Consultas para a tabela AzureActivity

  • Artigo

Para obter informações sobre como usar essas consultas no portal do Azure, consulte o tutorial do Log Analytics. Para a API REST, consulte Consulta.

[Clássico] Localizar no AzureActivity

[Clássico] Encontre no AzureActivity para procurar um valor específico na tabela AzureActivity./nObserve que essa consulta requer a atualização do <parâmetro SeachValue> para produzir resultados

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "MICROSOFT.KEYVAULT"
| where * contains tostring(SearchValue)
| take 1000

Desligar máquinas virtuais

As máquinas virtuais são encerradas com êxito nos últimos 10 minutos.

// To create an alert for this query, click '+ New alert rule'
AzureActivity
| where TimeGenerated > ago(10m)
| where OperationName == "Deallocate Virtual Machine" and ActivityStatus == "Succeeded"

Últimos 50 registos

Mostrar os logs de atividade do Azure mais recentes para este recurso.

AzureActivity 
| top 50 by TimeGenerated desc

Estado das operações

Mostrar o log de atividades do Azure mais recente para cada operação.

AzureActivity 
| summarize arg_max(TimeGenerated, *) by OperationName

Registos de atividades do Azure recentes

Exiba todos os logs de atividade do Azure da última hora.

AzureActivity 
| where Level == "Error" or Level == "Warning"
| project TimeGenerated, Level, ResourceProvider, ActivityStatus, Caller, Category, Properties, CorrelationId

Operações com falhas

Liste todos os relatórios de operações com falha na última hora.

AzureActivity 
| where TimeGenerated > ago(1h)  
| where ActivityStatus == "Failed"

Criação de recursos

Liste os recursos do Azure criados. Pode ser útil para monitoramento e alertas.

AzureActivity
| where OperationNameValue has "Microsoft.Resources/deployments/write"
| where CategoryValue == "Administrative"
| where ActivityStatusValue == "Success"
| project Caller, TimeGenerated, _ResourceId

Localizar no AzureActivity

Encontre no AzureActivity para procurar um valor específico na tabela AzureActivity./nObserve que essa consulta requer a atualização do <parâmetro SeachValue> para produzir resultados

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "Microsoft.ContainerService"
| where * contains tostring(SearchValue)
| take 1000

Mostrar logs da tabela AzureActivity

Lista os logs mais recentes na tabela AzureActivity, classificados por tempo (o mais recente primeiro).

AzureActivity
| top 10 by TimeGenerated

Mostrar logs da tabela AzureActivity

Lista os logs mais recentes na tabela AzureActivity, classificados por tempo (o mais recente primeiro).

AzureActivity
| top 10 by TimeGenerated

Exibir os 50 principais eventos do registro de atividades

Exiba os 50 principais eventos do registro de atividades.

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceGroup,ResourceProviderValue,OperationNameValue,CategoryValue,CorrelationId,ActivityStatusValue, ActivitySubstatusValue, Properties_d, Caller
| top 50 by TimeGenerated

Exibir registro de atividades Eventos administrativos

Exibe o log de atividades para a categoria Administrativo.

AzureActivity 
| where CategoryValue == "Administrative"
| order by TimeGenerated desc

Criação de VM

Essa consulta exibe os resultados de quando uma VM é criada.

AzureActivity
| where TimeGenerated >= ago(1d)
| where OperationNameValue == "MICROSOFT.COMPUTE/VIRTUALMACHINES/WRITE" and ActivityStatusValue == "Start"
| where Authorization_d.action == "Microsoft.Compute/virtualMachines/write"
| project OperationNameValue, ActivityStatusValue, VM_Name=Properties_d.resource, ResourceGroup, SubscriptionId, Created_By=Caller

Exibir eventos do log de atividades gerados a partir da Política

Exiba os 100 principais registros de todas as operações de ação de efeito executadas pela Política do Azure.

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceProviderValue, OperationNameValue, Caller, CategoryValue, CorrelationId, ActivityStatusValue, Properties_d
| where OperationNameValue has "audit"
| top 100 by TimeGenerated desc

Listar chamadores e suas ações associadas nas últimas 48 horas

Liste os chamadores e suas ações associadas nas últimas 48 horas.

AzureActivity
| where TimeGenerated > ago(2d)
| project Caller, OperationNameValue, ActivityStatusValue, CategoryValue
| where Caller has "@"

Toda a atividade do Azure

A consulta apresenta todos os eventos AzureActivity.

AzureActivity
| project TimeGenerated, Caller, OperationName, ActivityStatus, _ResourceId

Atividade do Azure para o usuário

Mostrar a atividade do usuário sobre a Atividade do Azure.

// Replace the UPN in the query with the UPN of the user of interest
let v_Users_UPN= "osotnoc@contoso.com";
AzureActivity
| where Caller == v_Users_UPN
| project TimeGenerated, Caller, OperationName, ActivityStatus

Enumaração de chaves bem-sucedida

Lista os usuários que executaram a enumeração de chaves e sua localização.

AzureActivity
| where OperationName == "List Storage Account Keys"
| where ActivityStatus == "Succeeded"
| project TimeGenerated, Caller, CallerIpAddress, OperationName

Início da JIT de Acesso à Rede

Lista o início das permissões de acesso à rede JIT.

AzureActivity
| where OperationName == "Initiate JIT Network Access Policy"
| where ActivityStatus == "Started"

Estatísticas de operação da Atividade do Azure

Estatísticas de operações sobre a Atividade do Azure.

AzureActivity
| summarize Count=count() by OperationName, _ResourceId
| sort by Count desc nulls last