Skapa och konfigurera en databasskådare (förhandsversion)

gäller för:Azure SQL DatabaseAzure SQL Managed Instance

Den här artikeln innehåller detaljerade steg för att skapa, konfigurera och starta en databas bevakare i Azure-portalen för Azure SQL Database och Azure SQL Managed Instance.

Database Watcher kräver inte att du distribuerar och underhåller några övervakningsagenter eller annan övervakningsinfrastruktur. Du kan aktivera djupgående databasövervakning av dina Azure SQL-resurser på några minuter.

Ett förenklat steg-för-steg-exempel för att skapa och konfigurera en databasbevakare finns i Snabbstart: Skapa en databasbevakare för att övervaka Azure SQL.

Så här skapar och konfigurerar du en databasskådare med Bicep- eller en ARM-mall: se kodexemplet Skapa en databasskådare.

Information om hur du definierar bevakare som använder Infrastruktur som kod (Bicep, ARM-mallar, Terraform AzAPI) finns i Azure-resursreferensen dokumentationen.

Information om hur du hanterar databasskådare programmatiskt finns i dokumentationen om REST API.

Förutsättningar

För att kunna använda database watcher krävs följande krav.

• Du behöver en aktiv Azure-prenumeration. Om du inte har ett skapa ett kostnadsfritt konto. Du måste vara medlem i rollen bidragsgivare eller rollen ägare för prenumerationen eller för en resursgrupp för att kunna skapa resurser.

• För att konfigurera och starta en databasvakt behöver du ett befintligt SQL-mål: en Azure SQL-databas, en elastisk pool eller en SQL-hanterad instans.

  • Om du inte redan har skapat en Azure SQL-databas kan du gå till Snabbstart: Skapa en enkel databas. Leta efter alternativet att använda ditt erbjudande för att prova Azure SQL Database kostnadsfritt (förhandsversion).
  • Du kan också Prova Azure SQL Managed Instance kostnadsfritt (förhandsversion).

• Resursprovidrar för Microsoft.DatabaseWatcher, Microsoft.Kustooch Microsoft.Network måste vara registrerade i din Azure-prenumeration.

  • Om du vill använda SQL-autentisering för anslutningar till dina Azure SQL-resurser måste även den Microsoft.KeyVault resursprovidern registreras. Se Ytterligare konfiguration för att använda SQL-autentisering.

  Registrering av resursleverantör sker automatiskt om du har rollen Ägare eller DeltagareRBAC på prenumerationsnivå. Annars måste en användare i någon av dessa roller registrera resursprovidrar innan du kan skapa och konfigurera en bevakare. Mer information finns i Registrera resursleverantör.

• Den användare som skapar och konfigurerar bevakaren och Azure Data Explorer-klusterresurserna måste vara medlem i Ägare eller Deltagare RBAC-roll för resursgruppen eller prenumerationen där resurserna skapas.

  Om du använder SQL-autentisering måste användaren dessutom antingen vara medlem i rollen Ägare för resursgruppen eller medlem i Owner eller Administratör för användaråtkomst roll för nyckelvalvet som lagrar autentiseringsuppgifter för SQL-autentisering.

• Den användare som konfigurerar övervakaren måste ha administratörsåtkomst till Azure SQL-målen. En administratör ger bevakaren begränsad, specifik åtkomst till SQL-övervakningsmål. Mer information finns i Bevilja åtkomst till mål.

• För att ge en övervakare åtkomst till ett SQL-mål måste en administratör köra T-SQL-skript med hjälp av SQL Server Management Studio (SSMS), Azure Data Studioeller Visual Studio Code med tillägget SQL Server mssql.

• Om du vill använda Azure Private Link- för privat anslutning till Azure-resurser måste användaren som godkänner den privata slutpunkten vara medlem i rollen ägare RBAC eller ha nödvändiga RBAC-behörigheter. Mer information finns i Godkännande RBAC för privat slutpunkt.

Skapa en bevakare

1. I Azure-portalen går du till navigeringsmenyn och väljer Alla tjänster. Välj Övervaka som kategori. Under Övervakningsverktygväljer du Databasövervakare. Alternativt kan du skriva database watcher i rutan Sök överst på portalsidan och välja databasgranskare.

   När database watchers-vyn öppnas väljer du Skapa.

2. På fliken Grundläggande väljer du prenumerationen och resursgruppen för bevakaren, anger namnet på bevakaren och väljer en Azure-region.

   Tips

   Om databasskådaren ännu inte är tillgänglig i din region kan du skapa den i en annan region under förhandsversionen. Mer information finns i Regional tillgänglighet.

3. På fliken Identity aktiveras den systemtilldelade hanterade identiteten för bevakaren som standard. Om du vill att bevakaren ska använda en användartilldelad hanterad identitet i stället väljer du knappen Lägg till, letar upp den identitet som du vill använda och väljer knappen Lägg till. Om du vill göra den användartilldelade identiteten effektiv för bevakaren inaktiverar du den systemtilldelade hanterade identiteten.

   För mer information om hanterade identiteter i databasövervakaren, se Ändra övervakaridentitet.

4. Välj ett datalager för bevakaren.

   Om du skapar en bevakare skapas som standard även ett Azure Data Explorer- kluster och lägger till en databas i klustret som datalager för insamlade övervakningsdata.

   • Som standard använder det nya Azure Data Explorer-klustret extra liten beräkningsoptimerad SKU. Detta är den mest ekonomiska SKU:n som fortfarande tillhandahåller ett serviceavtal (SLA). Du kan skala det här klustret senare efter behov.

   • Du kan också använda en databas i ett befintligt Azure Data Explorer-kluster, på ett kostnadsfritt Azure Data Explorer-klustereller i Real-Time Analytics.

     1. På fliken Datalager väljer du alternativet Välj ett datalager och väljer Lägg till.
     2. Välj en Real-Time Analytics-databas eller ett Azure Data Explorer-kluster.
     3. Om du använder ett befintligt Azure Data Explorer-kluster måste du aktivera strömmande inmatning.
     4. Skapa en ny databas eller använd en befintlig databas.

     Not

     Alla befintliga databaser som du väljer måste vara tomma, eller vara en databas som du tidigare använde som ett databasbevakningsdatalager. Det går inte att välja en databas som innehåller objekt som inte har skapats av databasvakten.

   • Eller så kan du hoppa över att lägga till ett datalager just nu och lägga till det senare. Ett datalager krävs för att starta bevakaren.

5. På fliken SQL-mållägg till en eller flera Azure SQL-resurser för övervakning. Du kan hoppa över att lägga till SQL-mål när du skapar övervakaren och lägga till dem senare. Du måste lägga till minst ett mål innan du startar övervakaren.

6. På fliken Granska + skapa granskar du övervakningskonfigurationen och väljer Skapa. Om du väljer standardalternativet för att skapa ett nytt Azure Data Explorer-kluster tar distributionen vanligtvis 15–20 minuter. Om du väljer en databas i ett befintligt Azure Data Explorer-kluster, i ett kostnadsfritt Azure Data Explorer-kluster eller i Real-Time Analytics tar distributionen vanligtvis upp till fem minuter.

7. När distributionen är klar ger du övervakaren åtkomst till SQL-mål.

8. Du kan också behöva ge bevakaren åtkomst till datalagret.

   • Åtkomst till en databas i ett nytt eller befintligt Azure Data Explorer-kluster beviljas automatiskt när bevakaren skapas om användaren som skapar bevakaren är medlem i Ägare RBAC-roll för klustret.
   • Du måste dock bevilja åtkomst till datalager med hjälp av ett KQL-kommando om du väljer en databas i:
     • Real-Time Analytics i Microsoft Fabric.
     • Ett kostnadsfritt Azure Data Explorer-kluster.

9. Skapa och godkänn hanterade privata slutpunkter om du vill använda privat anslutning.

   • Om offentlig åtkomst på dina SQL-mål, datalagret och nyckelvalvet är aktiverade och du vill använda offentlig anslutning kontrollerar du att alla offentliga anslutningar krav är uppfyllda.

Starta och stoppa en bevakare

När en bevakare skapas startas den inte automatiskt eftersom ytterligare konfiguration kan krävas.

För att starta en bevakare måste den ha:

• Ett datalager.
• Minst ett mål.
• Åtkomst till datalagringsplats och de mål.
  • Åtkomst till ett nyckelvalv krävs också om SQL-autentisering har valts för ett mål.
• Antingen privata eller offentlig anslutning till mål, nyckelvalv (om du använder SQL-autentisering) och datalagret.
  • Om du vill använda privat anslutning skapa privata slutpunkter.

När en bevakare har konfigurerats fullt ut använder du knappen Starta på sidan Översikt för att starta datainsamlingen. Om några minuter visas nya övervakningsdata i datalagringen och på kontrollpaneler. Om du inte ser nya data inom fem minuter kan du läsa Felsökning.

Du kan stoppa bevakaren med knappen Stoppa om du inte behöver övervaka dina Azure SQL-resurser på ett tag.

Starta om en bevakare genom att stoppa den och sedan starta den igen.

Ändra en övervakare

I Azure-portalen kan du lägga till eller ta bort mål, skapa eller ta bort privata slutpunkter, använda ett annat datalager för en befintlig bevakare eller ändra bevakarens hanterade identitet.

Lägga till SQL-mål i en övervakare

Om du vill aktivera databasövervakning för en Azure SQL-databas, elastisk pool eller SQL Managed Instance, måste du lägga till denna resurs som ett SQL-mål.

1. Om du vill lägga till ett mål på sidan SQL-mål väljer du Lägg till.
2. Leta reda på den Azure SQL-resurs som du vill övervaka. Välj resurstyp och prenumeration och välj sedan SQL-målet i listan över resurser. SQL-målet kan vara i vilken prenumeration som helst inom samma Microsoft Entra ID-klient som övervakaren.
3. Om du vill övervaka den primära repliken och en sekundär replik med hög tillgänglighet av en databas, elastisk pool eller SQL-hanterad instans lägger du till två separata SQL-mål för samma resurs och markerar kryssrutan Läs avsikt för ett av dem. På samma sätt skapar du två separata SQL-mål för en geo-replik och dess sekundära replik med hög tillgänglighet, om det finns några.
   • Genom att markera läseavsikt konfigureras SQL-målet endast för den sekundära repliken med hög tillgänglighet.
   • Markera inte kryssrutan Läs avsikt om du bara vill övervaka den primära repliken eller bara geo-repliken, eller om det inte finns någon sekundär replik med hög tillgänglighet för den här resursen, eller om lässkalningsfunktionen är inaktiverad.

Som standard använder database watcher Microsoft Entra-autentisering vid anslutning till SQL-mål. Om du vill att övervakaren ska använda SQL-autentisering markerar du kryssrutan Använd SQL-autentisering och anger nödvändig information. Mer information finns i Ytterligare konfiguration för användning av SQL-autentisering.

Ta bort SQL-mål från en bevakare

Om du vill ta bort ett eller flera mål öppnar du sidan SQL-mål, väljer de mål som du vill ta bort i listan och väljer Ta bort.

Om du tar bort ett mål stoppas övervakningen för en Azure SQL-resurs när övervakaren startas om, men den faktiska resursen tas inte bort.

Om du tar bort en Azure SQL-resurs som övervakas av databasövervakaren bör du även ta bort motsvarande mål. Eftersom det finns en gräns för antalet SQL-mål som en bevakare kan hakan det hindra dig från att lägga till nya mål om du behåller föråldrade mål.

Skapa en hanterad privat slutpunkt

Du måste skapa hanterade privata slutpunkter om du vill använda privat anslutning för datainsamling från SQL-mål, för inmatning till datalagret och för anslutning till nyckelvalv. Om du inte skapar privata slutpunkter använder database watcher som standard offentlig anslutning.

Så här skapar du en hanterad privat slutpunkt för en bevakare:

1. Om det finns en skrivskyddad låsning på resursen, resursgruppen eller prenumerationen av resursen för vilken du skapar en hanterad privat slutpunkt, ta bort låsningen. Du kan lägga till låset igen när den privata slutpunkten har skapats.

2. Gå till en databasskådare i Azure-portalen, öppna sidan hanterade privata slutpunkter och välj Lägg till.

3. Ange ett namn för den privata slutpunkten.

4. Välj prenumerationen på den Azure-resurs som du vill skapa den privata slutpunkten för.

5. Beroende på vilken typ av resurs du vill skapa en privat slutpunkt för väljer du Resurstyp och Underresurs för mål enligt följande:

   Resurs	Resurstyp	Målsubresurs
   Logisk server	Microsoft.Sql/servers	sqlServer
   SQL-hanterad instans	Microsoft.Sql/managedInstances	managedInstance
   Azure Data Explorer-kluster	Microsoft.Kusto/clusters	cluster
   Nyckelvalv	Microsoft.KeyVault/vaults	vault

6. Välj den resurs som du vill skapa en privat slutpunkt för. Det kan vara en logisk Azure SQL-server, en SQL-hanterad instans, ett Azure Data Explorer-kluster eller ett nyckelvalv.

   • Genom att skapa en privat slutpunkt för en logisk server i Azure SQL Database möjliggörs privat anslutning för databasövervakning för alla databas- och elastiska poolmål på den servern.

7. Du kan också ange beskrivningen för den privata slutpunkten. Detta kan hjälpa resursägaren att godkänna begäran.

8. Välj Skapa. Det kan ta några minuter att skapa en privat slutpunkt. En privat slutpunkt skapas när provisioneringstillståndet ändras från Godkänd eller Kör till Slutfört. Uppdatera vyn för att se det aktuella provisioneringstillståndet.

   Viktig

   Den privata slutpunkten skapas i tillståndet Väntar på. Resursägaren måste godkänna den privata slutpunkten innan databasvakten kan använda den för att ansluta till resursen.

   Om du vill låta resursägare styra nätverksanslutningen godkänns inte privata slutpunkter för databasbevakare automatiskt.

9. Resursägaren måste godkänna den privata slutpunktsbegäran.

   • I Azure-portalen kan resursägaren söka efter Private Link- för att öppna Private Link Center-. Under Väntande anslutningarletar du upp den privata slutpunkt som du skapade, bekräftar dess beskrivning och information och väljer Godkänn.
   • Du kan också godkänna privata slutpunktsbegäranden med hjälp av Azure CLI.

Om en bevakare redan körs när en privat slutpunkt godkänns måste den startas om för att börja använda privat anslutning.

Ta bort en hanterad privat slutpunkt

1. Om det finns ett raderings- eller skrivskyddat lås på resursen, resursgruppen eller prenumerationen på resursen för vilken du tar bort en hanterad privat slutpunkt, ta bort låset. Du kan lägga till låset igen när den privata slutpunkten har tagits bort.
2. Öppna sidan Hanterade privata slutpunkter i Azure-portalen för din databasskådare.
3. Välj de privata slutpunkter som du vill ta bort.
4. Välj Ta bort.

Om du tar bort en hanterad privat slutpunkt stoppas datainsamling från SQL-mål som använder den här privata slutpunkten. Om du tar bort den hanterade privata slutpunkten för Azure Data Explorer-klustret stoppas datainsamlingen för alla mål. Om du vill återuppta datainsamlingen återskapar du den privata slutpunkten eller aktiverar offentlig anslutningoch startar om bevakaren.

Ändra datalagret för en bevakare

En bevakare kan bara ha ett datalager.

Om du vill ändra det aktuella datalagret tar du bort det befintliga datalagret och lägger sedan till ett nytt datalager.

• Om du vill ta bort det aktuella datalagret öppnar du sidan Datalager, väljer datalagret i rutnätet och väljer Ta bort.

  • Om du tar bort ett datalager tas inte den faktiska datalagringsdatabasen bort i ett Azure Data Explorer-kluster eller i Real-Time Analytics i Microsoft Fabric.
  • Stoppa bevakaren om du vill stoppa datainsamlingen till ett borttaget datalager.
  • Om du tar bort ett datalager måste du lägga till ett nytt datalager innan du kan starta bevakaren igen.

• Om du vill lägga till ett datalager väljer du Lägg till på sidan Data Store och väljer eller skapar sedan en databas i ett Azure Data Explorer-kluster eller i Real-Time Analytics.

  • Den databas som du väljer måste vara tom eller vara en databas som du tidigare har använt som ett databasbevakningsdatalager. Det går inte att välja en databas som innehåller objekt som inte har skapats av databasvakten.
  • När du har lagt till ett datalager måste du ge bevakaren åtkomst för att kunna använda det. Mer information finns i Bevilja åtkomst till datalager.
  • När bevakaren har startats om börjar den använda det nya datalagret.

Ändra watcher-identitet

En övervakare måste ha en hanterad identitet för att autentisera mot SQL-mål, nyckelvalv och datalagret. Antingen kan en systemtilldelad eller en användartilldelad hanterad identitet användas. Mer information om hanterade identiteter i Azure finns i Vad är hanterade identiteter för Azure-resurser?

Följande överväganden hjälper dig att välja typ av hanterad identitet för en bevakare:

• Systemtilldelade

  • Aktiverad som standard när du skapar en bevakare.
  • Alltid associerad med en enda bevakare.
  • Skapad och borttagen med bevakaren.
  • Om du inaktiverar en systemtilldelad identitet för en bevakare går all åtkomst som beviljas till den identiteten förlorad. Om du återaktiverar den systemtilldelade identiteten för samma övervakare skapas en ny, annan identitet med ett annat objekt-ID (huvudansvarig). Du måste bevilja åtkomst till SQL-mål, nyckelvalvoch datalager till den nya identiteten.

• Tilldelad av användare

  • Gäller endast om den systemtilldelade identiteten är inaktiverad för bevakaren.
  • Samma användartilldelade identitet kan tilldelas till flera bevakare för att förenkla åtkomsthanteringen, till exempel när övervakning av stora Azure SQL-egendomar. I stället för att ge åtkomst till systemtilldelade identiteter för flera bevakare kan åtkomst beviljas till en enda användartilldelad identitet.
  • För att stödja uppdelning av uppgifter kan identitetshantering skiljas från övervakningshantering. En användartilldelad identitet kan skapas och beviljas åtkomst av en annan användare, före eller efter att bevakaren har skapats.
  • När en bevakare tas bort förblir den användartilldelade identiteten och dess åtkomst oförändrad. Samma identitet kan sedan användas för en ny bevakare.
  • Det går inte att ange mer än en användartilldelad identitet för en bevakare.

Om du vill ändra den hanterade identiteten för en bevakare öppnar du sidan Identity för en bevakare.

• Om du vill använda en systemtilldelad identitet aktiverar du systemtilldelad identitet växla.

• Om du vill använda en användartilldelad identitet, inaktiverar du Systemtilldelad identitet omkopplaren. Välj knappen Lägg till för att hitta och lägga till en befintlig användartilldelad identitet.

  Information om hur du skapar en ny användartilldelad identitet finns i Skapa en användartilldelad hanterad identitet.

• Om du vill ta bort en användartilldelad identitet från en bevakare markerar du den i listan och väljer Ta bort. När en användartilldelad identitet har tagits bort måste du antingen lägga till en annan användartilldelad identitet eller aktivera den systemtilldelade identiteten.

  Den borttagna användartilldelade identiteten raderas inte från Microsoft Entra ID-klientorganisationen.

Välj knappen Spara för att spara identitetsändringar. Du kan inte spara identitetsändringar om det skulle leda till att bevakaren inte har någon identitet. Bevakare utan en giltig hanterad identitet stöds inte.

Kort efter att identitetsändringar har sparats återansluter övervakaren till SQL-mål, nyckelvalv (om de används) och datalagret med hjälp av dess aktuella hanterade identitet.

Ta bort en bevakare

Om det finns en borttagning eller ett skrivskyddat lås på bevakaren, dess resursgrupp eller dess prenumeration tar du bort låset. Om det finns ett lås på resursen, resursgruppen eller prenumerationen på resursen som du skapat en hanterad privat slutpunkttar du bort låset. Du kan lägga till låsen igen när bevakaren har tagits bort.

När du tar bort en bevakare som har sin systemtilldelade hanterade identitet aktiverad tas även identiteten bort. Detta tar bort all åtkomst som du har beviljat till den här identiteten. Om du återskapar bevakaren senare måste du bevilja åtkomst till den systemtilldelade hanterade identiteten för den nya bevakaren för att autentisera till varje resurs. Detta inkluderar:

• Mål
• Datalagret
• Och nyckelvalv (om det används)

Du måste ge åtkomst till en återskapad bevakare, även om du använder samma bevakarnamn.

När du tar bort en övervakare tas inte bort de Azure-resurser som refereras till som dess SQL-mål och datalager. Du behåller insamlade SQL-övervakningsdata i datalagret och du kan använda samma Azure Data Explorer- eller Real-Time Analytics-databas som datalagret om du skapar en ny bevakare senare.

Bevilja åtkomst till SQL-mål

Om du vill tillåta att en övervakare samlar in SQL-övervakningsdata måste du köra ett T-SQL-skript som ger bevakaren specifika, begränsade SQL-behörigheter.

• Om du vill köra skriptet i Azure SQL Database behöver du serveradministratörsåtkomst till den logiska server som innehåller databaser och elastiska pooler som du vill övervaka.

  • I Azure SQL Database behöver du bara köra skriptet en gång per logisk server för varje bevakare som du skapar. Detta ger bevakaren åtkomst till alla befintliga och nya databaser och elastiska pooler på den servern.

• Om du vill köra skriptet i Azure SQL Managed Instance måste du vara medlem i antingen sysadmin eller securityadmin serverrollen, eller ha CONTROL SERVER behörighet på den SQL-hanterade instansen.

  • I Azure SQL Managed Instance måste du köra skriptet på varje instans som du vill övervaka.

1. Gå till övervakaren i Azure-portalen, välj SQL-mål, välj en av länkarna Bevilja åtkomst för att öppna T-SQL-skriptet och kopiera skriptet. Se till att välja rätt länk för måltypen och den autentiseringstyp som du vill använda.

   Viktig

   Microsoft Entra-autentiseringsskriptet i Azure-portalen är specifikt för en bevakare eftersom det innehåller namnet på bevakarens hanterade identitet. En allmän version av det här skriptet som du kan anpassa för varje bevakare finns i Bevilja åtkomst till SQL-mål med T-SQL-skript.

2. I SQL Server Management Studio, Azure Data Studio eller något annat SQL-klientverktyg öppnar du ett nytt frågefönster och ansluter det till den master databasen på en logisk Azure SQL-server som innehåller målet eller till master-databasen på ett SQL-hanterat instansmål.

3. Klistra in och kör T-SQL-skriptet för att ge åtkomst till övervakaren. Skriptet skapar en inloggning som bevakaren använder för att ansluta och ger specifika, begränsade behörigheter för att samla in övervakningsdata.

   1. Om du använder ett Microsoft Entra-autentiseringsskript och bevakaren använder den systemtilldelade hanterade identiteten måste bevakaren redan skapas när du kör skriptet. Om bevakaren använder en användartilldelad hanterad identitet kan du köra skriptet före eller efter att bevakaren har skapats.

   Du måste vara ansluten med Microsoft Entra-autentisering när du kör T-SQL-åtkomstskripten som ger åtkomst till en hanterad identitet.

Om du lägger till nya mål i en bevakare senare måste du bevilja åtkomst till dessa mål på ett liknande sätt såvida inte dessa mål finns på en logisk server där åtkomst redan har beviljats.

Bevilja åtkomst till SQL-mål med T-SQL-skript

Det finns olika skript för Microsoft Entra-autentisering och SQL-autentisering samt för Azure SQL Database- och Azure SQL Managed Instance-mål.

Innan du kör ett skript ersätter du alla instanser av platshållare som kan finnas i skriptet, till exempel login-name-placeholder och password-placeholder med de faktiska värdena.

Bevilja åtkomst till Microsoft Entra-autentiserade bevakare

CREATE LOGIN [identity-name-placeholder] FROM EXTERNAL PROVIDER;

ALTER SERVER ROLE ##MS_ServerPerformanceStateReader## ADD MEMBER [identity-name-placeholder];
ALTER SERVER ROLE ##MS_DefinitionReader## ADD MEMBER [identity-name-placeholder];
ALTER SERVER ROLE ##MS_DatabaseConnector## ADD MEMBER [identity-name-placeholder];

USE master;

CREATE LOGIN [identity-name-placeholder] FROM EXTERNAL PROVIDER;

GRANT CONNECT SQL, CONNECT ANY DATABASE, VIEW ANY DATABASE, VIEW ANY DEFINITION, VIEW SERVER PERFORMANCE STATE TO [identity-name-placeholder];

USE msdb;

CREATE USER [identity-name-placeholder] FOR LOGIN [identity-name-placeholder];

GRANT SELECT ON dbo.sysjobactivity TO [identity-name-placeholder];
GRANT SELECT ON dbo.sysjobs TO [identity-name-placeholder];
GRANT SELECT ON dbo.syssessions TO [identity-name-placeholder];
GRANT SELECT ON dbo.sysjobhistory TO [identity-name-placeholder];
GRANT SELECT ON dbo.sysjobsteps TO [identity-name-placeholder];
GRANT SELECT ON dbo.syscategories TO [identity-name-placeholder];
GRANT SELECT ON dbo.sysoperators TO [identity-name-placeholder];
GRANT SELECT ON dbo.suspect_pages TO [identity-name-placeholder];
GRANT SELECT ON dbo.backupset TO [identity-name-placeholder];
GRANT SELECT ON dbo.backupmediaset TO [identity-name-placeholder];
GRANT SELECT ON dbo.backupmediafamily TO [identity-name-placeholder];

Bevilja åtkomst till SQL-autentiserade bevakare

Ytterligare steg krävs när du använder SQL-autentisering, se Ytterligare konfiguration för att använda SQL-autentisering.

CREATE LOGIN [login-name-placeholder] WITH PASSWORD = 'password-placeholder';

ALTER SERVER ROLE ##MS_ServerPerformanceStateReader## ADD MEMBER [login-name-placeholder];
ALTER SERVER ROLE ##MS_DefinitionReader## ADD MEMBER [login-name-placeholder];
ALTER SERVER ROLE ##MS_DatabaseConnector## ADD MEMBER [login-name-placeholder];

USE master;

CREATE LOGIN [login-name-placeholder] WITH PASSWORD = 'password-placeholder';

GRANT CONNECT SQL, CONNECT ANY DATABASE, VIEW ANY DATABASE, VIEW ANY DEFINITION, VIEW SERVER PERFORMANCE STATE TO [login-name-placeholder];

USE msdb;

CREATE USER [login-name-placeholder] FOR LOGIN [login-name-placeholder];

GRANT SELECT ON dbo.sysjobactivity TO [login-name-placeholder];
GRANT SELECT ON dbo.sysjobs TO [login-name-placeholder];
GRANT SELECT ON dbo.syssessions TO [login-name-placeholder];
GRANT SELECT ON dbo.sysjobhistory TO [login-name-placeholder];
GRANT SELECT ON dbo.sysjobsteps TO [login-name-placeholder];
GRANT SELECT ON dbo.syscategories TO [login-name-placeholder];
GRANT SELECT ON dbo.sysoperators TO [login-name-placeholder];
GRANT SELECT ON dbo.suspect_pages TO [login-name-placeholder];
GRANT SELECT ON dbo.backupset TO [login-name-placeholder];
GRANT SELECT ON dbo.backupmediaset TO [login-name-placeholder];
GRANT SELECT ON dbo.backupmediafamily TO [login-name-placeholder];

Ytterligare konfiguration för att använda SQL-autentisering

Om du vill lagra autentiseringsuppgifter på ett säkert sätt kräver sql-autentisering i database watcher ytterligare konfiguration.

Följ dessa steg för att konfigurera databasövervakaren för att ansluta till en måldatabas genom SQL-autentisering:

1. Skapa ett valv i Azure Key Vault eller identifiera ett befintligt valv som du kan använda. Valvet måste använda RBAC-behörighetsmodellen. Behörighetsmodellen RBAC är standard för nya valv. Om du vill använda ett befintligt valv, kontrollerar du att det inte är konfigurerat att använda den äldre modellen för åtkomstprincip.

   Om du vill använda privat anslutning till valvet skapar du en privat slutpunkt på sidan hanterade privata slutpunkter. Välj Microsoft.KeyVault/vaults som Resurstypoch vault som Målunderresurs. Kontrollera att den privata slutpunkten godkänns innan du startar bevakaren.

   Om du vill använda offentlig anslutning måste valvet tillåta offentlig åtkomst från alla nätverk. Det är inte möjligt att begränsa anslutningen från offentliga valv till specifika nätverk i databasövervakaren.

2. Skapa en SQL-autentiseringsinloggning på varje logisk Azure SQL-server eller hanterad instans som du vill övervaka och bevilja specifika, begränsade behörigheter med hjälp av angivna åtkomstskript. Ersätt platshållarna för inloggningsnamn och lösenord med de faktiska värdena i skriptet. Använd ett starkt lösenord.

3. I valvet skapar du två hemligheter: en hemlighet för inloggningsnamnet och en separat hemlighet för lösenordet. Använd giltiga namn som det hemliga namnetoch ange inloggningsnamnet och lösenordet som du använde i T-SQL-skriptet som det hemliga värdet för varje hemlighet.

   Namnen på de två hemligheterna kan till exempel vara database-watcher-login-name och database-watcher-password. De hemliga värdena är ett inloggningsnamn och ett starkt lösenord.

   För att skapa sekretess måste du ingå i Key Vault Secrets Officer RBAC-roll.

4. Lägg till ett SQL-mål till en övervakare. När du lägger till målet markerar du kryssrutan Använd SQL-autentisering och väljer valvet där inloggningsnamn och lösenordshemligheter lagras. Ange de hemliga namnen för inloggningsnamn och lösenord i motsvarande fält.

   När du lägger till ett SQL-mål inte ange det faktiska inloggningsnamnet och lösenordet. I det tidigare exemplet anger du database-watcher-login-name och database-watcher-password hemliga namn.

5. När du lägger till ett SQL-mål i Azure-portalen beviljas bevakarens hanterade identitet den åtkomst som krävs till nyckelvalvshemligheterna automatiskt om den aktuella användaren är medlem i rollen Ägare eller administratör för användaråtkomst roll för nyckelvalvet. Annars följer du nästa steg för att bevilja nödvändig åtkomst manuellt.

6. På sidan Åtkomstkontroll (IAM) för varje hemlighet lägger du till en rolltilldelning för den hanterade identiteten för bevakaren i Key Vault Secrets User RBAC-roll. Om du vill följa principen om minsta behörighet lägger du till den här rolltilldelningen för varje hemlighet i stället för för hela valvet. Sidan Åtkomstkontroll (IAM) visas endast om valvet har konfigurerats för att använda RBAC- behörighetsmodell.

Om du vill använda olika autentiseringsuppgifter för SQL-autentisering på olika SQL-mål måste du skapa flera par hemligheter. Du kan använda samma valv eller olika valv för att lagra hemligheterna för varje SQL-mål.

Bevilja åtkomst till datalager

För att skapa och hantera databasschemat i datalagret och för att importera övervakningsdata kräver databasövervakaren medlemskap i Administratörer RBAC-roll i datalagerdatabasen i ett Azure Data Explorer-kluster eller i Real-Time Analytics. Database Watcher kräver ingen åtkomst på klusternivå till Azure Data Explorer-klustret eller någon åtkomst till andra databaser som kan finnas i samma kluster.

Om du använder en databas i ett Azure Data Explorer-kluster som datalager beviljas den här åtkomsten automatiskt om du är medlem i Ägare RBAC-roll för klustret. Annars måste åtkomst beviljas enligt beskrivningen i det här avsnittet.

Om du använder en databas i Real-Time Analytics eller i ett kostnadsfritt Azure Data Explorer-kluster måste du bevilja åtkomst med hjälp av KQL.

Bevilja åtkomst till en Azure Data Explorer-databas med hjälp av Azure-portalen

Du kan använda Azure-portalen för att bevilja åtkomst till en databas i Azure Data Explorer-klustret:

1. För en databas i ett Azure Data Explorer-kluster går du till resursmenyn under Säkerhet + nätverkoch väljer Behörigheter. Använd inte sidan för behörigheter i klustret.
2. Välj Lägg tilloch välj Admin.
3. På sidan Nya rektorer väljer du Enterprise-applikationer. Om bevakaren använder den systemtilldelade hanterade identiteten skriver du namnet på bevakaren i rutan Sök. Om bevakaren använder en användartilldelad hanterad identitet skriver du identitetens visningsnamn i rutan Sök.
4. Välj företagsprogrammet för den hanterade identiteten för bevakaren.

Bevilja åtkomst till en Azure Data Explorer-databas med hjälp av KQL

I stället för att använda Azure-portalen kan du även bevilja åtkomst till databasen med hjälp av ett KQL-kommando. Använd den här metoden för att ge åtkomst till en databas i Real-Time Analytics eller på ett kostnadsfritt Azure Data Explorer-kluster.

1. Anslut till en databas i Azure Data Explorer-klustret med hjälp av Kusto Explorer eller Azure Data Explorer webbgränssnittet.

2. I följande KQL-exempelkommando ersätter du de tre platshållarna som anges i tabellen:

   .add database [adx-database-name-placeholder] admins ('aadapp=identity-principal-id-placeholder;tenant-primary-domain-placeholder');
   

   Platshållare	Ersättning
   adx-database-name-placeholder	Namnet på en databas i ett Azure Data Explorer-kluster eller i Real-Time Analytics.
   identity-principal-id-placeholder	Det huvud-ID värdet (ett GUID) för en hanterad identitet som finns på bevakarens sida Identitet. Om den systemtilldelade identiteten är aktiverad använder du dess huvudnamns-ID värde. I annat fall använder du värdet för huvud-ID för den användartilldelade identiteten.
   tenant-primary-domain-placeholder	Domännamnet för Microsoft Entra ID-tecknaren för den hanterade bevakareidentiteten. Hitta detta på sidan Microsoft Entra ID Översikt i Azure-portalen. I stället för klientens primära domän kan även klient-ID GUID användas. Den här delen av kommandot krävs om du använder en databas i Real-Time Analytics eller i ett kostnadsfritt Azure Data Explorer-kluster. Domännamnet eller tenant-ID-värdet (och föregående semikolon) kan utelämnas för en databas i ett Azure Data Explorer-kluster eftersom klustret alltid finns i samma Microsoft Entra ID-klientorganisation som den hanterade identitet hos bevakaren.

   Till exempel:

   .add database [watcher_data_store] admins ('aadapp=9da7bf9d-3098-46b4-bd9d-3b772c274931;contoso.com');
   

För mer information, se Kustos rollbaserade åtkomstkontroll.

Ge användare och grupper åtkomst till datalagret

Du kan använda Azure-portalen eller ett KQL-kommando för att ge användare och grupper åtkomst till en databas i ett Azure Data Explorer-kluster eller i Real-Time Analytics. Om du vill bevilja åtkomst måste du vara medlem i Admin RBAC-roll i databasen.

Använd ett KQL-kommando för att ge åtkomst till en databas i det kostnadsfria Azure Data Explorer-klustret eller i Real-Time Analytics. Om du vill följa principen om lägsta behörighet rekommenderar vi att du inte lägger till användare och grupper i någon annan RBAC-roll än Viewer- som standard.

Bevilja åtkomst till datalagret med hjälp av Azure-portalen

Du kan använda Azure-portalen för att ge användare och grupper åtkomst till en databas i Azure Data Explorer-klustret:

1. För en databas i ett Azure Data Explorer-kluster går du till resursmenyn under Säkerhet + nätverkoch väljer Behörigheter. Använd inte sidan Behörigheter i klustret.
2. Välj Lägg tilloch välj Tittare.
3. På sidan Nya huvudrollsinnehavare skriver du namnet på användaren eller gruppen i rutan Sök.
4. Välj användare eller grupp.

Bevilja åtkomst till datalagret med hjälp av KQL

I stället för att använda Azure-portalen kan du även ge användare och grupper åtkomst till databasen med hjälp av ett KQL-kommando. I följande exempel kan KQL-kommandon ge dataläsbehörighet till mary@contoso.com-användaren och till SQLMonitoringUsers@contoso.com-gruppen i en Microsoft Entra-ID-klientorganisation med ett specifikt klient-ID-värde.

.add database [watcher_data_store] viewers ('aaduser=mary@contoso.com');

.add database [watcher_data_store] viewers ('aadgroup=SQLMonitoringUsers@contoso.com;8537e70e-7fb8-43d3-aac5-8b30fb3dcc4c');

Mer information finns i Kustos rollbaserade åtkomstkontroll.

Om du vill bevilja åtkomst till datalagret till användare och grupper från en annan klientorganisation måste du aktivera autentisering mellan klientorganisationer i Azure Data Explorer-klustret. Mer information finns i Tillåt frågor och kommandon mellan hyresgäster.

Hantera datalager

Det här avsnittet beskriver hur du kan hantera datalagret för övervakning, inklusive skalning, datakvarhållning och annan konfiguration. Övervägandena för klusterskalning i det här avsnittet är relevanta om du använder en databas i Azure Data Explorer-klustret. Om du använder en databas i Real-Time Analytics i Fabric hanteras skalning automatiskt.

Skala Azure Data Explorer-kluster

Du kan skala ditt Azure Data Explorer-kluster efter behov. Du kan till exempel skala ned klustret till Extra liten, Dev/test- SKU om ett serviceavtal (SLA) inte krävs och om fråge- och datainmatningsprestanda förblir godtagbara.

För många distributioner av databasbevakare räcker standard Extra liten, Beräkningsoptimerad 2-instanskluster-SKU:n på obestämd tid. I vissa fall kan du, beroende på dina konfigurations- och arbetsbelastningsändringar över tid, behöva skala klustret för att säkerställa tillräcklig frågeprestanda och upprätthålla korta svarstider för datainmatning.

Azure Data Explorer stöder vertikal och horisontell klusterskalning. Med lodrät skalning ändrar du klustrets SKU, vilket ändrar antalet vCPU:er, minne och cache per instans (nod). Med horisontell skalning förblir SKU:n densamma, men antalet instanser i klustret ökas eller minskas.

Du måste skala ut klustret (vågrätt) eller uppåt (lodrätt) om du märker ett eller flera av följande symtom:

• Prestanda för instrumentpaneler eller ad hoc-frågor blir väldigt långsam.
• Du kör många parallella frågor i klustret och observerar strypningsfel.
• Svarstiden för datainmatning blir konsekvent högre än vad som är acceptabelt.

I allmänhet behöver du inte skala klustret eftersom mängden data i datalagret ökar över tid. Det beror på att instrumentpanelsfrågor och de vanligaste analysfrågorna endast använder de senaste data, som cachelagras i lokal SSD-lagring på klusternoder.

Men om du kör analysfrågor som sträcker sig över längre tidsintervall kan de bli långsammare med tiden när den totala mängden insamlade data ökar och inte längre passar in i den lokala SSD-lagringen. Det kan behövas skalning av klustret för att upprätthålla lämpliga frågeprestanda i så fall.

• Om du behöver skala klustret rekommenderar vi att du skalar det horisontellt först för att öka antalet instanser. Detta håller klustret tillgängligt för frågor och inmatning under skalningsprocessen.

  • Du kan aktivera optimerad automatisk skalning för att automatiskt minska eller öka antalet exemplar som svar på ändringar i arbetsbelastningen eller säsongstrender.

• Du kanske upptäcker att även när du har skalat ut klustret vågrätt fungerar vissa frågor fortfarande inte som förväntat. Detta kan inträffa om frågeprestandan är bunden av de resurser som är tillgängliga på en instans (nod) i klustret. I så fall skalar du upp klustret lodrätt.

  • Det tar flera minuter att skala lodräta kluster. Under den processen finns det en tid av stilleståndstid som kan stoppa datainsamlingen av bevakaren. Om det händer, stanna och starta om bevakaren efter att skalningsåtgärden har slutförts.

Kostnadsfritt Azure Data Explorer-kluster

Det kostnadsfria Azure Data Explorer-klustret har vissa kapacitetsbegränsningar, inklusive en lagringskapacitetsgräns för ursprungliga okomprimerade data. Du kan inte skala ett kostnadsfritt Azure Data Explorer-kluster för att öka dess beräknings- eller lagringskapacitet. När klustret är nära att nå sin lagringskapacitet, eller är vid kapacitet, visas ett varningsmeddelande på sidan för lediga kluster .

Om du når lagringskapacitet matas inte nya övervakningsdata in, men befintliga data förblir tillgängliga på databasövervakaren instrumentpaneler och kan analyseras med hjälp av KQL- eller SQL-frågor.

Om du upptäcker att specifikationerna för det kostnadsfria klustret inte är tillräckliga för dina krav kan du uppgradera till ett fullständigt Azure Data Explorer-kluster. Uppgraderingen behåller alla insamlade data.

För att säkerställa att bevakaren fortsätter att fungera efter uppgraderingen måste du följa dessa steg:

1. Stoppa bevakaren.
2. Följ stegen för att uppgradera till ett fullständigt Azure Data Explorer-kluster och vänta tills uppgraderingen har slutförts.
3. Ändra datalagret för bevakaren och välj det uppgraderade Azure Data Explorer-klustret och databasen.
4. Starta bevakaren.

Om du vill fortsätta använda det kostnadsfria Azure Data Explorer-klustret hantera datakvarhållning för att ta bort äldre data automatiskt och frigöra utrymme för nya data. När lagringsutrymmet är tillgängligt kan du behöva stoppa och starta om bevakaren för att återuppta datainsamlingen.

Hantera datakvarhållning

Om du inte behöver äldre data kan du konfigurera principer för datakvarhållning så att de rensas automatiskt. Som standardinställning är datakvarhållning inställd på 365 dagar i en ny databas i ett Azure Data Explorer-kluster eller i Real-Time Analytics.

• Du kan minska datakvarhållningsperioden på databasnivå eller för enskilda tabeller i databasen.
• Du kan också öka kvarhållningen om du behöver lagra övervakningsdata i mer än ett år. Det finns ingen övre gräns för datakvarhållningsperioden.
• Om du konfigurerar olika datakvarhållningsperioder för olika tabeller kanske instrumentpaneler inte fungerar som förväntat för tidigare tidsintervall. Detta kan inträffa om data fortfarande finns i vissa tabeller, men redan rensas i andra tabeller under samma tidsintervall.

Mängden SQL-övervakningsdata som matas in i datalagret beror på dina SQL-arbetsbelastningar och storleken på din Azure SQL-egendom. Du kan använda följande KQL-fråga för att visa den genomsnittliga mängden data som matas in per dag, uppskatta lagringsförbrukningen över tid och hantera principer för datakvarhållning.

.show database extents
| summarize OriginalSize = sum(OriginalSize),
            CompressedSize = sum(CompressedSize)
            by bin(MinCreatedOn, 1d)
| summarize DailyAverageOriginal = format_bytes(avg(OriginalSize)),
            DailyAverageCompressed = format_bytes(avg(CompressedSize));

Schema- och åtkomständringar i databasbevakningsdatalagret

Med tiden kan Microsoft introducera nya datauppsättning för databasspårning eller expandera befintliga datauppsättningar. Det innebär att nya tabeller i datalagret eller nya kolumner i befintliga tabeller kan läggas till automatiskt.

För att göra detta måste den aktuella hanterade identiteten för en databasövervakare vara medlem i Administratörer RBAC-rollen i datalagret. Om du återkallar det här rollmedlemskapet eller ersätter det med medlemskap i någon annan RBAC-roll kan det påverka datainsamling och schemahantering för databasväktare och stöds inte.

På samma sätt stöds inte att skapa nya objekt som tabeller, externa tabeller, materialiserade vyer, funktioner osv. i datalagret för databasväktare. Du kan använda frågor mellan kluster och databaser för att fråga data i ditt datalager från andra Azure Data Explorer-kluster eller från andra databaser i samma kluster.

Stoppade kluster i Azure Data Explorer

Ett Azure Data Explorer-kluster kan stoppas, till exempel för att spara kostnader. Som standard stoppas ett Azure Data Explorer-kluster som skapats i Azure-portalen automatiskt efter flera dagars inaktivitet. Detta kan till exempel inträffa om du stoppar bevakaren som matar in data i den enda databasen i klustret och inte kör några frågor i den här databasen.

Om du använder standardalternativet för att skapa ett nytt Azure Data Explorer-kluster när du skapar en ny bevakare inaktiveras det automatiska stoppbeteendet för att tillåta oavbruten datainsamling.

Om klustret stoppas, upphör även insamlingen av data från databasövervakaren. Om du vill återuppta datainsamlingen måste du starta klustret. Starta om bevakaren när klustret har startat.

Du kan inaktivera det automatiska stoppbeteendet om du vill att klustret ska förbli tillgängligt även när det är inaktivt. Detta kan öka klusterkostnaden.

Inmatning av direktuppspelning

Databasbevakare kräver att Azure Data Explorer-klustret som innehåller databasen för datalagring har strömmande datainmatning aktiverat. Direktuppspelningsinmatning aktiveras automatiskt för det nya Azure Data Explorer-klustret som skapas när du skapar en ny bevakare. Det är också aktiverat i Real-Time Analytics och i det kostnadsfria Azure Data Explorer-klustret.

Om du vill använda ett befintligt Azure Data Explorer-kluster måste du aktivera direktuppspelningsinmatning först. Det tar några minuter och startar om klustret.

Privat anslutning till datalagret

Om offentlig åtkomst i ett Azure Data Explorer-kluster är inaktiverat måste du skapa en privat slutpunkt för att ansluta till klustret från din webbläsare och se SQL-övervakningsdata på instrumentpaneler eller för att köra frågor direkt mot datan. Den här privata slutpunkten är utöver den hanterade privata slutpunkten som skapats för att låta övervakaren mata in övervakningsdata i en databas i Azure Data Explorer-klustret.

• Om du ansluter till ett Azure Data Explorer-kluster från en virtuell Azure-dator skapa en privat slutpunkt för Azure Data Explorer-klustret i det virtuella Azure-nätverk där den virtuella Azure-datorn distribueras.

• Om du ansluter till ett Azure Data Explorer-kluster från en dator lokalt kan du:

  1. Använd Azure VPN Gateway eller Azure ExpressRoute för att upprätta en privat anslutning från ditt lokala nätverk till ett virtuellt Azure-nätverk.
  2. Skapa en privat slutpunkt för Azure Data Explorer-klustret i det virtuella Azure-nätverket där VPN- eller ExpressRoute-anslutningen avslutas eller i ett annat virtuellt Azure-nätverk som kan nås via trafik från datorn lokalt.
  3. Konfigurera DNS- för den privata slutpunkten.

Privat anslutning är inte tillgänglig för kostnadsfria Azure Data Explorer-kluster eller för Real-Time Analytics i Microsoft Fabric.

Övervaka stora egendomar

Om du vill övervaka en stor Azure SQL-egendom kan du behöva skapa flera bevakare.

Varje bevakare kräver en databas i ett Azure Data Explorer-kluster eller i Real-Time Analytics som datalager. De bevakare som du skapar kan använda en enkel databas som ett gemensamt datalager eller separata databaser som separata datalager. Följande överväganden kan hjälpa dig att göra ett optimalt designval för dina övervakningsscenarier och krav.

Överväganden för ett gemensamt datalager:

• Det finns en samlad vy över alla dina Azure SQL-resurser.
• Instrumentpanelerna för vilken som helst bevakare visar alla data i datalagret, även om data samlas in av andra bevakare.
• Användare med åtkomst till datalagret har åtkomst till övervakningsdata för hela din Azure SQL-egendom.

Överväganden för separata datalager:

• Delmängder av din Azure SQL-miljö övervakas oberoende av varandra. Instrumentpaneler för databasövervakare i Azure-portalen visar alltid data från ett enda datalager.
• Användare med åtkomst till flera datalager kan använda korskluster eller korsdatabaser KQL-frågor för att få åtkomst till övervakningsdata i flera datalager med hjälp av en enda fråga.
• Eftersom dataåtkomst i Azure Data Explorer och i Real-Time Analytics hanteras per databas kan du hantera åtkomst till övervakningsdata för delmängderna av din egendom på ett detaljerat sätt.
• Du kan placera flera databaser i samma Azure Data Explorer-kluster för att dela klusterresurser och spara kostnader, samtidigt som data hålls isolerade i varje databas.
• Om du behöver en fullständig uppdelning av miljöer, inklusive nätverksåtkomst till Azure Data Explorer-kluster, kan du placera olika databaser i olika kluster.

Relaterat innehåll

• snabbstart: Skapa en databasövervakare för att övervaka Azure SQL (förhandsversion)
• Övervaka Azure SQL-arbetsbelastningar med databasövervakare (förhandsversion)
• Database Watcher-datainsamling och datauppsättningar (förhandsversion)
• Analysera data från databasövervakare (förhandsversion)
• Vanliga frågor och svar om Database Watcher