azure - 如何过滤 Azure 审核

Question

我已在 Azure SQL 数据库中启用 Azure 审核，审核正在捕获数据库中的所有事件并将其存储在存储帐户中。我的问题是，是否可以配置 Azure 审核并过滤审核中要捕获和不捕获的内容？

默认情况下，它捕获 DDL、DML、安全角色等，这是工具信息，只想捕获安全角色更改，所以我在哪里过滤审计捕获，因为我不想过滤之后的数据捕获。

谢谢

Answer 1

可以使用 Set-AzSqlDatabaseAudit 更详细地控制 Azure SQL 数据库的审核日志记录Powershell 命令。

在您的情况下，您可能需要查看 -AuditActionGroup 参数。其可接受的值之一是 DATABASE_ROLE_MEMBER_CHANGE_GROUP。

-PredicateExpression 允许您为记录的内容指定 WHERE 子句。我发现过滤掉某些应用程序用于检查数据库可用性的 SELECT 1 查询非常有用。例如:

Set-AzSqlDatabaseAudit -PredicateExpression "statement <> 'SELECT 1'" -ResourceGroupName "myRg" -ServerName "myServer" -DatabaseName "myDb" -LogAnalyticsTargetState Enabled -WorkspaceResourceId "/subscriptions/<subId>/resourcegroups/<rgName>/providers/microsoft.operationalinsights/workspaces/<workspaceName>"

请注意，列名称是 statement，而不是您在日志中看到的 statement_s。