通过

你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

AzureActivity 表的查询

  • 项目

有关在 Azure 门户中使用这些查询的信息，请参阅 Log Analytics 教程。 有关 REST API，请参阅查询。

[经典] 在 AzureActivity 中查找

[经典] 在 AzureActivity 中查找以在 AzureActivity 表中搜索特定值。/n请注意，此查询需要更新 <SeachValue> 参数，才能生成结果

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "MICROSOFT.KEYVAULT"
| where * contains tostring(SearchValue)
| take 1000

关闭虚拟机

在过去 10 分钟内成功关闭的虚拟机。

// To create an alert for this query, click '+ New alert rule'
AzureActivity
| where TimeGenerated > ago(10m)
| where OperationName == "Deallocate Virtual Machine" and ActivityStatus == "Succeeded"

50 个最新日志

显示此资源的最新 Azure 活动日志。

AzureActivity 
| top 50 by TimeGenerated desc

操作的状态

显示每个操作的最新 Azure 活动日志。

AzureActivity 
| summarize arg_max(TimeGenerated, *) by OperationName

最近的 Azure 活动日志

显示过去 1 小时内的所有 Azure 活动日志。

AzureActivity 
| where Level == "Error" or Level == "Warning"
| project TimeGenerated, Level, ResourceProvider, ActivityStatus, Caller, Category, Properties, CorrelationId

失败的操作

列出过去 1 小时内的失败操作的所有报告。

AzureActivity 
| where TimeGenerated > ago(1h)  
| where ActivityStatus == "Failed"

资源创建

列出创建的 Azure 资源。 可用于监视和警报。

AzureActivity
| where OperationNameValue has "Microsoft.Resources/deployments/write"
| where CategoryValue == "Administrative"
| where ActivityStatusValue == "Success"
| project Caller, TimeGenerated, _ResourceId

在 AzureActivity 中查找

在 AzureActivity 中查找以在 AzureActivity 表中搜索特定值。/n请注意，此查询需要更新 <SeachValue> 参数，才能生成结果

// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue =  "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "Microsoft.ContainerService"
| where * contains tostring(SearchValue)
| take 1000

显示 AzureActivity 表中的日志

列出 AzureActivity 表中按时间排序的最新日志（最新日志先列出）。

AzureActivity
| top 10 by TimeGenerated

显示 AzureActivity 表中的日志

列出 AzureActivity 表中按时间排序的最新日志（最新日志先列出）。

AzureActivity
| top 10 by TimeGenerated

显示前 50 个活动日志事件

显示前 50 个活动日志事件。

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceGroup,ResourceProviderValue,OperationNameValue,CategoryValue,CorrelationId,ActivityStatusValue, ActivitySubstatusValue, Properties_d, Caller
| top 50 by TimeGenerated

显示活动日志管理事件

显示管理类别的活动日志。

AzureActivity 
| where CategoryValue == "Administrative"
| order by TimeGenerated desc

VM 创建

此查询会显示创建 VM 时的结果。

AzureActivity
| where TimeGenerated >= ago(1d)
| where OperationNameValue == "MICROSOFT.COMPUTE/VIRTUALMACHINES/WRITE" and ActivityStatusValue == "Start"
| where Authorization_d.action == "Microsoft.Compute/virtualMachines/write"
| project OperationNameValue, ActivityStatusValue, VM_Name=Properties_d.resource, ResourceGroup, SubscriptionId, Created_By=Caller

显示从策略生成的活动日志事件

显示 Azure Policy 执行的所有效果操作的前 100 条记录。

AzureActivity
| project TimeGenerated, SubscriptionId, ResourceProviderValue, OperationNameValue, Caller, CategoryValue, CorrelationId, ActivityStatusValue, Properties_d
| where OperationNameValue has "audit"
| top 100 by TimeGenerated desc

列出过去 48 小时内的调用方及其关联操作

列出过去 48 小时内的调用方及其关联操作。

AzureActivity
| where TimeGenerated > ago(2d)
| project Caller, OperationNameValue, ActivityStatusValue, CategoryValue
| where Caller has "@"

所有 Azure 活动

此查询会显示所有 AzureActivity 事件。

AzureActivity
| project TimeGenerated, Caller, OperationName, ActivityStatus, _ResourceId

用户的 Azure 活动

显示用户在 Azure 活动上的活动。

// Replace the UPN in the query with the UPN of the user of interest
let v_Users_UPN= "osotnoc@contoso.com";
AzureActivity
| where Caller == v_Users_UPN
| project TimeGenerated, Caller, OperationName, ActivityStatus

成功密钥枚举

列出执行密钥枚举的用户及其位置。

AzureActivity
| where OperationName == "List Storage Account Keys"
| where ActivityStatus == "Succeeded"
| project TimeGenerated, Caller, CallerIpAddress, OperationName

JIT 启动网络访问权限

列出 JIT 网络访问权限的启动。

AzureActivity
| where OperationName == "Initiate JIT Network Access Policy"
| where ActivityStatus == "Started"

Azure 活动操作统计信息

Azure 活动上的操作统计信息。

AzureActivity
| summarize Count=count() by OperationName, _ResourceId
| sort by Count desc nulls last