ARM template配置Synapse审计运行成功但Azure门户未显示对应配置

• 资源层级配置不匹配：Synapse审计分为工作区层级、专用SQL池层级两个独立的配置维度。若ARM模板配置的是工作区全局审计，你在单个SQL池的独立审计页只会显示「继承工作区配置」，不会展示独立的审计规则；若模板配置的是单个池的审计，你到工作区全局审计页也看不到对应规则。此外无服务器SQL池不支持独立审计配置，单独给无服务器池下发的审计配置默认不生效。
• Azure门户缓存延迟：Azure门户的配置展示存在最长15分钟的缓存延迟，跨区域租户、非公有云环境（如中国区世纪互联、政府云）的同步延迟会更高。可通过PowerShell命令Get-AzSynapseSqlPoolAuditSetting或者Azure CLI命令az synapse sql pool audit-policy show验证实际生效的配置，不要完全依赖门户展示结果。
• API版本兼容问题：若ARM模板使用的Microsoft.Synapse/workspaces/sqlPools/auditSettings资源API版本早于2021-06-01，对新版Synapse工作区的审计配置支持存在已知bug，部署会返回成功但实际配置不会写入底层资源。
• 资源ID指向错误：若模板中拼接的SQL池资源ID有误，比如混淆了无服务器池和专用池的资源类型、填错了工作区/池名称，配置会被下发到错误的资源上，你在目标资源上自然看不到变更，且部署流程不会触发报错。
• Azure Policy强制覆盖：如果订阅/资源组层级配置了强制审计规则的Azure Policy，Policy会在ARM部署完成后自动修正不符合要求的配置，把审计规则改回Policy指定的状态，该修正动作独立于ARM部署流程，不会导致部署报错。
• 存储目标权限不足导致回滚：若审计配置关联的存储账号、Log Analytics工作区未给Synapse工作区的系统托管身份开放对应权限（存储账号需Storage Blob Data Contributor角色、Log Analytics需Log Analytics Contributor角色），或者存储账号防火墙未放行Synapse工作区的出站IP，Azure后台会自动回滚审计配置，避免日志无法写入，该回滚动作不会反馈到ARM部署结果中。

内容的提问来源于stack exchange，提问作者Kavya Verma