Azure Monitor アクティビティログデータを送信する

[アーティクル]
11/05/2024

Azure Monitor アクティビティログは、サブスクリプションレベルのイベントに関する分析情報を提供するプラットフォームログです。このアクティビティログには、リソースが変更されたときや仮想マシンが起動されたときなどの情報が含まれます。 Azure portal でアクティビティログを表示したり、PowerShell と Azure CLI を使用してエントリを取得したりすることができます。この記事では、アクティビティログを表示し、さまざまな宛先に送信する方法について説明します。

次の 1 つ以上の場所にアクティビティログを送信する診断設定を作成します。

Log Analytics ワークスペース: より複雑なクエリとアラートのため
Azure Event Hubs: Azure の外部にログを転送するため
Azure Storage: より低コストの長期アーカイブのため

診断設定の作成方法の詳細については、「プラットフォームログとメトリックを異なる宛先に送信するための診断設定を作成する」を参照してください。

ヒント

Log Analytics ワークスペースにアクティビティログを送信すると、次のような利点があります。

Log Analytics ワークスペースへのログの送信は、既定の保持期間については無料です。
さらに長い最大 12 年間の保持期間でログを Log Analytics ワークスペースに送信します。
Log Analytics ワークスペースにエクスポートしたログは、Power BI で表示できます
Log Analytics にエクスポートしたアクティビティログには分析情報が提供されます。

Note

アクティビティログのエントリはシステムによって生成されるため、変更または削除することはできません。
アクティビティログのエントリは、仮想マシンの再起動などのコントロールプレーンの変更を表しており、関連のないエントリは Azure リソースログに書き込まれる必要があります
通常、アクティビティログのエントリは、変更 (操作の作成、更新、または削除) または開始されたアクションの結果です。リソースの詳細の読み取りに重点を置いた操作は、通常はキャプチャされません。

Log Analytics ワークスペースに送信する

アクティビティログを Log Analytics ワークスペースに送信して、Azure Monitor ログの機能を有効にします。この機能を使用すると、次のことができます。

アクティビティログデータを、Azure Monitor によって収集されたその他の監視データと関連付けることができます。
複数の Azure サブスクリプションおよびテナントのログエントリを 1 つの場所に統合して、まとめて分析できるようにします。
ログクエリを使用して複雑な分析を実行し、アクティビティログのエントリから詳細な分析情報を取得できます。
より複雑なアラートロジックのために、アクティビティエントリでログ検索アラートを使用できます。
アクティビティログエントリを、アクティビティログの保持期間よりも長く保存できます。
Log Analytics ワークスペースに格納されているアクティビティログデータのインジェストや保持の料金が発生ません。
Log Analytics での既定の保持期間は 90 日です。

アクティビティログを Log Analytics ワークスペースに送信するには、[アクティビティログのエクスポート] を選びます。

任意の 1 つのサブスクリプションから最大 5 つのワークスペースに、アクティビティログを送信できます。

Log Analytics ワークスペースでは、アクティビティログのデータは AzureActivity という名前のテーブルに格納されます。このテーブルは、Log Analytics のログクエリで取得できます。このテーブルの構造はログエントリのカテゴリによって異なります。テーブルのプロパティの説明については、Azure Monitor データリファレンスのページを参照してください。

たとえば、各カテゴリのアクティビティログレコードの数を表示するには、次のクエリを使用します。

AzureActivity
| summarize count() by CategoryValue

管理カテゴリのすべてのレコードを取得するには、次のクエリを使用します。

AzureActivity
| where CategoryValue == "Administrative"

重要

一部のシナリオでは、AzureActivity のフィールドの値が、大文字と小文字の違いはあるがそれ以外は同じ値の場合があります。 AzureActivity のデータに対してクエリを実行する際には、文字列比較に大文字と小文字を区別しない演算子を使用する、または、比較を行う前にスカラー関数を使用してフィールドの大文字と小文字を統一するなどの配慮が必要です。例えば、フィールドに tolower() 関数を使用して常に小文字にする、または、文字列を比較する際に =~ 演算子を使用します。

Azure Event Hubs に送信する

たとえば、サードパーティの SIEM や他のログ分析ソリューションなど、Azure の外部にエントリを送信するには、アクティビティログを Azure Event Hubs に送信します。イベントハブからのアクティビティログイベントは、各ペイロードにレコードを格納する records 要素で JSON 形式で使用されます。スキーマはカテゴリによって異なり、「Azure アクティビティログのイベントスキーマ」で説明されています。

次のサンプル出力データは、アクティビティログのイベントハブからのものです。

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "c776f9f4-36e5-4e0e-809b-c9b3c3fb62a8",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/72f988bf-86f1-41af-91ab-2d7cd011db47/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "00000000-0000-0000-0000-000000000000",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "2468adf0-8211-44e3-95xq-85137af64708",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "20030000801A118C",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "cacfe77c-e058-4712-83qw-f9b08849fd60,7f71d11d-4c41-4b23-99d2-d32ce7aa621c,31522864-0578-4ea0-9gdc-e66cc564d18c",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "c44b4083-3bq0-49c1-b47d-974e53cbdf3c",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "50d5cddb-8ca0-47ad-9b80-6cde2207f97c"
            }
        }
    ]
}

Azure Storage への送信

監査、静的分析、またはバックアップのためにログデータを 90 日より長く保持する場合は、アクティビティログを Azure Storage アカウントに送信します。イベントを保持する必要があるのが 90 日以内の場合は、ストレージアカウントにアーカイブを設定する必要はありません。アクティビティログのイベントは Azure プラットフォームに 90 日間保持されます。

アクティビティログを Azure に送信すると、イベントが発生するとすぐに、ストレージアカウント内にストレージコンテナーが作成されます。コンテナー内の BLOB には、次の名前付け規則が使用されます。

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

たとえば、特定の BLOB には次のような名前が付けられることがあります。

insights-activity-logs/resourceId=/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/y=2020/m=06/d=08/h=18/m=00/PT1H.json

各 PT1H.json BLOB には、BLOB URL で指定されている時間に受信したログファイルからのイベントを含む JSON オブジェクトが含まれています。現在の時間中、イベントは生成された時間に関係なく、受信されたときに PT1H.json ファイルに追加されます。 BLOB は 1 時間ごとに作成されるため、URL の分を示す数値 (m=00) は常に 00 です。

各イベントは、次の形式で PT1H.json ファイルに保存されます。この形式は、一般的な最上位スキーマを使用しますが、それ以外については、「アクティビティログのスキーマ」で説明されているようにカテゴリごとに固有の形式となっています。

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "0f0cb6b4-804b-4129-b893-70aeeb63997e", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

アクティビティログイベントを取得する他の方法

次の方法を使用して、アクティビティログイベントにアクセスすることもできます。

PowerShell からアクティビティログを取得するには、Get-AzLog コマンドレットを使用します。「Azure Monitor PowerShell のサンプル」を参照してください。
CLI からアクティビティログエントリを取得するには、az monitor activity-log を使用します。 Azure Monitor CLI のサンプルをご覧ください。
REST クライアントからアクティビティログを取得するには、Azure Monitor REST API を使用します。

従来の収集方法

注意

Azure アクティビティログソリューションは、アクティビティログを Azure Log Analytics に転送するために使用されました。このソリューションは 2026 年 9 月 15 日に廃止され、診断設定に自動的に変換されます。

従来の収集方法を使用してアクティビティログを収集する場合は、次のように、アクティビティログを Log Analytics ワークスペースにエクスポートし、Data Sources - Delete API を使用してレガシコレクションを無効にすることをお勧めします。

Data Sources - List By Workspace API を使用してワークスペースに接続されているすべてのデータソースを一覧表示し、kind eq 'AzureActivityLog' を設定してアクティビティログをフィルター処理します。
API 応答から無効にする接続の名前をコピーします。
Data Sources - Delete API を使用して、特定のリソースのアクティビティログの収集を停止します。

従来のログプロファイルの管理 - 廃止

Note

ログプロファイルは、アクティビティログをストレージアカウントとイベントハブに転送するために使用されました。この方法は、2026 年 9 月 15 日に廃止されます。
この方法を使用している場合は、ログプロファイルの新規作成の許可が停止される 2025 年 9 月 15 日より前の診断設定に切り替えてください。

ログプロファイルは、ストレージまたはイベントハブにアクティビティログを送信するための従来の方法です。この方法を使用している場合は、機能およびリソースログとの整合性がより優れている、診断設定への移行を検討してください。

PowerShell
CLI

ログプロファイルが既に存在する場合は、最初に既存のログプロファイルを削除してから、新しいものを作成する必要があります。

Get-AzLogProfile を使用して、ログプロファイルが存在するかどうかを確認します。ログプロファイルが存在する場合は、Name プロパティをメモします。
Name プロパティの値を使用してログプロファイルを削除するには、Remove-AzLogProfile を使用します。
```
# For example, if the log profile name is 'default'
Remove-AzLogProfile -Name "default"
```

Add-AzLogProfile を使用して、新しいログプロファイルを作成します。

Add-AzLogProfile -Name my_log_profile -StorageAccountId /subscriptions/s1/resourceGroups/myrg1/providers/Microsoft.Storage/storageAccounts/my_storage -serviceBusRuleId /subscriptions/s1/resourceGroups/Default-ServiceBus-EastUS/providers/Microsoft.ServiceBus/namespaces/mytestSB/authorizationrules/RootManageSharedAccessKey -Location global,westus,eastus -RetentionInDays 90 -Category Write,Delete,Action

プロパティ	Required	内容
件名	はい	ログプロファイルの名前。
StorageAccountId	いいえ	アクティビティログの保存先となるストレージアカウントのリソース ID。
serviceBusRuleId	いいえ	イベントハブを作成する Service Bus 名前空間の Service Bus 規則 ID。この文字列の形式は `{service bus resource ID}/authorizationrules/{key name}` になります。
Location	はい	アクティビティログイベントを収集するリージョンのコンマ区切りリスト。
RetentionInDays	はい	ストレージアカウントにイベントを保持する日数 (1 - 365 の範囲)。値が 0 の場合、ログは無期限に保存されます。
カテゴリ	いいえ	収集するイベントカテゴリのコンマ区切りリスト。指定できる値は、Write、Delete、Action です。

サンプルスクリプト

このサンプル PowerShell スクリプトは、ストレージアカウントとイベントハブの両方にアクティビティログを書き込むログプロファイルを作成します。

# Settings needed for the new log profile
$logProfileName = "default"
$locations = (Get-AzLocation).Location
$locations += "global"
$subscriptionId = "<your Azure subscription Id>"
$resourceGroupName = "<resource group name your Event Hub belongs to>"
$eventHubNamespace = "<Event Hub namespace>"

# Build the service bus rule Id from the settings above
$serviceBusRuleId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.EventHub/namespaces/$eventHubNamespace/authorizationrules/RootManageSharedAccessKey"

# Build the Storage Account Id from the settings above
$storageAccountId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

Add-AzLogProfile -Name $logProfileName -Location $locations -StorageAccountId  $storageAccountId -ServiceBusRuleId $serviceBusRuleId

ログプロファイルが既に存在する場合は、最初に既存のログプロファイルを削除してから、ログファイルを作成する必要があります。

az monitor log-profiles list を使用して、ログプロファイルが存在するかどうかを確認します。
name プロパティの値を使用してログプロファイルを削除するには、az monitor log-profiles delete --name "<log profile name> を使用します。

az monitor log-profiles create を使用して、ログプロファイルを作成します。

az monitor log-profiles create --name "default" --location null --locations "global" "eastus" "westus" --categories "Delete" "Write" "Action"  --enabled false --days 0 --service-bus-rule-id "/subscriptions/<YOUR SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventHub/namespaces/<Event Hub NAME SPACE>/authorizationrules/RootManageSharedAccessKey"

プロパティ	Required	Description
`name`	はい	ログプロファイルの名前。
`storage-account-id`	はい	アクティビティログの保存先となるストレージアカウントのリソース ID。
`locations`	はい	アクティビティログイベントを収集するリージョンのスペース区切りリスト。 `az account list-locations --query [].name` を使って、サブスクリプションのすべてのリージョンのリストを表示します。
`days`	はい	イベントを保持する日数 (1 ～ 365 の範囲)。値が 0 の場合、ログは無期限に (いつまでも) 保存されます。 0 の場合は、enabled パラメーターを False に設定する必要があります。
`enabled`	はい	True または False。アイテム保持ポリシーを有効または無効にするために使います。 True の場合は、`days` パラメーターを 0 より大きい値にする必要があります。
`categories`	はい	収集するイベントカテゴリのスペース区切りリスト。指定できる値は、Write、Delete、Action です。

データ構造の変更

アクティビティログのエクスポート操作では、従来のアクティビティログ送信方法と同じデータが送信されますが、AzureActivity テーブルの構造が若干変更されています。

更新されたスキーマでは、次の表の列は非推奨です。これらは、AzureActivity にまだ存在しますが、データを持ちません。これらの列の代わりになる列は新しいものではありませんが、非推奨の列と同じデータが格納されています。それらは形式が異なるため、それらを使用するログクエリの変更が必要になる場合があります。

アクティビティログ JSON	Log Analytics の列名 (以前は非推奨)	新しい Log Analytics の列名	メモ
category	カテゴリ	CategoryValue
status 値は success、start、accept、failure	ActivityStatus JSON と同じ値	ActivityStatusValue 値が succeeded、started、accepted、failed に変わる	有効な値は左記のように変更されます。
subStatus	ActivitySubstatus	ActivitySubstatusValue
operationName	OperationName	OperationNameValue	REST API は操作名の値をローカライズします。 Log Analytics UI には常に英語が表示されます。
resourceProviderName	ResourceProvider	ResourceProviderValue

重要

場合によっては、これらの列の値がすべて大文字になることがあります。これらの列を含むクエリがある場合は、=~ 演算子を使用して、大文字と小文字を区別しない比較を実行します。

更新されたスキーマの AzureActivity には、次の列が追加されています。

Authorization_d
Claims_d
Properties_d

次のステップ

各項目の詳細情報

次の方法で共有

Azure Monitor アクティビティログデータを送信する

Log Analytics ワークスペースに送信する

Azure Event Hubs に送信する

Azure Storage への送信

アクティビティログイベントを取得する他の方法

従来の収集方法

従来のログプロファイルの管理 - 廃止

データ構造の変更

次のステップ

フィードバック

その他のリソース

次の方法で共有

Azure Monitor アクティビティ ログ データを送信する

Log Analytics ワークスペースに送信する

Azure Event Hubs に送信する

Azure Storage への送信

アクティビティ ログ イベントを取得する他の方法

従来の収集方法

従来のログ プロファイルの管理 - 廃止

データ構造の変更

次のステップ

フィードバック

その他のリソース

Azure Monitor アクティビティログデータを送信する

アクティビティログイベントを取得する他の方法

従来のログプロファイルの管理 - 廃止