はじめに

Azure Data Lake Storage Gen 2 (以下,ADLS)へのショートカットを作ると、ショートカット先にアクセス権のない人でもアクセスできるようになるので、ADLSから見たときに誰がどのようにアクセスしたことになってるのか確認してみました。

注意：2024/02/07時点の情報です

確認

はじめに、普通に使ったときのログの確認から。Azure Portal を通じて、ADLS上にファイルを置いた際のログです。私の開発用アカウントlocaldevがどこから何をしたのかが見えています。※Put BlobがBlob APIによるファイル配置

次にショートカットを組織アカウントによる認証で作成し、ファイルを置いた際のログです。

Log Analytics からは以下のようなログを切り取ってみました。ListFilesystemDirあたりがショートカット作成と思われます。

DelegationSASが使われており、誰が実施したかは不明になっていることがわかります。
※CreatePathFile～FlushFileの一連の流れがADLSのAPIによるファイル配置

また、一連の操作の送信元のIPが内部IPだけになっていることからもFabric からのアクセスが、ユーザー委任SASで実行されていることがわかります。

ちなみにこのあと何回かファイル表示をすると、そのたびに埋め込まれた資格情報によりGetUserDelegationKeyでユーザー委任SASを取得して認証に使っていました。

現状、ショートカット先での監査は不十分になるので注意。

想定通りですが、SSOできるようにしてもらうか、レイクハウス上で操作内容を取得できるようにしてほしい

少なくともLakehouse上の監査は将来的には来るとは思います。（以下が想定するものは可はさておき）