次の方法で共有

AzureActivity テーブルのクエリ

  • [アーティクル]

Azure portal でこれらのクエリを使用する方法については、 Log Analytics のチュートリアルを参照してください。 REST API については、「 Query」を参照してください。

[クラシック]AzureActivity で検索する

[クラシック]AzureActivity テーブルで特定の値を検索するには、AzureActivity で検索します。このクエリでは、結果を生成するために <SeachValue> パラメーターを更新する必要があります。

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "MICROSOFT.KEYVAULT"
| where * contains tostring(SearchValue)
| take 1000

仮想マシンをシャットダウンする

Virtual Machines は、過去 10 分間に正常にシャットダウンされました。

// To create an alert for this query, click '+ New alert rule'
AzureActivity
| where TimeGenerated > ago(10m)
| where OperationName == "Deallocate Virtual Machine" and ActivityStatus == "Succeeded"

Latest 50 logs

このリソースの最新の Azure アクティビティ ログを表示します。

AzureActivity 
| top 50 by TimeGenerated desc

操作の状態

各操作の最新の Azure アクティビティ ログを表示します。

AzureActivity 
| summarize arg_max(TimeGenerated, *) by OperationName

最近の Azure のアクティビティ ログ

過去 1 時間のすべての Azure アクティビティ ログを表示します。

AzureActivity 
| where Level == "Error" or Level == "Warning"
| project TimeGenerated, Level, ResourceProvider, ActivityStatus, Caller, Category, Properties, CorrelationId

失敗した操作

過去 1 時間の失敗した操作のすべてのレポートを一覧表示します。

AzureActivity 
| where TimeGenerated > ago(1h)  
| where ActivityStatus == "Failed"

リソースの作成

作成された Azure リソースを一覧表示します。 監視とアラートに役立ちます。

AzureActivity
| where OperationNameValue has "Microsoft.Resources/deployments/write"
| where CategoryValue == "Administrative"
| where ActivityStatusValue == "Success"
| project Caller, TimeGenerated, _ResourceId

AzureActivity で検索する

AzureActivity テーブルで特定の値を検索するには、AzureActivity で検索します。このクエリでは、結果を生成するために <SeachValue> パラメーターを更新する必要があります。

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "Microsoft.ContainerService"
| where * contains tostring(SearchValue)
| take 1000

AzureActivity テーブルからログを表示する

AzureActivity テーブル内の最新のログを、時間 (最新の最初) で並べ替え済みで一覧表示します。

AzureActivity
| top 10 by TimeGenerated

AzureActivity テーブルからログを表示する

AzureActivity テーブル内の最新のログを、時間 (最新の最初) で並べ替え済みで一覧表示します。

AzureActivity
| top 10 by TimeGenerated

上位 50 件のアクティビティ ログ イベントを表示する

上位 50 件のアクティビティ ログ イベントを表示します。

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceGroup,ResourceProviderValue,OperationNameValue,CategoryValue,CorrelationId,ActivityStatusValue, ActivitySubstatusValue, Properties_d, Caller
| top 50 by TimeGenerated

アクティビティ ログ管理イベントの表示

管理カテゴリのアクティビティ ログを表示します。

AzureActivity 
| where CategoryValue == "Administrative"
| order by TimeGenerated desc

VM 作成

このクエリでは、VM が作成された日時の結果が表示されます。

AzureActivity
| where TimeGenerated >= ago(1d)
| where OperationNameValue == "MICROSOFT.COMPUTE/VIRTUALMACHINES/WRITE" and ActivityStatusValue == "Start"
| where Authorization_d.action == "Microsoft.Compute/virtualMachines/write"
| project OperationNameValue, ActivityStatusValue, VM_Name=Properties_d.resource, ResourceGroup, SubscriptionId, Created_By=Caller

ポリシーから生成されたアクティビティ ログ イベントを表示する

Azure Policy によって実行されたすべての効果アクション操作の上位 100 件のレコードを表示します。

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceProviderValue, OperationNameValue, Caller, CategoryValue, CorrelationId, ActivityStatusValue, Properties_d
| where OperationNameValue has "audit"
| top 100 by TimeGenerated desc

過去 48 時間以内に発信者とその関連アクションを一覧表示する

過去 48 時間以内に呼び出し元とその関連するアクションを一覧表示します。

AzureActivity
| where TimeGenerated > ago(2d)
| project Caller, OperationNameValue, ActivityStatusValue, CategoryValue
| where Caller has "@"

すべての Azure アクティビティ

このクエリでは、すべての AzureActivity イベントが表示されます。

AzureActivity
| project TimeGenerated, Caller, OperationName, ActivityStatus, _ResourceId

ユーザー向けの Azure アクティビティ

Azure アクティビティに対するユーザーのアクティビティを表示します。

// Replace the UPN in the query with the UPN of the user of interest
let v_Users_UPN= "osotnoc@contoso.com";
AzureActivity
| where Caller == v_Users_UPN
| project TimeGenerated, Caller, OperationName, ActivityStatus

成功したキーの列挙

キー列挙を実行したユーザーとその場所を一覧表示します。

AzureActivity
| where OperationName == "List Storage Account Keys"
| where ActivityStatus == "Succeeded"
| project TimeGenerated, Caller, CallerIpAddress, OperationName

ネットワーク アクセス JIT の開始

JIT ネットワーク アクセス許可の開始を一覧表示します。

AzureActivity
| where OperationName == "Initiate JIT Network Access Policy"
| where ActivityStatus == "Started"

Azure アクティビティ操作の統計情報

Azure アクティビティに対する操作の統計。

AzureActivity
| summarize Count=count() by OperationName, _ResourceId
| sort by Count desc nulls last