如何记录和审核 Azure Functions 代码和配置更改答案

【问题标题】：How to log and audit Azure Functions code and configuration changes如何记录和审核 Azure Functions 代码和配置更改
【发布时间】：2020-07-15 07:17:48
【问题描述】：

如何记录和审核 Azure Functions 的代码和配置更改？我正在尝试创建方法来跟踪和防范恶意内部人员对 Azure Functions 的功能进行未经授权的更改。在 AWS 中，我可以创建一个 CloudTrail 跟踪，将所有写入事件记录到 Lambda 函数并将它们写入 S3 存储桶；事件在 CloudTrail 控制台的事件历史记录部分中也可见。但是，我似乎找不到为 Azure Functions 执行类似操作的方法，尤其是在 Azure Stack 中。我已经搜索了活动日志和监视器，但无济于事。任何帮助或想法将不胜感激。谢谢！

【问题讨论】：

标签： azure function security logging

【解决方案1】：

Azure 有一项新功能，称为变更分析 https://aka.ms/changeanalysis

如果您已登录，您可能可以直接进入此处 https://portal.azure.com/?feature.customportal=false#blade/Microsoft_Azure_ChangeAnalysis/ChangeAnalysisBladeV2

此功能也包含在活动日志中，您可以查看所做的更改。唯一的问题是它只有14天。他们正在努力创建允许导出到 Log Analytics 的功能，以便进一步追溯。

您可以在活动日志上创建警报。您所指的更新也应该触发活动日志

https://docs.microsoft.com/en-us/azure/azure-monitor/platform/activity-log-alerts

【讨论】：

谢谢！我尝试使用应用程序更改分析并遇到了令人失望的副作用。当我完全删除 Azure 函数时，我希望看到删除记录在门户的应用程序更改分析屏幕中。然而，什么都没有出现，因为正在分析的资源已被删除。因此，只要资源仍然存在，跟踪更改可能会很有用。它似乎是一个日志记录和审计解决方案，而不是一个警报解决方案。
只要您在层次结构中指定所有可能的事件进行警报，从网站级别到功能级别，活动日志上的警报就会起作用。例如，我在功能级别上设置了关于创建、更新和删除的警报，然后删除了网站。即使在删除网站时明显删除了该功能，也没有触发该功能的警报。显然，我必须在所有可能的级别指定警报，以便正确提醒创建和删除。
您应该能够从资源组的活动日志中执行此操作。我已经查看了显示删除的资源组的已删除更改信息。所以你可以把这两个位置结合起来。