Enviar dados do log de atividades do Azure Monitor

O Log de Atividades do Azure Monitor é um log de plataforma que fornece informações sobre eventos no nível de assinatura. O Log de Atividades inclui informações como quando um recurso é modificado ou uma máquina virtual é iniciada. Você pode exibir o Log de Atividades no portal do Azure ou recuperar entradas com o PowerShell e a CLI do Azure. Este artigo fornece informações sobre como exibir o registro de atividades e enviá-lo para destinos diferentes.

Crie uma configuração de diagnóstico para enviar o Registro de Atividades para um ou mais destes locais:

• Espaço de trabalho do Log Analytics para consultas e alertas mais complexos
• Hubs de Eventos do Azure para encaminhar logs fora do Azure.
• Armazenamento do Azure para arquivamento mais barato e de longo prazo.

Para obter detalhes sobre como criar uma configuração de diagnóstico, consulte Criar configurações de diagnóstico para enviar logs e métricas da plataforma para destinos diferentes.

Enviar para a área de trabalho do Log Analytics

Envie o log de atividades para um espaço de trabalho do Log Analytics para habilitar o recurso Azure Monitor Logs , onde você:

• Correlacione os dados do log de atividades com outros dados de monitoramento coletados pelo Azure Monitor.
• Consolide entradas de log de várias assinaturas e locatários do Azure em um único local para análise em conjunto.
• Use consultas de log para executar análises complexas e obter insights profundos sobre entradas de log de atividades.
• Use alertas de pesquisa de log com entradas de atividade para uma lógica de alerta mais complexa.
• Armazene as entradas do log de atividades por mais tempo do que o período de retenção do log de atividades.
• Não incorra em nenhuma ingestão de dados ou taxas de retenção para dados de log de atividades armazenados em um espaço de trabalho do Log Analytics.
• O período de retenção padrão no Log Analytics é de 90 dias

Selecione Exportar registros de atividades para enviar o registro de atividades para um espaço de trabalho do Log Analytics.

Você pode enviar o registro de atividades de qualquer assinatura para até cinco espaços de trabalho.

Os dados do log de atividades em um espaço de trabalho do Log Analytics são armazenados em uma tabela chamada AzureActivity que você pode recuperar com uma consulta de log no Log Analytics. A estrutura desta tabela varia dependendo da categoria da entrada de log. Para obter uma descrição das propriedades da tabela, consulte a referência de dados do Azure Monitor.

Por exemplo, para exibir uma contagem de registros de log de atividades para cada categoria, use a seguinte consulta:

AzureActivity
| summarize count() by CategoryValue

Para recuperar todos os registros na categoria administrativa, use a seguinte consulta:

AzureActivity
| where CategoryValue == "Administrative"

Enviar para o Hubs de Eventos do Azure

Envie o log de atividades para os Hubs de Eventos do Azure para enviar entradas fora do Azure, por exemplo, para um SIEM de terceiros ou outras soluções de análise de log. Os eventos do log de atividades dos hubs de eventos são consumidos no formato JSON com um records elemento que contém os registros em cada carga útil. O esquema depende da categoria e é descrito no esquema de eventos do log de atividades do Azure.

Os seguintes dados de saída de exemplo são de hubs de eventos para um log de atividades:

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "c776f9f4-36e5-4e0e-809b-c9b3c3fb62a8",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/72f988bf-86f1-41af-91ab-2d7cd011db47/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "00000000-0000-0000-0000-000000000000",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "2468adf0-8211-44e3-95xq-85137af64708",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "20030000801A118C",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "cacfe77c-e058-4712-83qw-f9b08849fd60,7f71d11d-4c41-4b23-99d2-d32ce7aa621c,31522864-0578-4ea0-9gdc-e66cc564d18c",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "c44b4083-3bq0-49c1-b47d-974e53cbdf3c",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "50d5cddb-8ca0-47ad-9b80-6cde2207f97c"
            }
        }
    ]
}

Enviar para o Armazenamento do Azure

Envie o log de atividades para uma conta de Armazenamento do Azure se quiser reter seus dados de log por mais de 90 dias para auditoria, análise estática ou backup. Se for necessário reter seus eventos por 90 dias ou menos, não será necessário configurar o arquivamento em uma conta de armazenamento. Os eventos do log de atividades são mantidos na plataforma Azure por 90 dias.

Quando você envia o log de atividades para o Azure, um contêiner de armazenamento é criado na conta de armazenamento assim que ocorre um evento. Os blobs no contêiner usam a seguinte convenção de nomenclatura:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

Por exemplo, um blob específico pode ter um nome semelhante a:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/y=2020/m=06/d=08/h=18/m=00/PT1H.json

Cada blob PT1H.json contém um objeto JSON com eventos de arquivos de log que foram recebidos durante a hora especificada na URL do blob. Durante a hora presente, os eventos são anexados ao arquivo PT1H.json à medida que são recebidos, independentemente de quando foram gerados. O valor de minuto na URL m=00 é sempre 00 como blobs são criados por hora.

Cada evento é armazenado no arquivo PT1H.json com o seguinte formato. Esse formato usa um esquema de nível superior comum, mas é exclusivo para cada categoria, conforme descrito no esquema do log de atividades.

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "0f0cb6b4-804b-4129-b893-70aeeb63997e", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

Outros métodos para recuperar eventos de log de atividades

Você também pode acessar eventos de log de atividades usando os seguintes métodos:

• Utilize o cmdlet Get-AzLog para obter o registo de atividades do PowerShell. Veja Exemplos de PowerShell do Azure Monitor.
• Utilize az monitor activity-log para obter o registo de atividades da CLI. Veja Exemplos de CLI do Azure Monitor.
• Utilize a API REST do Azure Monitor para obter o registo de atividades de um cliente REST.

Métodos de coleta herdados

Se você estiver coletando logs de atividades usando o método de coleta herdado, recomendamos exportar logs de atividades para o espaço de trabalho do Log Analytics e desabilitar a coleção herdada usando a API Data Sources - Delete da seguinte maneira:

1. Liste todas as fontes de dados conectadas ao espaço de trabalho usando a API Fontes de Dados - Listar por Espaço de Trabalho e filtre os logs de atividades definindo kind eq 'AzureActivityLog'.

   

2. Copie o nome da conexão que você deseja desabilitar da resposta da API.

   

3. Use a API Data Sources - Delete para parar de coletar logs de atividade para o recurso específico.

   

Gerenciando perfis de log herdados - desativando

Os perfis de log são o método herdado para enviar o log de atividades para hubs de armazenamento ou eventos. Se você estiver usando esse método, faça a transição para as Configurações de Diagnóstico, que fornecem melhor funcionalidade e consistência com os logs de recursos.

# Settings needed for the new log profile
$logProfileName = "default"
$locations = (Get-AzLocation).Location
$locations += "global"
$subscriptionId = "<your Azure subscription Id>"
$resourceGroupName = "<resource group name your Event Hub belongs to>"
$eventHubNamespace = "<Event Hub namespace>"

# Build the service bus rule Id from the settings above
$serviceBusRuleId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.EventHub/namespaces/$eventHubNamespace/authorizationrules/RootManageSharedAccessKey"

# Build the Storage Account Id from the settings above
$storageAccountId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

Add-AzLogProfile -Name $logProfileName -Location $locations -StorageAccountId  $storageAccountId -ServiceBusRuleId $serviceBusRuleId

Alterações à estrutura de dados

A experiência Exportar logs de atividade envia os mesmos dados que o método herdado usado para enviar o log de atividades com algumas alterações na estrutura da AzureActivity tabela.

As colunas na tabela a seguir foram preteridas no esquema atualizado. Eles ainda existem no AzureActivity, mas não têm dados. As substituições dessas colunas não são novas, mas contêm os mesmos dados que a coluna preterida. Eles estão em um formato diferente, portanto, talvez seja necessário modificar as consultas de log que os usam.

As seguintes colunas foram adicionadas ao AzureActivity esquema atualizado:

• Authorization_d
• Claims_d
• Properties_d

Próximos passos

Saiba mais sobre:

• Logs da plataforma
• Esquema de eventos do Registo de atividades
• Informações sobre o registo de atividades