如何查找Azure存储账户中被删文件共享文件夹的删除执行者

方法1：通过Azure门户查看活动日志 #

• 登录Azure门户，定位到目标存储账户
• 在左侧导航栏选择活动日志
• 设置筛选条件缩小范围：
  • 时间范围：覆盖删除操作发生的大致时间段
  • 操作：搜索匹配Delete File Share（删除文件共享）或Delete Directory（删除文件夹）的操作
  • 状态：选择成功
• 找到对应的操作记录后，点击进入详情页，发起者（Initiated By）字段会显示执行删除的用户ID、名称及来源IP地址

方法2：使用Azure CLI查询 #

打开Azure CLI并完成登录，执行以下命令（替换占位符为实际信息）：

az monitor activity-log list --resource-group <你的资源组名称> --resource-type Microsoft.Storage/storageAccounts --resource <你的存储账户名称> --start-time <开始时间，格式示例：2024-05-01T00:00:00Z> --end-time <结束时间，格式示例：2024-05-01T23:59:59Z> --query "[?operationName.value=='Microsoft.Storage/storageAccounts/fileServices/shares/delete' || operationName.value=='Microsoft.Storage/storageAccounts/fileServices/shares/directories/delete']"

输出结果中的caller字段即为执行删除操作的用户/服务主体信息

方法3：使用Azure PowerShell查询 #

打开Azure PowerShell并登录，执行以下命令：

Get-AzActivityLog -ResourceGroupName <资源组名称> -ResourceType Microsoft.Storage/storageAccounts -ResourceName <存储账户名称> -StartTime (Get-Date).AddDays(-7) -EndTime (Get-Date) | Where-Object { $_.OperationName.Value -eq 'Microsoft.Storage/storageAccounts/fileServices/shares/delete' -or $_.OperationName.Value -eq 'Microsoft.Storage/storageAccounts/fileServices/shares/directories/delete' }

查看结果中的Caller属性，即可获取操作执行者信息

注意事项 #

• 需确保你拥有Monitoring Reader或Storage Account Contributor等足够权限查看活动日志
• 如果删除操作由服务主体（如Azure函数、自动化账户）执行，发起者会显示服务主体的名称和ID
• 活动日志默认保留90天，超出该范围的记录无法直接查询

内容的提问来源于stack exchange，提问作者Suri007