从本地文件系统读取 Azure 审核日志答案

【问题标题】：Read Azure Audit Logs from Local File System从本地文件系统读取 Azure 审核日志
【发布时间】：2020-04-28 10:26:19
【问题描述】：

我已将 Azure 审核日志下载到本地驱动器中。

我正在尝试从我的本地机器上读取它们。

我正在使用以下查询

select * FROM sys.fn_get_audit_file('C:\Ran\Audit\Chevron\2020-04-10\01_48_07_838_426.xel',DEFAULT,DEFAULT)

出现以下错误从审核文件或文件模式读取时出错：'C:\Ran\Audit\Chevron\2020-04-10\01_48_07_838_426.xel'。 SQL 服务帐户可能没有文件的读取权限，或者该模式可能返回一个或多个损坏的文件。

我已授予文件夹的全部权限：Chevron[在放置审核文件的位置]

【问题讨论】：

【解决方案1】：

我从 blob 存储下载我的 Azure SQL 数据库审核文件并将其复制到本地 SQL Server 审核文件夹。

然后使用管理员帐户“sa”登录我的本地 SQL Server，运行查询，一切正常。

例如：

在 Azure SQL 数据库的博客存储中读取审计文件01_13_36_510_0.xel：

然后将其复制到本地 SQL Server 审核文件夹并再次运行查询：

如果你想阅读审计文件，你必须有permission:

SQL Server：需要CONTROL SERVER权限。
Azure SQL DB：需要 CONTROL DATABASE 权限。
1. 服务器管理员可以访问服务器上所有数据库的审核日志。
2. 非服务器管理员只能从当前访问审核日志数据库。
3. 不符合上述条件的 Blob 将被跳过（列表跳过的 blob 将显示在查询输出消息中），并且该函数将仅从具有访问权限的 blob 返回日志允许。

希望这会有所帮助。

【讨论】：