールメンバーシップ変更の追跡
推奨監査グループ（セキュリティ強化）:
- BATCH_COMPLETED_GROUP – 実行されたSQLステートメントの記録
- SCHEMA_OBJECT_ACCESS_GROUP – テーブル/ビューへのアクセス記録
- DATABASE_OBJECT_CHANGE_GROUP – スキーマ変更の追跡
- APPLICATION_ROLE_CHANGE_PASSWORD_GROUP – アプリケーションロールのパスワード変更
設定の保存
- 「保存」ボタンをクリックして監査設定を適用します
監査ログの確認
- 設定完了後、「監査ログの表示」から監査記録を確認できます