SQL Server审核规范疑问：DATABASE_PERMISSION_CHANGE_GROUP为何不记录权限变更？

你确实误解了DATABASE_PERMISSION_CHANGE_GROUP的作用范围：

• 这个审核组仅捕获数据库级别的权限变更操作，比如针对整个数据库的权限授予/撤销（例如GRANT CONTROL ON DATABASE::TESTDB TO TestUser;、REVOKE CREATE VIEW FROM TestUser;这类操作）。
• 你执行的GRANT SELECT ON TestTable TO TestUser;属于**数据库内对象（表、视图、存储过程等）**的权限变更，这类操作需要通过OBJECT_PERMISSION_CHANGE_GROUP审核组来捕获。

解决方法：将OBJECT_PERMISSION_CHANGE_GROUP添加到你的审核规范中，之后再执行对象级权限变更操作，就能在审核日志中看到对应的记录了。

如果你的审核规范是服务器级的，需要确保该数据库级审核组被正确关联到目标数据库；若为数据库级审核规范，直接添加组即可生效。

内容的提问来源于stack exchange，提问作者LioLio