Azure SQL配置审计到专用终结点存储账户失败问题咨询

1. 权限配置不匹配：你授予的Storage Account Contributor是Azure资源管理平面的权限，仅用于管理存储账户的配置，而SQL审计写入日志需要存储数据平面的写入权限，缺少对应权限会触发权限不足报错。另外你当前审计策略配置了存储访问密钥，若存储账户禁用了密钥访问、或密钥访问请求被存储防火墙拦截，也会导致报错。
2. 私有DNS解析配置缺失：你的存储账户私有端点对应的privatelink.blob.core.windows.net专用DNS区域部署在Hub VNet，若SQL Server所在的VNet未和该专用DNS区域关联，SQL实例解析存储账户域名时会解析到公网IP，而你已经关闭了两个资源的公网访问，导致网络连通失败。
3. 门户操作的网络限制：你在Azure门户无法搜索到目标存储账户，是因为你当前访问门户的客户端网络未接入Hub VNet，无法解析存储账户的私有端点域名，属于门户客户端的网络限制，不是资源配置错误。
4. Terraform资源依赖顺序问题：当前配置中SQL Server的审计策略和角色分配是并行创建的，RBAC权限传播存在秒级延迟，审计策略创建时权限还未生效，也会触发权限不足报错。

1. 修正权限与审计策略配置 #

• 替换角色为数据平面权限：将授予SQL系统托管身份的角色调整为Storage Blob Data Contributor，该角色具备审计日志写入所需的Blob数据读写权限，原Storage Account Contributor可按需保留或删除。
• 移除审计策略中的密钥配置：使用托管身份认证不需要传递存储访问密钥，删除extended_auditing_policy块中storage_account_access_key、storage_account_access_key_is_secondary两个参数。
  修正后的角色分配代码示例：

resource "azurerm_role_assignment" "regular-storage-account-sql-role" {
  scope                = module.storageaccount.storage_account.self.id
  role_definition_name = "Storage Blob Data Contributor"
  principal_id         = azurerm_mssql_server.primary.identity.0.principal_id
}

修正后的审计策略代码示例：

extended_auditing_policy {
  storage_endpoint                        = module.storageaccount.storage_account.self.primary_blob_endpoint
  retention_in_days                       = 30
}

2. 修复网络与DNS配置 #

• 确认SQL Server所在的VNet已经与Hub资源组中的privatelink.blob.core.windows.net专用DNS区域完成关联，保证SQL侧可以正确解析存储账户的Blob域名到私有端点的内网IP。
• 检查存储账户的防火墙配置，确保允许SQL所在子网的IP段访问，或勾选允许受信任的Azure服务访问此存储账户的例外规则。
• 若需要在门户手动配置审计，无需搜索存储账户，直接手动填入存储账户的Blob端点地址即可完成配置。

3. 调整Terraform资源依赖 #

在azurerm_mssql_server资源中添加显式依赖，保证角色分配完成后再创建SQL审计策略，规避RBAC传播延迟问题：

resource "azurerm_mssql_server" "primary" {
  # 原有配置保持不变
  depends_on = [azurerm_role_assignment.regular-storage-account-sql-role]
}

配置修正后重新执行terraform apply即可正常部署。

内容的提问来源于stack exchange，提问作者Pallab