如何在Azure Portal中设置文件/文件夹编辑删除的邮件警报

问题 #

我的示例应用程序的日志文件在Azure Portal中存储于以下路径：D:/home/LogFiles/sample_application/sample_application.log
sample_application.log文件可被编辑或删除。
请问是否可在Azure Portal中完成相关配置，当有用户尝试修改或删除该日志文件时，自动触发电子邮件警报？

回答 #

Azure没有针对App Service本地文件系统（即D:/home挂载的共享存储路径）提供单文件修改、删除操作的开箱即用告警规则，你可以通过以下两种方案实现需求：

• 方案1：自定义轮询检测+Azure Monitor告警
  1. 先在App Service的诊断设置中，把应用日志、审计类日志投递到关联的Log Analytics工作区
  2. 部署一个定时触发的Azure Function（或Automation Runbook），设置5~10分钟的执行间隔，通过Kudu API访问目标日志文件，记录每次检测时的文件存在状态、最后修改时间作为校验基准
  3. 一旦检测到文件不存在、最后修改时间和基准值不一致，就向Log Analytics写入自定义告警日志，基于该自定义日志配置Azure Monitor告警规则，绑定配置了邮件通知的动作组，即可自动向指定联系人发送告警邮件
• 方案2：日志转储到托管存储后配置原生告警（推荐，稳定性更高）
  1. 调整应用日志配置，把原本写入本地D:/home/LogFiles/sample_application/路径的日志实时同步到Azure Blob存储或Azure Files共享
  2. 为存储账户开启数据平面操作审计，在存储账户的事件网格中订阅「Blob删除」「Blob写入/更新」事件，直接将事件路由到Azure Monitor告警规则
  3. 在告警规则中筛选对应日志文件的操作事件，绑定带邮件通知的动作组即可。这种方案不需要自定义轮询逻辑，文件操作事件会被实时捕获，漏报概率极低

注意：直接通过Kudu控制台、FTP、App Service在线编辑器修改本地站点文件的操作，默认不会被记录到Azure活动日志，无法直接基于活动日志配置这类操作的告警，必须通过上述两种方案实现。

内容的提问来源于stack exchange，提问作者Sucheta