探索服务器和数据库审核
Azure SQL 审核 跟踪数据库事件，并将其写入 Azure 存储帐户、Log Analytics 工作区或事件中心的审核日志。 它有助于维护法规合规性、分析活动模式，并确定可能指示安全违规的偏差。
可以定义服务器级别和数据库级别的策略。 服务器策略自动涵盖了 Azure 中的新数据库和现有数据库。
- 如果启用了服务器审核，则无论数据库审核设置如何，都会审核数据库。
- 除了在服务器上启用审核外，还可以在数据库上启用审核。 这允许两个审核同时存在；服务器策略和数据库策略。
最好不要同时启用服务器审核和数据库审核，除非：
- 不同的 存储帐户、保留期或 Log Analytics 工作区用于特定数据库。
- 需要对一个特定的数据库进行审核，该数据库不同于服务器上的其余数据库，例如具有不同的事件类型或类别。
对于所有其他情况，建议仅启用服务器级审核，并使所有数据库禁用数据库级审核。
SQL 数据库的默认审核策略包括以下操作组：
| 操作组 | 定义 |
|---|---|
| BATCH_COMPLETED_GROUP | 对数据库执行的所有查询和存储过程进行审核。 |
| SUCCESSFUL_DATABASE_AUTHENTICATION_GROUP | 这表示主体已成功登录到数据库。 |
| FAILED_DATABASE_AUTHENTICATION_GROUP | 这表示主体未能登录到数据库。 |
若要为 Azure SQL 服务器上的所有数据库启用审核，请在服务器主边栏选项卡的“安全”部分中选择“审核”。 使用 “审核 ”页可以设置审核日志目标。
SQL 数据库和 SQL 托管实例的审核服务针对可用性和性能进行了优化。 当活动速率较高或网络负载较高时，SQL 数据库和 SQL 托管实例可能不会记录某些已审核的事件。
注意
对只读副本的审核会自动启用。
审核敏感标签
与数据分类结合使用时，还可以监视对敏感数据的访问。 Azure SQL 审核已增强，在审核日志中包含了一个名为 data_sensitivity_information 的新字段。
通过记录查询返回的数据的敏感度标签，此字段提供了一种更轻松的方法来跟踪对分类列的访问。
审核包括跟踪和记录数据库引擎中发生的事件。 Azure SQL 审核简化了启用它所需的配置步骤，从而更轻松地跟踪 SQL 数据库和 SQL 托管实例的数据库活动。