Referência da tabela do sistema de log de auditoria

Este artigo descreve o esquema da tabela de log de auditoria e tem consultas de exemplo que você pode usar com a tabela do sistema de log de auditoria para responder a perguntas comuns sobre o uso da conta. Para obter informações sobre eventos de log de auditoria, consulte Referência de log de diagnóstico.

Caminho da tabela: Esta tabela do sistema está localizada em system.access.audit.

Considerações sobre o log de auditoria

• A maioria dos logs de auditoria só está disponível na região do workspace.
• Os logs de auditoria no nível da conta registram workspace_id como 0.

Esquema da tabela do sistema de logs de auditoria

A tabela do sistema de logs de auditoria usa o seguinte esquema:

Consultas de exemplo

As seções a seguir incluem exemplos de consultas que você pode usar para obter insights sobre a tabela do sistema de logs de auditoria. Para que essas consultas funcionem, substitua os valores entre chaves {{}} pelos parâmetros.

Este artigo inclui as seguintes consultas de exemplo:

• Quem pode acessar esta tabela?
• Quais usuários acessaram uma tabela no último dia?
• Quais tabelas um usuário acessou?
• Exibir alterações de permissões para todos os objetos protegíveis
• Exibir os comandos do notebook executados mais recentemente
• Quais usuários fizeram logon em um aplicativo do Databricks?
• Quais aplicativos do Databricks foram atualizados para alterar a forma como o aplicativo é compartilhado com outros usuários ou grupos?

Quem pode acessar esta tabela?

Essa consulta usa o information_schema para determinar quais usuários têm permissões em uma tabela.

SELECT DISTINCT(grantee) AS `ACCESSIBLE BY`
FROM system.information_schema.table_privileges
WHERE table_schema = '{{schema_name}}' AND table_name = '{{table_name}}'
  UNION
    SELECT table_owner
    FROM system.information_schema.tables
    WHERE table_schema = '{{schema_name}}' AND table_name = '{{table}}'
  UNION
    SELECT DISTINCT(grantee)
    FROM system.information_schema.schema_privileges
    WHERE schema_name = '{{schema_name}}'

Quais usuários acessaram uma tabela no último dia?

SELECT
  user_identity.email as `User`,
  IFNULL(request_params.full_name_arg,
    request_params.name)
    AS `Table`,
    action_name AS `Type of Access`,
    event_time AS `Time of Access`
FROM system.access.audit
WHERE (request_params.full_name_arg = '{{catalog.schema.table}}'
  OR (request_params.name = '{{table_name}}'
  AND request_params.schema_name = '{{schema_name}}'))
  AND action_name
    IN ('createTable','getTable','deleteTable')
  AND event_date > now() - interval '1 day'
ORDER BY event_date DESC

Quais tabelas um usuário acessou?

SELECT
        action_name as `EVENT`,
        event_time as `WHEN`,
        IFNULL(request_params.full_name_arg, 'Non-specific') AS `TABLE ACCESSED`,
        IFNULL(request_params.commandText,'GET table') AS `QUERY TEXT`
FROM system.access.audit
WHERE user_identity.email = '{{User}}'
        AND action_name IN ('createTable',
'commandSubmit','getTable','deleteTable')
        -- AND datediff(now(), event_date) < 1
        -- ORDER BY event_date DESC

Resultados de exemplo

Exibir alterações de permissões para todos os objetos protegíveis

Essa consulta retornará um evento para cada alteração de permissão que ocorreu em sua conta. A consulta retornará o usuário que fez a alteração, o tipo e o nome do objeto protegível e as alterações específicas que foram feitas.

SELECT event_time, user_identity.email, request_params.securable_type, request_params.securable_full_name, request_params.changes
FROM system.access.audit
WHERE service_name = 'unityCatalog'
  AND action_name = 'updatePermissions'
ORDER BY 1 DESC

Exibir os comandos do notebook executados mais recentemente

Essa consulta retorna os comandos do notebook executados mais recentemente e o usuário que executou o comando.

SELECT event_time, user_identity.email, request_params.commandText
FROM system.access.audit
WHERE action_name = `runCommand`
ORDER BY event_time DESC
LIMIT 100

Quais usuários fizeram logon em um aplicativo do Databricks?

Essa consulta retorna um evento para cada logon em uma instância do aplicativo do Databricks.

SELECT
  event_date,
  workspace_id,
  request_params.request_object_id as app,
  user_identity.email as user_email,
  user_identity.subject_name as username
FROM
  system.access.audit
WHERE
  action_name IN ("workspaceInHouseOAuthClientAuthentication", "mintOAuthToken", "mintOAuthAuthorizationCode")
AND
  request_params["client_id"] LIKE "{{application-ID}}"
GROUP BY
  event_date,
  workspace_id,
  app,
  user_email,
  username

Substitua {{application-ID}} pelo valor da ID do Aplicativo para a entidade de serviço atribuída a um aplicativo específico do Databricks. Esse valor pode ser encontrado nas configurações de administrador do workspace do Databricks que hospeda o aplicativo.

Quais aplicativos do Databricks foram atualizados para alterar a forma como o aplicativo é compartilhado com outros usuários ou grupos?

Essa consulta retorna eventos para atualizações de permissão para alterar o acesso aos aplicativos do Databricks, incluindo o tipo de permissão, o usuário ou grupo ao qual a nova permissão é atribuída e o usuário que enviou a alteração.

SELECT
  event_date,
  workspace_id,
  request_params['request_object_id'] as app,
  user_identity['email'] as sharing_user,
  acl_entry['group_name'],
  acl_entry['user_name'],
  acl_entry['permission_level']
FROM
  system.access.audit t
LATERAL VIEW
  explode(from_json(request_params['access_control_list'], 'array<struct<user_name:string,permission_level:string,group_name:string>>')) acl_entry AS acl_entry
WHERE
  action_name = 'changeAppsAcl'
AND
  request_params['request_object_type'] = 'apps'
ORDER BY
  event_date DESC