如何将Azure存储账户日志发送至Log Analytics Workspace并解决配置报错

现有命令报错根因 #

• JSON参数存在HTML转义字符"，需替换为原生英文双引号"，同时类别值StorageWrite需用引号包裹才符合JSON语法规范
• 你配置的是发送到Log Analytics工作区的需求，但命令中使用了--storage-account参数，该参数是用于指定日志存储目标为存储账户的，要对接Log Analytics需改用--workspace参数传入工作区资源ID
• 存储账户不同子服务（blob、file、queue、table）支持的日志类别有差异，需先查询对应资源的支持类别再配置，避免出现无效类别报错

存储账户日志发送至Log Analytics的正确方法 #

1. 先查询当前存储账户支持的所有合法日志类别，规避无效类别错误：

az monitor diagnostic-settings categories list --resource $ResourceID --query value[].name -o tsv

2. 执行诊断设置创建命令，替换为你实际的资源参数即可：

az monitor diagnostic-settings create \
  --name Test-SA-Diagnostics \
  --resource $ResourceID \
  --resource-group $RESOURCE_GROUP_NAME \
  --workspace $LOG_ANALYTICS_WORKSPACE_ID \
  --logs '[
    {
      "category": "StorageWrite",
      "enabled": true,
      "retentionPolicy": {
        "enabled": false,
        "days": 0
      }
    }
  ]'

注意：你已经在Log Analytics工作区配置了全局保留时长，诊断设置内的保留策略可以直接关闭，日志会统一按照工作区的规则留存，避免配置冲突

直接发送日志到存储账户满足合规留存的正确方法 #

如果不需要日志分析能力，仅做长期合规归档，直接使用以下命令配置即可：

az monitor diagnostic-settings create \
  --name Test-SA-Archive-Diagnostics \
  --resource $ResourceID \
  --resource-group $RESOURCE_GROUP_NAME \
  --storage-account $Log_SA_ID \
  --logs '[
    {
      "category": "StorageWrite",
      "enabled": true,
      "retentionPolicy": {
        "enabled": true,
        "days": 3650 # 按合规要求填写实际需要的保留天数
      }
    },
    {
      "category": "StorageRead",
      "enabled": true,
      "retentionPolicy": {
        "enabled": true,
        "days": 3650
      }
    },
    {
      "category": "StorageDelete",
      "enabled": true,
      "retentionPolicy": {
        "enabled": true,
        "days": 3650
      }
    }
  ]'

合规配置注意事项：

• 用于留存日志的存储账户建议开启不可变存储策略，禁止日志被篡改或提前删除，满足审计要求
• 保留天数需严格匹配合规要求的最低留存时长
• 诊断设置命名建议标准化，方便后续批量审计所有资源的日志配置状态

内容的提问来源于stack exchange，提问作者curious7