Log attività in Monitoraggio di Azure

2025-07-25

Il log attività di Monitoraggio di Azure è un log della piattaforma per gli eventi del piano di controllo dalle risorse di Azure. Include informazioni come quando una risorsa viene modificata o quando si verifica un errore di distribuzione. Usare il log attività per esaminare o controllare queste informazioni per le risorse monitorate oppure creare un avviso per ricevere una notifica proattiva quando viene creato un evento.

Suggerimento

Se si è stati indirizzati a questo articolo da un errore dell'operazione di distribuzione, vedere Risolvere gli errori comuni di distribuzione di Azure.

Voci del log attività

Le voci nel log attività vengono raccolte per impostazione predefinita senza alcuna configurazione necessaria. Sono generati dal sistema e non possono essere modificati o eliminati. Le voci sono in genere il risultato di modifiche (operazioni di creazione, aggiornamento o eliminazione) o di un'azione avviata. Le operazioni incentrate sulla lettura dei dettagli di una risorsa non vengono in genere acquisite. Per una descrizione delle categorie di log attività, vedere lo Schema di eventi del log attività di Azure.

Annotazioni

Le operazioni sopra il piano di controllo vengono registrate nei log delle risorse di Azure. Questi dati non vengono raccolti per impostazione predefinita e richiedono un'impostazione di diagnostica per essere raccolti.

Periodo di conservazione

Gli eventi del log attività vengono conservati in Azure per 90 giorni e quindi eliminati. Non sono previsti costi per le iscrizioni per questo periodo, indipendentemente dal volume. Per altre funzionalità, ad esempio la conservazione dei dati per un periodo più lungo, creare un'impostazione di diagnostica e instradare le voci a un'altra posizione in base alle esigenze.

Visualizzare e recuperare il log attività

È possibile accedere al log attività dalla maggior parte dei menu nel portale di Azure. Il menu da cui viene aperto ne determina il filtro iniziale. Se si apre dal menu Monitoraggio , l'unico filtro è presente nella sottoscrizione. Se lo si apre dal menu di una risorsa, il filtro è impostato su tale risorsa. È sempre possibile modificare il filtro per visualizzare tutte le altre voci. Selezionare Aggiungi filtro per aggiungere altre proprietà al filtro.

È anche possibile accedere agli eventi del log attività usando i metodi seguenti:

Usare il cmdlet Get-AzLog per recuperare il log attività da PowerShell. Vedi Esempi di PowerShell di Azure Monitor.
Usare az monitor activity-log per recuperare il registro delle attività dalla CLI. Consulta gli esempi CLI di Monitoraggio di Azure.

Usare l'API REST di Monitoraggio di Azure per recuperare il log attività da un client REST.

Visualizzare la cronologia modifiche

Per alcuni eventi è possibile visualizzare la cronologia modifiche, che mostra le modifiche apportate durante un dato momento dell'evento. Selezionare un evento dal log attività da esaminare in modo più approfondito. Selezionare la scheda Cronologia modifiche per visualizzare le modifiche apportate alla risorsa fino a 30 minuti prima e dopo l'ora dell'operazione.

Se sono presenti modifiche associate all'evento, viene visualizzato un elenco di modifiche da poter selezionare. Se si seleziona una modifica, viene aperta la pagina Cronologia modifiche. In questa pagina vengono visualizzate le modifiche apportate alla risorsa. Nell'esempio seguente, è possibile osservare che le dimensioni della macchina virtuale sono state modificate. La pagina visualizza le dimensioni della macchina virtuale prima della modifica e dopo la modifica. Per altre informazioni sulla cronologia delle modifiche, vedere Ottenere modifiche alle risorse.

Informazioni dettagliate sui log attività

Informazioni dettagliate sui log attività è una cartella di lavoro che fornisce un set di dashboard che monitorano le modifiche apportate alle risorse e ai gruppi di risorse in una sottoscrizione. I dashboard presentano anche i dati relativi agli utenti o ai servizi che hanno eseguito attività nella sottoscrizione e allo stato delle attività.

Per abilitare le informazioni dettagliate sui log attività, esportare il log attività in un'area di lavoro Log Analytics come descritto in Esportare il log attività. In questo modo gli eventi vengono inviati alla tabella AzureActivity usata dalle informazioni dettagliate del log attività.

È possibile aprire approfondimenti sul log attività a livello di sottoscrizione o a livello di risorsa. Per la sottoscrizione, selezionare Informazioni dettagliate sui log delle attività dalla sezione Workbooks del menu Monitor .

Per una singola risorsa, selezionare Activity Logs Insights nella sezione Cartelle di lavoro del menu della risorsa.

Esporta log attività

Creare una configurazione diagnostica per inviare le voci del registro delle attività ad altre destinazioni, estendendo il tempo di conservazione e ampliando la funzionalità.

Nel portale di Azure selezionare Log attività dal menu Monitoraggio di Azure e quindi selezionare Esporta log attività. Per altri dettagli e altri metodi per la creazione di impostazioni di diagnostica, vedere Impostazioni di diagnostica in Monitoraggio di Azure . Assicurarsi di disattivare eventuali configurazioni legacy per il log delle attività.

Le informazioni seguenti forniscono ulteriori dettagli sulle diverse destinazioni a cui è possibile inviare i log delle risorse.

Annotazioni

Il metodo legacy per esportare il log attività è costituito dai profili di log. Vedere Metodi di raccolta legacy.

Inviare il log attività a un'area di lavoro Log Analytics per le funzionalità seguenti:

Correlare i log attività con altri dati di log usando query di log.
Creare avvisi di log che possono usare una logica più complessa rispetto agli avvisi del log delle attività.
Accedere ai dati del log attività con Power BI.
Conservare i dati del log attività per più di 90 giorni.

Sono previsti addebiti per l'inserimento o la conservazione dei dati per i log attività per il periodo di conservazione predefinito di 90 giorni. È possibile aumentare il periodo di conservazione fino a 12 anni.

I dati del log attività in un'area di lavoro Log Analytics vengono archiviati in una tabella denominata AzureActivity. La struttura di questa tabella varia a seconda della categoria della voce di log.

Ad esempio, per visualizzare un conteggio dei record del log attività per ogni categoria, usare la query seguente:

AzureActivity
| summarize count() by CategoryValue

Per recuperare tutti i record nella categoria amministrativa, usare la query seguente:

AzureActivity
| where CategoryValue == "Administrative"

Importante

In alcuni scenari, è possibile che i valori nei campi di AzureActivity abbiano maiuscole e minuscole diverse rispetto a valori equivalenti in altro modo. Quando si eseguono query sui dati in AzureActivity, usare operatori senza distinzione tra maiuscole e minuscole per i confronti di stringhe o usare una funzione scalare per forzare un campo a una combinazione di maiuscole e minuscole uniformi prima di qualsiasi confronto. Ad esempio, usare la funzione tolower() su un campo per forzarlo a essere sempre minuscolo o l'operatore =~ durante l'esecuzione di un confronto tra stringhe.

Inviare il log attività a Hub eventi di Azure per inviare voci esterne ad Azure, ad esempio a una soluzione SIEM di terze parti o ad altre soluzioni di analisi dei log. Gli eventi del log attività degli hub eventi vengono utilizzati in formato JSON con un elemento records che contiene i record in ogni payload. Lo schema dipende dalla categoria ed è descritto nello schema di eventi del log attività di Azure.

I dati di output di esempio seguenti provengono da hub degli eventi per un registro delle attività.

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/72f988bf-86f1-41af-91ab-2d7cd011db47/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "2468adf0-8211-44e3-95xq-85137af64708",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "[email protected]",
                    "puid": "20030000801A118C",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "cacfe77c-e058-4712-83qw-f9b08849fd60,7f71d11d-4c41-4b23-99d2-d32ce7aa621c,31522864-0578-4ea0-9gdc-e66cc564d18c",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " [email protected]",
                    "appid": "00001111-aaaa-2222-bbbb-3333cccc4444",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "50d5cddb-8ca0-47ad-9b80-6cde2207f97c"
            }
        }
    ]
}

Inviare il registro delle attività a un account di archiviazione di Azure se si vogliono conservare i dati del registro per più di 90 giorni per motivi di controllo, analisi statica o backup. Se è necessario conservare gli eventi per 90 giorni o meno, non è necessario configurare l'archiviazione in un account di archiviazione.

Quando il registro delle attività viene inviato all'archiviazione, viene creato immediatamente un contenitore di archiviazione nell'account di archiviazione al verificarsi di un evento. i blob nel contenitore usano la seguente convenzione di denominazione:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

Ad esempio, un BLOB specifico potrebbe avere un nome simile al seguente:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/y=2020/m=06/d=08/h=18/m=00/PT1H.json

Ogni PT1H.json BLOB contiene un oggetto JSON con eventi dei file di log ricevuti durante l'ora specificata nell'URL del BLOB. Durante l'ora corrente, gli eventi vengono aggiunti al file di PT1H.json durante la ricezione, indipendentemente dal momento in cui sono stati generati. Il valore del minuto nell'URL, m=00, è sempre 00 quando i BLOB vengono creati su base oraria.

Ogni evento viene archiviato nel file PT1H.json con il formato seguente. Questo formato usa uno schema di primo livello comune, ma è altrimenti univoco per ogni categoria, come descritto nello schema del log attività.

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "bbbb1111-cc22-3333-44dd-555555eeeeee", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

Esporta in CSV

Selezionare Scarica come CSV per esportare il log attività in un file CSV usando il portale di Azure.

Importante

L'esportazione può richiedere una quantità eccessiva di tempo se si dispone di un numero elevato di voci di log. Per migliorare le prestazioni, ridurre l'intervallo di tempo dell'esportazione. Nel portale di Azure questa impostazione viene impostata con l'impostazione Timespan .

È anche possibile esportare il log attività in un file CSV usando PowerShell o l'interfaccia della riga di comando di Azure come negli esempi seguenti.

az monitor activity-log list --start-time "2024-03-01T00:00:00Z" --end-time "2024-03-15T23:59:59Z" --max-items 1000 > activitylog.json

Get-AzActivityLog -StartTime 2021-12-01T10:30 -EndTime 2022-01-14T11:30 | Export-csv operations_logs.csv

Lo script di PowerShell di esempio seguente esporta il log attività in file CSV in intervalli di un'ora, ognuno salvato in un file separato.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."

Passaggi successivi

Altre informazioni su: