SQL Server 登录触发器的影响 - 在我的场景中是否有任何副作用？

Question

我团队中的一些开发人员知道具有扩展权限的 SQL 帐户的密码
我们希望在任何开发人员使用任何这些 SQL 帐户进行连接时进行跟踪并收到警报

我们即将logon trigger为每次登录尝试实施该功能，评估登录的属性，并在符合特定条件时发送电子邮件报告。逻辑如下：

如果 original_login() 在（...此处列出 SQL 帐户...）并且：
a) 客户端 IP 地址是 192.168.xx VPN 子网（没有从该子网连接的生产应用程序，只有开发人员可以）或
b) 客户端主机名在（... Dev 的主机名称列表...）或
c）（SSMS、az-Data 等）中的客户端应用程序名称
exec sp_send_dbmail（通过电子邮件向 DBA 发送报告）

触发器将具有“execute as”子句并代表唯一权限是发送数据库邮件电子邮件的 SQL 登录名运行

在 Production 上启用这种登录触发器会产生什么不良副作用？
它会减慢登录过程或导致任何其他问题吗？

ps 我知道DAC以及如何使用它。
测试连接使用DAC并依靠它来帮助我在出现任何问题时禁用触发器

Answer 1

数据库邮件使用 Service Broker 队列和异步后台进程来实际发送电子邮件，因此性能应该不是什么大问题。但是登录触发器很容易导致停机，因此在编写和测试时需要非常小心。如果开发人员运行负载测试或类似的东西，您最终可能会收到数千封电子邮件。

因此，为此使用登录触发器可能有点矫枉过正。而是使用审计或什至仅使用 XEvent 会话。将数据写入事件文件并使用预定作业对其进行处理。

以下是创建和查询审计的方法：

--ALTER SERVER AUDIT [sa_successful_logon] WITH (STATE = OFF);
--DROP SERVER AUDIT [sa_successful_logon]
go

declare @logFolder nvarchar(255) = ( select [path]  from sys.dm_os_server_diagnostics_log_configurations )
exec('
CREATE SERVER AUDIT [sa_successful_logon]
TO  FILE ( FILEPATH = '''+@logFolder+''' )
WHERE ([server_principal_name]=''sa'');
ALTER SERVER AUDIT [sa_successful_logon] WITH (STATE = ON);
')
GO

CREATE SERVER AUDIT SPECIFICATION [sa_successful_logon_logon_spec]
FOR SERVER AUDIT [sa_successful_logon]
ADD (SUCCESSFUL_LOGIN_GROUP)
WITH (STATE = ON)

go

declare @log nvarchar(255) = ( select [path] + 'sa_successful_logon*.sqlaudit' from sys.dm_os_server_diagnostics_log_configurations ) 
SELECT event_time, client_ip, application_name
FROM sys.fn_get_audit_file (@log,default,default);