AzureActivity 數據表的查詢
[傳統]在 AzureActivity 中尋找
[傳統]在 AzureActivity 中尋找以搜尋 AzureActivity 數據表中的特定值。/n 請注意,此查詢需要更新 <SeachValue> 參數才能產生結果
// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue = "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "MICROSOFT.KEYVAULT"
| where * contains tostring(SearchValue)
| take 1000
關閉 虛擬機器
虛擬機器 在過去 10 分鐘內成功關閉。
// To create an alert for this query, click '+ New alert rule'
AzureActivity
| where TimeGenerated > ago(10m)
| where OperationName == "Deallocate Virtual Machine" and ActivityStatus == "Succeeded"
最新 50 個記錄
顯示此資源的最新 Azure 活動記錄。
AzureActivity
| top 50 by TimeGenerated desc
作業狀態
顯示每個作業的最新 Azure 活動記錄。
AzureActivity
| summarize arg_max(TimeGenerated, *) by OperationName
最近的 Azure 活動記錄
顯示過去一小時內的所有 Azure 活動記錄。
AzureActivity
| where Level == "Error" or Level == "Warning"
| project TimeGenerated, Level, ResourceProvider, ActivityStatus, Caller, Category, Properties, CorrelationId
失敗的作業
列出過去一小時內所有失敗作業的報告。
AzureActivity
| where TimeGenerated > ago(1h)
| where ActivityStatus == "Failed"
資源建立
列出已建立的 Azure 資源。 可用於監視和警示。
AzureActivity
| where OperationNameValue has "Microsoft.Resources/deployments/write"
| where CategoryValue == "Administrative"
| where ActivityStatusValue == "Success"
| project Caller, TimeGenerated, _ResourceId
在 AzureActivity 中尋找
在 AzureActivity 中尋找以搜尋 AzureActivity 數據表中的特定值。/n 請注意,此查詢需要更新 <SeachValue> 參數才能產生結果
// This query requires a parameter to run. Enter value in SearchValue to find in table.
let SearchValue = "<SearchValue>";//Please update term you would like to find in the table.
AzureActivity
| where ResourceProvider == "Microsoft.ContainerService"
| where * contains tostring(SearchValue)
| take 1000
顯示來自 AzureActivity 數據表的記錄
清單 AzureActivity 數據表中最新的記錄,依時間排序 (最新的第一個) 。
AzureActivity
| top 10 by TimeGenerated
顯示來自 AzureActivity 數據表的記錄
清單 AzureActivity 數據表中最新的記錄,依時間排序 (最新的第一個) 。
AzureActivity
| top 10 by TimeGenerated
顯示前 50 個活動記錄事件
顯示前 50 個活動記錄事件。
AzureActivity
| project TimeGenerated, SubscriptionId, ResourceGroup,ResourceProviderValue,OperationNameValue,CategoryValue,CorrelationId,ActivityStatusValue, ActivitySubstatusValue, Properties_d, Caller
| top 50 by TimeGenerated
顯示活動記錄管理事件
顯示 [系統管理] 類別的活動記錄。
AzureActivity
| where CategoryValue == "Administrative"
| order by TimeGenerated desc
VM 建立
此查詢會顯示建立 VM 時的結果。
AzureActivity
| where TimeGenerated >= ago(1d)
| where OperationNameValue == "MICROSOFT.COMPUTE/VIRTUALMACHINES/WRITE" and ActivityStatusValue == "Start"
| where Authorization_d.action == "Microsoft.Compute/virtualMachines/write"
| project OperationNameValue, ActivityStatusValue, VM_Name=Properties_d.resource, ResourceGroup, SubscriptionId, Created_By=Caller
顯示從原則產生的活動記錄事件
顯示由 Azure 原則 執行之所有效果動作作業的前 100 筆記錄。
AzureActivity
| project TimeGenerated, SubscriptionId, ResourceProviderValue, OperationNameValue, Caller, CategoryValue, CorrelationId, ActivityStatusValue, Properties_d
| where OperationNameValue has "audit"
| top 100 by TimeGenerated desc
列出過去 48 小時內的來電者及其相關聯的動作
列出過去 48 小時內的來電者及其相關聯的動作。
AzureActivity
| where TimeGenerated > ago(2d)
| project Caller, OperationNameValue, ActivityStatusValue, CategoryValue
| where Caller has "@"
所有 Azure 活動
查詢會顯示所有 AzureActivity 事件。
AzureActivity
| project TimeGenerated, Caller, OperationName, ActivityStatus, _ResourceId
適用於使用者的 Azure 活動
顯示使用者透過 Azure 活動的活動。
// Replace the UPN in the query with the UPN of the user of interest
let v_Users_UPN= "osotnoc@contoso.com";
AzureActivity
| where Caller == v_Users_UPN
| project TimeGenerated, Caller, OperationName, ActivityStatus
成功的金鑰列舉
清單 執行金鑰列舉的使用者及其位置。
AzureActivity
| where OperationName == "List Storage Account Keys"
| where ActivityStatus == "Succeeded"
| project TimeGenerated, Caller, CallerIpAddress, OperationName
網路存取 JIT 初始化
清單 JIT 網路訪問許可權的起始。
AzureActivity
| where OperationName == "Initiate JIT Network Access Policy"
| where ActivityStatus == "Started"
Azure 活動作業統計數據
Azure 活動的作業統計數據。
AzureActivity
| summarize Count=count() by OperationName, _ResourceId
| sort by Count desc nulls last
意見反應
https://aka.ms/ContentUserFeedback。
即將登場:在 2024 年,我們將逐步淘汰 GitHub 問題作為內容的意見反應機制,並將它取代為新的意見反應系統。 如需詳細資訊,請參閱:提交並檢視相關的意見反應