Azure Storage FileShare：Write与Delete操作日志记录异常求助

关于StorageDelete日志未捕获的问题 #

• Azure File Share的删除操作（如文件/文件夹删除）并不归属单独的StorageDelete类别，而是被归类在StorageWrite日志类别中。删除属于数据变更类操作，符合StorageWrite的定义（写入、修改、删除均属于此类）。你之前认为存在独立的StorageDelete类别，可能是基于旧版文档或混淆了其他存储服务（如Blob）的日志划分。
• 本地通过SMB挂载执行删除操作时，日志会通过SMB协议的操作映射到存储日志中，对应的操作名称可能是DeleteFile或DeleteDirectory，但这些操作会被包含在StorageWrite的日志流里，而非单独的StorageDelete队列。

操作名称与文档不符的原因 #

• 本地挂载FileShare使用的是SMB协议，日志记录的是SMB层面的操作行为，而非直接调用Azure存储REST API的操作。官方文档中描述的操作名称（如Create、Write）通常对应REST API调用，而SMB操作会被映射为不同的名称：
  • 比如通过资源管理器修改文件属性可能触发SetInfo操作；
  • 本地新建文件可能对应Create或Write的SMB操作，而非REST API的CreateFile；
• 若要验证文档中的操作名称，可直接通过Azure Portal、Azure CLI或Storage Explorer执行文件操作，此时日志会记录REST API对应的标准操作名称。

验证与排查步骤 #

• 检查诊断设置：确认已勾选StorageWrite类别（删除操作在此类别中），且Event Hub的权限配置正确（存储账户需拥有Microsoft.EventHub/namespaces/eventhubs/write权限）。
• 对比操作场景：分别通过本地SMB挂载和Azure Portal执行删除操作，查看Event Hub接收的日志差异，确认SMB操作的日志映射规律。
• 核对最新文档：Azure存储的日志类别和操作名称会随服务更新调整，需以当前官方文档的存储日志章节为准。

内容的提问来源于stack exchange，提问作者Teebee15