一条审计日志，多方消费——Azure SQL 终于支持多工作区转发了
做过等保合规的都知道，审计日志是数据库安全的"生命线"。但很多团队在实际使用中会遇到一个尴尬的问题：
🤔 安全团队要用 Sentinel 做入侵检测，开发团队想用 Log Analytics 做业务分析，而合规部门还要求日志必须存在指定区域的工作区里。
以前，Azure SQL 的审计日志只能发到一个 Log Analytics 工作区，想给多个团队用？只能手动导出再转发，费时费力还容易丢数据。
现在微软终于把这个问题解决了——Azure SQL 审计日志支持通过多个 Diagnostic Settings 转发到多个 Log Analytics 工作区。
下面手把手教你配置，5 分钟搞定。
📋 先说清楚：为什么要这么搞？
三个核心场景：
| 场景 | 说明 | |------|------| | 职责分离 | 安全团队和开发团队各看各的日志，权限独立管理 | | 工具集成 | Sentinel 用一个工作区做 SIEM，应用团队用另一个做数据分析 | | 合规要求 | 不同行业/地区的监管要求日志必须存在不同区域的工作区 |
💡 国内用户特别关心第三点——比如金融行业要求审计日志必须留存至少 6 个月，而且要存在国内区域。如果你用的是 Azure 中国区（由 21Vianet 运营），这个功能同样适用。
🛠️ 手把手配置（3 步搞定）
第一步：开启审计并指定主工作区
- 登录 Azure Portal
- 找到你的 Azure SQL Server（注意是 Server 级别，不是单个数据库）
- 左侧菜单 → Security → Auditing
- 审计目标选 Log Analytics Workspace，选你的主工作区
- 点击 Save
✅ 开启审计后，系统会自动创建一个 Diagnostic Setting。
第二步：添加额外的 Diagnostic Settings
- 在 Azure Portal 搜索栏输入 Diagnostic settings
- 筛选你的订阅，找到 SQL Server 的 master 数据库
- 点击 + Add diagnostic setting
- 给设置起个名字（比如
AuditToAppWorkspace） - 在 Log 类别中，选择
SQLSecurityAuditEvents（如果不需要 DevOps 审计可以不勾选） - 目标选择你的第二个 Log Analytics 工作区
- 点击 Save
第三步：重复添加更多工作区（按需）
需要转发到第三个、第四个工作区？重复第二步就行，没有数量上限。
🎯 实战案例
一个典型场景：
- Workspace A → 给安全团队，连接 Microsoft Sentinel 做 SIEM 安全监控
- Workspace B → 给应用团队，用 Log Analytics 做应用层审计分析
配置完成后，两边都能独立收到审计日志，互不干扰，不需要任何手动导出脚本。
⚠️ 配置注意事项
- 成本控制：每多转发一个工作区，Log Analytics 的数据摄入量就会翻一份。记得在 Cost Management 里监控 Log Analytics 的费用，避免意外账单 💰
- 避免重复：如果你用 Diagnostic Settings 同时转发到 Event Hub 和 Storage Account，注意审计日志可能在多个地方重复出现
- 权限管理：不同工作区的 RBAC 权限是独立的，确保各团队只能访问自己的工作区
🆚 国内云对比
| 能力 | Azure SQL | 阿里云 RDS（SQL Server） | 腾讯云 CDB（SQL Server） | |------|-----------|------------------------|------------------------| | 审计日志转发到多个日志服务 | ✅ 支持 | ⚠️ 需通过 SLS 消费组手动转发 | ⚠️ 需通过 CLS 日志主题配置 | | 原生多工作区支持 | ✅ 多 Diagnostic Settings | ❌ 需二次开发 | ❌ 需二次开发 | | 与 SIEM 联动 | ✅ 原生集成 Sentinel | ⚠️ 支持 SLS → SLS Project | ⚠️ 支持 CLS → 安全中心 |
可以看出，Azure SQL 在多工作区审计转发方面是原生支持的，配置简单直接。国内云数据库也能实现类似功能，但通常需要借助日志服务的消费组或转发规则，配置复杂度更高。
📌 总结
Azure SQL 审计日志多工作区转发是一个小而实用的功能更新，特别适合有以下需求的团队：
- 🔒 安全团队和开发团队需要独立查看审计日志
- 📊 多个团队使用不同的日志分析工具
- 🏛️ 合规要求日志必须存在指定区域
配置方法简单：先开启审计，再添加 Diagnostic Settings 即可。注意控制转发工作区数量，避免 Log Analytics 费用失控。
📖 原文：Step-by-Step Guide: Route Azure SQL Audit Logs to Multiple Log Analytics Workspaces 📅 发布日期：2025-11-27
