Entender como o provisionamento integra-se aos logs do Azure Monitor

  • Artigo

O provisionamento integra-se aos logs do Azure Monitor e ao Log Analytics. Com o monitoramento do Azure, você pode fazer ações como criar pastas de trabalho, também conhecidas como painéis, armazenar logs de provisionamento por mais de 30 dias e criar consultas e alertas personalizados. Este artigo descreve como os logs de provisionamento são integrados aos logs do Azure Monitor. Para saber mais sobre como o provisionamento de logs funciona de maneira geral, consulte Provisionar logs.

Habilitando o provisionamento de logs

Se você ainda não estiver familiarizado com o Azure Monitor e o Log Analytics, explore os recursos a seguir e volte para saber mais sobre como integrar logs de provisionamento de aplicativos com logs do Azure Monitor.

Para integrar logs de provisionamento aos logs do Azure Monitor:

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de segurança.

  2. Criar um espaço de trabalho do Log Analytics.

  3. Navegue até Identidade>Monitoramento e integridade>Configurações de diagnóstico.

    Captura de tela do acesso às configurações de diagnóstico.

  4. Escolha os logs que você deseja transmitir, selecione a opção Enviar para o workspace do Log Analytics e conclua os campos.

    Captura de tela da habilitação de logs de provisionamento de aplicativos.

  5. Navegue até Identidade>Monitoramento e integridade>Log Analytics e comece a consultar os dados.

Observação

Pode levar algum tempo até que os logs apareçam no Log Analytics depois de habilitar a integração pela primeira vez. Se você receber um erro de que a sua assinatura não está registrada para usar o microsoft.insights, aguarde alguns minutos e verifique novamente.

Compreendendo os dados

O fluxo de dados subjacente que o provisionamento envia para os visualizadores de log é quase idêntico. Os logs do Azure Monitor obtém quase o mesmo fluxo que o Centro de administração do Microsoft Entra e a API do Microsoft Graph. Há apenas algumas diferenças nos campos de log, conforme descrito na tabela a seguir. O Log Analytics pode exibir mais eventos do que os logs no Centro de administração do Microsoft Entra. Para saber mais sobre esses campos, consulte Listar provisioningObjectSummary.

Logs do Azure Monitor Interface do usuário do portal do Azure API do Azure
ErrorDescription reason resultDescription
status resultType resultType
activityDateTime TimeGenerated TimeGenerated

Acessar pastas de trabalho do Microsoft Entra

As pastas de trabalho de identidade do Microsoft Entra fornecem uma tela flexível para análise de dados. Elas também permitam a criação de relatórios visuais avançados no portal do Azure. Para saber mais, consulte Visão Geral das Pastas de Trabalho do Microsoft Entra.

AAnálise de Provisionamento e os Insights de Provisionamento são duas das pastas de trabalho predefinidas disponíveis. Para exibir os dados, confirme se todos os filtros (timeRange, jobID, appName) estão preenchidos. Confirme também se o aplicativo foi provisionado, caso contrário, não há nenhum dado nos logs.

Pastas de trabalho de provisionamento de aplicativos

Painéis de provisionamento de aplicativos

Consultas personalizadas

Você pode criar consultas personalizadas e mostrar os dados em suas pastas de trabalho. Para saber como, consulte Introdução às consultas de log no Azure Monitor e Consultas de log no Azure Monitor.

Aqui estão alguns exemplos para dar início ao provisionamento de aplicativos.

Consulte os logs de um usuário com base na ID do usuário no sistema de origem:

AADProvisioningLogs
| extend SourceIdentity = parse_json(SourceIdentity)
| where tostring(SourceIdentity.Id) == "49a4974bb-5011-415d-b9b8-78caa7024f9a"

Resumir contagem por ErrorCode:

AADProvisioningLogs
| summarize count() by ErrorCode = ResultSignature

Resumir a contagem de eventos por dia por ação:

AADProvisioningLogs
| where TimeGenerated > ago(7d)
| summarize count() by Action, bin(TimeGenerated, 1d)

Exibir propriedades de 100 eventos e chaves de projeto:

AADProvisioningLogs
| extend SourceIdentity = parse_json(SourceIdentity)
| extend TargetIdentity = parse_json(TargetIdentity)
| extend ServicePrincipal = parse_json(ServicePrincipal)
| where tostring(SourceIdentity.identityType) == "Group"
| project tostring(ServicePrincipal.Id), tostring(ServicePrincipal.Name), ModifiedProperties, JobId, Id, CycleId, ChangeId, Action, SourceIdentity.identityType, SourceIdentity.details, TargetIdentity.identityType, TargetIdentity.details, ProvisioningSteps
| take 100

Recuperar grupos com membros ignorados devido a problemas na resolução de referências.

AADProvisioningLogs
| where TimeGenerated >= ago(10d)
| where JobId == "Azure2Azure.73f0883f-d67d-4af1-ac8a-45367f8982e0.5ef3be57-f45f-451g-88c4-68a7fda680bb" // Customize by adding a specific app JobId
| extend SourceIdentity = parse_json(SourceIdentity)
| extend ProvisioningSteps = parse_json(ProvisioningSteps)
| where tostring(SourceIdentity.identityType) == "Group"
| where ProvisioningSteps matches regex "UnableToResolveReferenceAttributeValue"
| parse tostring(ProvisioningSteps.[2].description) with "We were unable to assign " userObjectId " as the members of " groupDisplayName "." *
| project groupDisplayName, userObjectId,  JobId
| take 100

Resumir ações por aplicativo.

AADProvisioningLogs
| where TimeGenerated > ago(30d)
| where JobId == "Azure2Azure.73f0883f-d67d-4af1-ac8a-45367f8982e0.5ef3be57-f45f-451g-88c4-68a7fda680bb" // Customize by adding a specific app JobId
| extend ProvisioningSteps = parse_json(ProvisioningSteps)
| extend eventName = tostring(ProvisioningSteps.[-1].name)
| summarize count() by eventName, JobId
| order by JobId asc
| take 5

Identificar picos em operações específicas.

AADProvisioningLogs
| where TimeGenerated > ago(30d)
| where JobId == "scim.73f0883f-d67d-4af1-ac8a-45367f8982e0.5ef3be57-f45f-451g-88c4-68a7fda680bb" // Customize by adding a specific app JobId
| extend ProvisioningSteps = parse_json(ProvisioningSteps)
| extend eventName = tostring(ProvisioningSteps.[-1].name)
| summarize count() by eventName, bin(TimeGenerated, 1d)
| render timechart

Alertas personalizados

O Azure Monitor permite configurar alertas personalizados para que você possa ser notificado sobre os principais eventos relacionados ao provisionamento. Por exemplo, você pode querer receber um alerta sobre picos de falhas. Ou sobre picos em desabilitações ou exclusões. Outro exemplo de um possível alerta é sobre a falta de qualquer provisionamento, o que indica que algo está errado.

Para saber mais sobre alertas, consulte Alertas de Log do Azure Monitor.

Alertar quando há um pico de falhas. Substitua o jobID pelo jobID do seu aplicativo.

Captura de tela de um alerta quando há um pico de falhas.

Pode haver um problema que fez com que o serviço de provisionamento parasse de ser executado. Use o alerta a seguir para detectar quando não há eventos de provisionamento durante um determinado intervalo de tempo.

Captura de tela de uma mensagem de erro de log de provisionamento.

Alertar quando houver um pico em desabilitações ou exclusões.

Captura de tela de um alerta quando há um pico em desabilitar ou excluir.

Contribuições da comunidade

Estamos adotando uma abordagem de software livre e baseada na comunidade para consultas e painéis de provisionamento de aplicativos. Crie uma consulta, um alerta ou uma pasta de trabalho que outras pessoas possam achar úteis e publique no Repositório do GitHub AzureMonitorCommunity. Envie-nos um nos email com um link. Revisamos e publicamos consultas e painéis no serviço para que outras pessoas também se beneficiem. Entre em contato conosco pelo email provisioningfeedback@microsoft.com.

Próximas etapas