Dela via

Aktivitetslogg i Azure Monitor

Azure Monitor-aktivitetsloggar registrerar hanteringsåtgärder på dina Azure-resurser. De registrerar till exempel åtgärder som att skapa en virtuell dator, ändra en åtkomstprincip för nyckelvalvet eller Resource Manager-distributionsfel. Dessa hanteringsåtgärder kallas även kontrollplansåtgärder . Använd aktivitetsloggen för att granska eller granska den här informationen eller skapa en avisering som ska meddelas proaktivt när en händelse inträffar.

Tips/Råd

Om ett distributionsåtgärdsfel leder dig till den här artikeln kan du läsa Felsöka vanliga Azure-distributionsfel.

Aktivitetsloggposter

Azure Monitor samlar in aktivitetsloggposter som standard utan nödvändig konfiguration. Systemet genererar dessa poster och du kan inte ändra eller ta bort dem. Poster beror vanligtvis på ändringar (skapa, uppdatera, ta bort åtgärder) eller en åtgärd som initieras. Aktivitetsloggen samlar vanligtvis inte in läsåtgärder. Aktivitetsloggposter är vanligtvis tillgängliga för analys och aviseringar inom 3 till 20 minuter efter att händelsen inträffade. En beskrivning av aktivitetsloggkategorier finns i Azure aktivitetsloggens händelseschema.

Anmärkning

Azure-resursloggar samlar in dataplansåtgärder som utförs i en resurs. De här åtgärderna omfattar till exempel att hämta en hemlighet från ett nyckelvalv eller att göra en begäran till en databas. Resursloggar samlas inte in som standard och kräver en diagnostikinställning.

Kvarhållningsperiod

Azure behåller aktivitetslogghändelser i 90 dagar och tar sedan bort dem. Du debiteras inte för poster under denna tid, oavsett volym. Om du vill ha fler funktioner, till exempel längre kvarhållning, skapar du en diagnostikinställning och dirigerar posterna till en annan plats baserat på dina behov. En av de vanligaste orsakerna till att förlänga kvarhållningsperioden är att bevara information om resursskapare, som endast är tillgänglig i aktivitetsloggen.

Visa och hämta aktivitetsloggen

Du kan komma åt aktivitetsloggen från de flesta menyer i Azure portalen. Menyn som du öppnar den från avgör dess ursprungliga filter. Om du öppnar den från menyn Övervaka finns det enda filtret i prenumerationen. Om du öppnar den från en resurss meny är filtret inställt på den resursen. Du kan alltid ändra filtret för att visa alla andra poster. Välj Lägg till filter för att lägga till fler egenskaper i filtret.

Skärmbild som visar aktivitetsloggen.

Du kan också komma åt aktivitetslogghändelser med hjälp av följande metoder:

Hämta aktivitetslogghändelser med hjälp av REST-API:et

Använd REST-API:et för aktivitetsloggar för att köra frågor mot aktivitetslogghändelser programmatiskt. Inkludera parametern $filter och den måste innehålla minst ett eventTimestamp startvärde. Som standard behåller aktivitetsloggen händelser i 90 dagar. Kontrollera att både början och slutet av tidsintervallet ligger inom det 90-dagarsfönstret om du inte konfigurerar en längre kvarhållningsperiod.

Mönster som stöds $filter Detaljer
standardprenumeration med ett tidsintervall $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'
resursgrupp $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceGroupName eq '{resourceGroupName}'
specifik resurs $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceUri eq '{resourceURI}'
resursprovider $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceProvider eq '{resourceProviderName}'
korrelationsid $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and correlationId eq '{correlationID}'

Använd $filter för att lista aktivitetslogghändelser för en resursgrupp

Lägg till resourceGroupName i filtret för att begränsa resultaten till en specifik resursgrupp.

az rest --method get \
  --uri "/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '2026-02-01T00:00:00Z' and eventTimestamp le '2026-02-28T23:59:59Z' and resourceGroupName eq '{resourceGroupName}'"

Returnera specifika egenskaper för aktivitetslogg

Använd parametern $select för att endast returnera angivna egenskaper, vilket minskar svarsnyttolastens storlek. Värdet är en kommaavgränsad lista med egenskapsnamn. Mer information finns i Egenskapsbeskrivningar för aktivitetsloggschema.

Azure CLI kan dynamiskt beräkna ett tidsintervall, så exemplet visar ett 30-dagarsfönster från det aktuella datumet.

startDate=$(date -u -d '30 days ago' '+%Y-%m-%dT00:00:00Z')
endDate=$(date -u '+%Y-%m-%dT23:59:59Z')

az rest --method get \
  --uri "/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '$startDate' and eventTimestamp le '$endDate'&\$select=eventName,operationName,status,eventTimestamp,correlationId,submissionTimestamp,level"

Visa en lista över aktivitetslogghändelser för en prenumeration

Händelser på prenumerationsnivå samlar in händelser som skapats direkt av resursprovidrar. Händelser på klient- och hanteringsgruppsnivå samlar endast in Azure Resource Manager-händelser i dessa hierarkier.

I följande exempel hämtas aktivitetslogghändelser för en prenumeration under ett visst tidsintervall. Azure CLI kan dynamiskt beräkna tidsintervallet, så exemplet visar ett 14-dagarsfönster från det aktuella datumet.

Om du vill visa en lista över aktivitetslogghändelser använder du kommandot az rest Azure CLI för att anropa REST-API:et för Azure Resource Manager:

startDate=$(date -u -d '14 days ago' '+%Y-%m-%dT00:00:00Z')
endDate=$(date -u '+%Y-%m-%dT23:59:59Z')

az rest --method get \
  --uri "/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '$startDate' and eventTimestamp le '$endDate'"

Visa en lista över aktivitetslogghändelser på klientnivå

Aktivitetsloggar på klientnivå har vanligtvis begränsade poster, men kan innehålla viktiga händelser som hanteringsgrupp eller skapande av prenumeration. Dessa händelser är separata från aktivitetsloggar på prenumerationsnivå, men kan innehålla dubbletter av resurshanteringshändelser. Använd REST-API:et för klientaktivitetsloggar för att hämta händelser på klientnivå.

Om du vill lista aktivitetslogghändelser på klientorganisationsnivå använder du kommandot az rest Azure CLI:

az rest --method get \
  --uri "/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '2026-01-15T00:00:00Z' and eventTimestamp le '2026-03-29T23:59:59Z'"

Visa en lista över aktivitetslogghändelser på gruppnivå

Aktivitetsloggar på gruppnivå för hantering samlar in händelser som är begränsade till en specifik hanteringsgrupp, till exempel principtilldelningar och ändringar i hanteringsgruppens medlemskap.

Om du vill visa en lista över aktivitetslogghändelser på gruppnivå för hantering använder du kommandot az rest Azure CLI:

az rest --method get \
  --uri "/providers/Microsoft.Management/managementGroups/{managementGroupId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2017-03-01-preview&\$filter=eventTimestamp ge '2026-03-01T00:00:00Z' and eventTimestamp le '2026-03-29T23:59:59Z'"

I följande tabell beskrivs de parametrar som används i föregående exempel.

Parameter Beskrivning
{subscriptionId} ID för Azure-prenumerationen.
{resourceGroupName} Namnet på resursgruppen.
{managementGroupId} ID för hanteringsgruppen.
eventTimestamp ge / le Start och slut för tidsintervallet i ISO 8601-format. Startdatumet får inte överstiga 90 dagar från det aktuella datumet om inte kvarhållning har konfigurerats för längre perioder.

Visa ändringshistorik

För vissa händelser kan du se ändringshistoriken, som visar vilka ändringar som gjorts under händelsetiden. Välj en händelse från aktivitetsloggen som du vill titta närmare på. Välj fliken Ändra historik för att visa eventuella ändringar på resursen upp till 30 minuter före och efter åtgärdens tid.

Skärmbild som visar listan Ändra historik för en händelse.

Om några ändringar är associerade med händelsen visar portalen en valbar lista över ändringar. Om du väljer en ändring öppnas sidan Ändringshistorik. På den här sidan visas ändringarna i resursen.

I följande exempel visas att den virtuella datorn har ändrat storlek. Sidan visar storleken på den virtuella datorn före ändringen och efter ändringen. Mer information om ändringshistorik finns i Hämta resursändringar.

Skärmbild som visar sidan Ändringshistorik som visar skillnader.

Insikter om aktivitetsloggar

Aktivitetslogginsikter är en arbetsbok som tillhandahåller en uppsättning instrumentpaneler för att övervaka ändringar i resurser och resursgrupper inom ett abonnemang. Instrumentpanelerna visar också data om vilka användare eller tjänster som utförde aktiviteter i prenumerationen och aktiviteternas status.

Om du vill aktivera aktivitetslogginsikter exporterar du aktivitetsloggen till en Log Analytics arbetsyta enligt beskrivningen i Exportera aktivitetslogg. Den här processen skickar händelser till tabellen AzureActivity , som aktivitetslogginsikter använder.

Skärmbild som visar instrumentpaneler för aktivitetslogginsikter.

Du kan öppna aktivitetslogginsikter på prenumerations- eller resursnivå. För prenumerationen väljer du Aktivitetsloggar Insikter i avsnittet Arbetsböcker på menyn Övervaka .

Skärmbild som visar hur du hittar och öppnar arbetsboken Activity Logs Insights på skalningsnivå.

För en enskild resurs väljer du Aktivitetsloggar Insikter i avsnittet Arbetsböcker på resursens meny.

Skärmbild som visar hur du hittar och öppnar arbetsboken Aktivitetsloggar Insights på resursnivå.

Exportera aktivitetslogg

Skapa en diagnostikinställning för att skicka aktivitetsloggposter till andra mål för förlängd lagringstid och funktionalitet.

Diagram som visar insamling av aktivitetsloggar, resursloggar och plattformsmått.

I Azure-portalen väljer du Activity log på menyn Azure Monitor och väljer sedan Exportera aktivitetsloggar. Mer information och andra metoder för att skapa diagnostikinställningar finns i Diagnostikinställningar i Azure Monitor. Se till att du inaktiverar alla äldre konfigurationer för aktivitetsloggen.

Skärmdump som visar Azure Monitor-menyn med Aktivitetslogg vald och Exportera aktivitetsloggar markerat i Monitor-aktivitetsloggmenyfältet.

Följande avsnitt innehåller information om varje konfigurerbart mål för resursloggar.

Anmärkning

Den äldre metoden för att exportera aktivitetsloggen är loggprofiler. Se Äldre insamlingsmetoder.

Skicka aktivitetsloggen till en Log Analytics arbetsyta för följande funktioner:

Det finns inga avgifter för datainmatning för aktivitetsloggar. Kvarhållningsavgifter för aktivitetsloggar gäller endast för perioden som har förlängts efter standardkvarhållningsperioden på 90 dagar. Du kan öka kvarhållningsperioden till upp till 12 år.

Aktivitetsloggdata i en Log Analytics arbetsyta lagras i en tabell med namnet AzureActivity. Strukturen i den här tabellen varierar beroende på kategorin för loggposten.

Om du till exempel vill visa antalet aktivitetsloggposter för varje kategori använder du följande fråga:

AzureActivity
| summarize count() by CategoryValue

Om du vill hämta alla poster i den administrativa kategorin använder du följande fråga:

AzureActivity
| where CategoryValue == "Administrative"

Viktigt!

I vissa scenarier kan värden i fält AzureActivity ha ett annat skiftläge än annars likvärdiga värden. När du kör frågor mot data i AzureActivityanvänder du skiftlägesokänsliga operatorer för strängjämförelser, eller använder en skalär funktion för att tvinga ett fält till ett enhetligt hölje före jämförelser. Använd till exempel funktionen tolower() i ett fält för att tvinga den att alltid vara gemener eller =~-operatorn när du utför en strängjämförelse.

Exportera aktivitetsloggar för hanteringsgrupp

När du skapar en diagnostikinställningslogg för en hanteringsgrupp exporteras alla händelser för den hanteringsgruppen utöver alla hanteringsgrupper under den i hierarkin. Om flera hanteringsgrupper i hierarkin har diagnostikinställningar får du dubbletter av händelser. Du behöver bara en diagnostikinställning på den högsta hanteringsgruppen för att samla in alla händelser för hierarkin.

Ledningsgruppen samlar också in många av samma händelser som alla prenumerationer som faller under den. Om både prenumerationen och hanteringsgruppen har diagnostikinställningar får du dubbla händelser. Azure Resource Manager innehåller en hierarkiegenskap när du skriver händelser, men det är inte ett obligatoriskt fält. Resursprovidrar utanför Azure Resource Manager fyller inte i den, så deras händelser sprids inte upp i hierarkin. Därför är det bättre att få dubbletthändelser än att missa händelser.

Om du till exempel har MG1 som innehåller MG2 som innehåller Subscription1, registrerar en diagnostikinställning på MG1 alla aktivitetslogghändelser för MG1, MG2 och många av de händelser som samlas in av en diagnostikinställning på Subscription1. I det här fallet behövs ingen diagnostikinställning på MG2 eftersom den bara skulle samla in dubbletthändelser.

Om du har duplicerade händelser kombinerar du dem med hjälp av en fråga som använder en hash för alla fält för att identifiera unika poster. I följande exempel på Kusto-fråga visas ett exempel för loggar som samlats in på en Log Analytics arbetsyta:

AzureActivity
| extend Hash = hash(dynamic_to_json(pack_all()))
| summarize arg_max(TimeGenerated, *) by Hash

Exportera aktivitetsloggen till CSV

Välj Ladda ned som CSV för att exportera aktivitetsloggen till en CSV-fil i Azure-portalen.

Skärmbild som visar knappen Ladda ned som CSV i aktivitetsloggen för Azure-portalen.

Viktigt!

Det kan ta lång tid att exportera ett stort antal loggposter. Minska tidsintervallet för exporten för att förbättra prestandan. I Azure-portalen anger du inställningen Tidsintervall .

Du kan också exportera aktivitetsloggen till en CSV-fil med hjälp av PowerShell eller Azure CLI, som du ser i följande exempel.

az monitor activity-log list --start-time "2024-03-01T00:00:00Z" --end-time "2024-03-15T23:59:59Z" --max-items 1000 > activitylog.json

I följande exempel exporterar PowerShell-skript aktivitetsloggen till CSV-filer i entimmesintervall, var och en sparad i en separat fil.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."

Identifiera resursskapande

Använd aktivitetsloggen för att ta reda på när systemet skapade en resurs och vem som skapade den. Aktivitetsloggen är den enda plats där skaparen av en resurs lagras. Eftersom aktivitetsloggen endast behåller data i 90 dagar som standard måste du exportera loggarna till en plats där du kan förlänga kvarhållningsperioden, till exempel en Log Analytics-arbetsyta. Leta sedan reda på skaparen av en resurs genom att fråga tabellen AzureActivity . Data behålls under den tid som du angav under kvarhållningsperioden för den här tabellen.

Relaterat innehåll

  • Last updated on