Azure Blob存储日志部分记录缺失UserObjectId问题求助

• 确认操作身份验证方式：只有通过Azure AD身份验证执行的Blob操作，日志才会记录UserObjectId。使用账户密钥、SAS令牌或匿名访问的操作，不会生成该字段，这是Azure存储日志的设计逻辑。
• 检查Log 2.0配置完整性：在Diagnostic Settings中，确保为Blob服务勾选了StorageRead、StorageWrite、StorageDelete所有日志类别，同时确认日志目标（存储账户/Log Analytics工作区）的权限配置正确，避免因路由或权限问题导致字段丢失。
• 考虑日志采集延迟：Azure存储日志存在数分钟到数小时的同步延迟，部分刚执行的操作可能还未完成日志字段的完整写入，等待一段时间后再重新查询。
• 排查系统级操作：存储账户的内部维护操作、系统发起的自动操作等，本身不会关联用户ObjectId，这类记录缺失字段属于正常情况。
• 用Log Analytics验证缺失场景：通过Kusto查询精准定位缺失字段的操作：

  StorageBlobLogs
  | where isempty(UserObjectId)
  | project OperationName, AuthenticationType, UserObjectId, TimeGenerated
  

  结合返回结果中的AuthenticationType字段，可以快速判断是身份验证方式导致的缺失，还是其他异常情况。

内容的提问来源于stack exchange，提问作者GVS Pranav