Запросы к таблице AzureActivity

Сведения об использовании этих запросов на портале Azure см. в руководстве по Log Analytics. Сведения о REST API см. в разделе "Запрос".

[Классический] Поиск в AzureActivity

[Классический] Используйте функцию 'Найти в AzureActivity', чтобы найти конкретное значение в таблице AzureActivity. Обратите внимание, что для получения результатов необходимо обновить параметр <SearchValue>.

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "MICROSOFT.KEYVAULT"
| where * contains tostring(SearchValue)
| take 1000

Завершите работу виртуальных машин

Виртуальные машины успешно завершили работу за последние 10 минут.

// To create an alert for this query, click '+ New alert rule'
AzureActivity
| where TimeGenerated > ago(10m)
| where OperationName == "Deallocate Virtual Machine" and ActivityStatus == "Succeeded"

Последние 50 логов

Отображение последних журналов действий Azure для этого ресурса.

AzureActivity
| top 50 by TimeGenerated desc

Состояние операций

Отображение последнего журнала действий Azure для каждой операции.

AzureActivity
| summarize arg_max(TimeGenerated, *) by OperationName

Последние журналы действий Azure

Отображение всех журналов действий Azure за последний час.

AzureActivity
| where Level == "Error" or Level == "Warning"
| project TimeGenerated, Level, ResourceProvider, ActivityStatus, Caller, Category, Properties, CorrelationId

Неудачные операции

Список всех отчетов о неудачных операциях за последний час.

AzureActivity
| where TimeGenerated > ago(1h)
| where ActivityStatus == "Failed"

Создание ресурсов

Список созданных ресурсов Azure. Может быть полезно для мониторинга и оповещений.

AzureActivity
| where OperationNameValue has "Microsoft.Resources/deployments/write"
| where CategoryValue == "Administrative"
| where ActivityStatusValue == "Success"
| project Caller, TimeGenerated, _ResourceId

Поиск в AzureActivity

Ищите в AzureActivity, чтобы найти определенное значение в таблице AzureActivity. Обратите внимание, что для получения результатов этот запрос требует обновления параметра <SearchValue>.

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "Microsoft.ContainerService"
| where * contains tostring(SearchValue)
| take 1000

Показать журналы из таблицы AzureActivity

Выводит последние записи в таблице AzureActivity, отсортированные по времени (сначала самые новые).

AzureActivity
| top 10 by TimeGenerated

Показать журналы из таблицы AzureActivity

Выводит последние записи в таблице AzureActivity, отсортированные по времени (сначала самые новые).

AzureActivity
| top 10 by TimeGenerated

Отображение первых 50 событий журнала действий

Отображение первых 50 событий журнала действий.

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceGroup,ResourceProviderValue,OperationNameValue,CategoryValue,CorrelationId,ActivityStatusValue, ActivitySubstatusValue, Properties_d, Caller
| top 50 by TimeGenerated

Отобразить административные события журнала активности

Отображает журнал действий для категории "Администрирование".

AzureActivity
| where CategoryValue == "Administrative"
| order by TimeGenerated desc

Создание виртуальной машины

Этот запрос отображает результаты при создании виртуальной машины.

AzureActivity
| where TimeGenerated >= ago(1d)
| where OperationNameValue == "MICROSOFT.COMPUTE/VIRTUALMACHINES/WRITE" and ActivityStatusValue == "Start"
| where Authorization_d.action == "Microsoft.Compute/virtualMachines/write"
| project OperationNameValue, ActivityStatusValue, VM_Name=Properties_d.resource, ResourceGroup, SubscriptionId, Created_By=Caller

Отображение событий журнала активности, сгенерированных политикой

Отобразить 100 верхних записей операций действий эффектов, выполняемых политикой Azure.

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceProviderValue, OperationNameValue, Caller, CategoryValue, CorrelationId, ActivityStatusValue, Properties_d
| where OperationNameValue has "audit"
| top 100 by TimeGenerated desc

Перечисление звонящих и их действий за последние 48 часов.

Список звонящих и связанных с ними действий за последние 48 часов.

AzureActivity
| where TimeGenerated > ago(2d)
| project Caller, OperationNameValue, ActivityStatusValue, CategoryValue
| where Caller has "@"

Вся активность Azure

Запрос представляет все события AzureActivity.

AzureActivity
| project TimeGenerated, Caller, OperationName, ActivityStatus, _ResourceId

Действие Azure для пользователя

Отобразить активность пользователя в Azure Activity.

// Replace the UPN in the query with the UPN of the user of interest
let v_Users_UPN= "osotnoc@contoso.com";
AzureActivity
| where Caller == v_Users_UPN
| project TimeGenerated, Caller, OperationName, ActivityStatus

Успешное перечисление ключей

Выводит список пользователей, которые выполнили перечисление ключей и их расположение.

AzureActivity
| where OperationName == "List Storage Account Keys"
| where ActivityStatus == "Succeeded"
| project TimeGenerated, Caller, CallerIpAddress, OperationName

Запуск JIT для доступа к сети

Перечисляет инициацию разрешений на доступ к сети JIT.

AzureActivity
| where OperationName == "Initiate JIT Network Access Policy"
| where ActivityStatus == "Started"

Статистика операций в Azure

Статистика операций с действием Azure.

AzureActivity
| summarize Count=count() by OperationName, _ResourceId
| sort by Count desc nulls last