Запросы к таблице AKSAuditAdmin

Сведения об использовании этих запросов в портале Azure см. в руководстве по Log Analytics. Сведения о REST API см. в разделе "Запрос".

Количество событий аудита Kubernetes администратора по имени пользователя

Отобразите количество событий аудита Kubernetes уровня администратора, созданных данным пользователем для каждого кластера AKS. Требуется, чтобы настройки диагностики использовали таблицу назначения для конкретного ресурса.

AKSAuditAdmin
| where ResponseStatus.code != 401  // Exclude unauthorized responses
| summarize Count = count() by Username = tostring(User.username), ResourceId = _ResourceId
| sort by Count desc

События аудита Kubernetes для администратора в развертывании

Сформируйте запрос на события аудита Kubernetes для администратора, связанные с развертываниями в пространстве имён по умолчанию. Требуется, чтобы настройки диагностики использовали таблицу назначения для конкретного ресурса.

AKSAuditAdmin
| where ObjectRef.resource == "deployments"
| where ObjectRef.namespace == "default"
| where User.username != "system:serviceaccount:kube-system:deployment-controller" // Exclude updates from the kube controller for deployments
| limit 100
| project TimeGenerated, Verb, RequestUri, User, RequestObject, ObjectRef