你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
Tip
Microsoft Fabric Data Warehouse是数据湖基础上的企业规模关系仓库，具有未来就绪的体系结构、内置 AI 和新功能。 如果不熟悉数据仓库，请从Fabric Data Warehouse开始。 现有的指定 SQL 池工作负荷可以升级到 Fabric，以跨数据科学、实时分析和报告访问新功能。
你可以分析发送给Azure Monitor Log Analytics、Azure 事件中心或Azure 存储的Azure Synapse Analytics审计日志。
使用 Log Analytics 分析日志
如果你选择将审核日志写入 Log Analytics：
- 在 Azure 门户中，搜索 SQL 数据库并选择你的数据库，或者搜索 SQL 服务器并选择你的 Synapse SQL 服务器。
- 在“ 安全性”下的“资源”菜单上，选择“ 审核”。
- 在 “审核 ”页顶部，选择“ 查看审核日志”。
注意
“ 查看审核日志 ”按钮同时显示在服务器级别和数据库级 审核 页上。 从 数据库 资源中选择它时，会看到特定于该数据库的审核记录。 从 服务器 资源中选择它时，会看到该服务器上的所有数据库的审核记录。 确保根据您需要审查的审计日志范围，导航到正确的资源层级。
可通过两种方法从 “审核记录 ”页查看日志：
- 选择页面顶部的 Log Analytics，在Log Analytics工作区中打开日志视图，可在其中自定义时间范围和搜索查询。
- 选择页面顶部的“ 查看仪表板 ”以打开显示审核日志信息的仪表板，可在其中向下钻取 安全见解 或 访问敏感数据。 此仪表板可帮助你获取数据的安全见解。 还可以自定义时间范围和搜索查询。
Tip
仅当从启用了数据库级审核的数据库级审核页访问审核记录时，“查看仪表板”选项才可用。 如果你只配置了服务器级审计，仍然可以通过以下步骤直接在Log Analytics工作区查询审计数据。
直接在 Log Analytics 中查询审核日志
还可以直接从Log Analytics工作区访问审核日志，而无需浏览“审核”页。 只有服务器级审核，或者想要跨多个数据库运行自定义查询时，此方法非常有用。
- 在 Azure 门户中，打开配置为审计目的地的 Log Analytics 工作区。
- 在“ 常规”下，选择“ 日志”。
- 从简单的查询开始，例如
search "SQLSecurityAuditEvents"查看审核日志。
在此处，可以使用 Azure Monitor 日志对审核日志数据运行高级搜索。 Azure Monitor日志为您提供实时操作见解，借助集成搜索和自定义仪表板，可以充分分析所有工作负载和服务器上的数百万条记录。 有关 Azure Monitor 日志搜索语言和命令的详细信息，请参阅 Azure Monitor 日志搜索参考。
使用事件中心分析日志
如果已选择将审核日志写入到事件中心，请执行以下操作：
- 若要从事件中心获取审核日志数据，需设置一个流来获取事件并将其写入目标。 有关详细信息，请参阅 Azure 事件中心 文档。
- 事件中心中的审核日志在 Apache Avro 事件的正文中捕获，并使用带有 UTF-8 编码的 JSON 格式进行存储。 若要读取审核日志，可以使用 Avro 工具、Microsoft Fabric 事件流或处理此格式的类似工具。
分析 Azure 存储 中的日志
如果你选择向 Azure 存储账户写审计日志，可以使用几种方法查看日志：
审计日志会在你设置时选择的账户中汇总。 可以使用 Azure 存储资源管理器 等工具来浏览审核日志。 在 Azure 存储中，审核日志以 Blob 文件集合的形式保存在名为 sqldbauditlogs 的容器中。 关于存储文件夹的层级结构、命名规范和日志格式的更多信息，请参见 Azure Synapse Analytics 审计日志格式。
- 在 Azure 门户中，搜索 SQL 服务器并选择你的服务器。
- 在“ 安全性”下的“资源”菜单上，选择“ 审核”。
- 在 “审核 ”页顶部，选择“ 查看审核日志”。 此时会打开 “审核记录 ”页，可以查看日志。
- 可以通过选择“审核记录”页顶部的“筛选器”来查看特定日期。
- 你可以在服务器审核策略和数据库审核策略创建的审核记录之间切换，方法是切换审核源。
使用系统函数
sys.fn_get_audit_file(T-SQL) 以表格格式返回审核日志数据。 有关使用此函数的详细信息，请参阅 sys.fn_get_audit_file。在 SQL Server Management Studio 中使用 Merge Audit Files（从 SSMS 17 开始）：
在 SSMS 菜单中，选择“ 文件>打开>合并审核文件”。
此时将打开 “添加审核文件 ”对话框。 选择Add选项之一，选择是合并本地磁盘中的审核文件还是从Azure 存储导入文件。 您必须提供您的Azure 存储详细信息和账户密钥。
添加所有合并文件后，选择 确定 完成合并操作。
合并的文件会在 SSMS 中打开，可在其中进行查看和分析，以及将其作为 XEL 或 CSV 文件导出或导出到表中。
使用 Power BI。 可在 Power BI 中查看和分析审核日志数据。 有关详细信息，请参阅 Power BI中使用Azure Log Analytics。
通过门户或使用 Azure 存储资源管理器 等工具从 Azure 存储 blob 容器下载日志文件。
- 下载日志文件后，双击该文件即可打开、查看并分析SSMS中的日志。
- 还可以在Azure 存储资源管理器中同时下载多个文件。 为此，请右键单击特定子文件夹，然后选择“ 另存为 ”以保存在本地文件夹中。
下载多个文件或包含日志文件的子文件夹后，可以按照前述 SSMS 合并审核文件说明在本地合并它们。
以编程方式查看 Blob 审核日志：使用 PowerShell 查询扩展事件文件 。