用途
Azure Monitor Audit 用于审计 Azure 活动，借助 Azure Monitor、活动日志（Activity Log）和 Log Analytics 实现合规性、安全性和运营可见性。它适合以下场景：
- 在 Azure 订阅中启用集中化审计日志
- 满足 SOC 2、HIPAA、PCI DSS 或 ISO 27001 的合规要求
- 调查 Azure 中的安全事件或未授权活动
- 对管理和安全事件设置告警
- 构建合规仪表板和自动化证据收集
主要能力
创建 Log Analytics 工作区
技能提供创建资源组和 Log Analytics 工作区的命令，并支持设置保留时间（如 365 天）和 SKU（如 PerGB2018）。随后可获取工作区 ID 供后续使用，并启用审计解决方案（如 SecurityCenterFree）。
配置订阅活动日志的诊断设置
可将订阅活动日志导出到 Log Analytics，涵盖 Administrative、Security、ServiceHealth、Alert、Recommendation、Policy、Autoscale、ResourceHealth 等类别。同时支持将活动日志归档到存储账户以实现长期保留，并可设置保留策略（如 2555 天）。
资源级诊断设置
技能提供为多种资源启用诊断的设置示例，包括：
- Azure Key Vault：AuditEvent、AzurePolicyEvaluationDetails 等日志，以及 AllMetrics 指标
- Azure SQL Database：SQLSecurityAuditEvents、SQLInsights、AutomaticTuning 等
- Azure App Service：AppServiceHTTPLogs、AppServiceAuditLogs、AppServiceIPSecAuditLogs、AppServicePlatformLogs 等
- 网络安全组（NSG）：NetworkSecurityGroupEvent、NetworkSecurityGroupRuleCounter 等
通过 Azure Policy 强制诊断设置
可分配内置策略，要求 Key Vault 和 SQL 数据库等资源必须配置诊断设置，并使用 DeployIfNotExists 效果自动部署。
用于安全调查的 KQL 查询
技能提供多种 KQL 查询示例，用于：
- 检测失败登录尝试（含位置和设备详情）
- 发现来自异常位置的成功登录
- 识别需要调查的风险登录
- 查看跨订阅的管理操作
- 分析 Key Vault 访问模式
- 检测网络安全组变更
- 监控 Azure Policy 合规性漂移
- 查看特权角色分配（PIM）
告警规则
可创建操作组用于安全通知（邮件、Webhook 等），并设置以下告警：
- 多次失败登录（暴力破解检测）
- 非工作时间 Key Vault 机密访问
- 订阅级管理变更（如角色分配写入）
合规仪表板
技能提供 Workbook 的 ARM 模板片段，用于构建合规审计仪表板，展示如 24 小时内失败登录等指标。
使用方式
技能以命令行（Azure CLI）和 KQL 查询为主要操作方式，包含创建资源、配置诊断设置、分配策略、创建告警和部署工作簿等步骤。同时提供设置检查清单，涵盖工作区设置、诊断设置、策略执行、告警和报告等方面。
适用场景
- 需要集中化审计日志的 Azure 订阅
- 需要满足合规框架要求的企业
- 安全事件调查和未授权活动排查
- 对关键管理和安全事件进行实时告警
- 构建合规仪表板和自动化证据收集
限制
资料中未提供关于该技能的具体限制、依赖条件或收费信息。部分命令中的占位符（如 {sub}、{rg}、{vault} 等）需要用户根据实际环境替换。