Ereignisschema des Azure-Aktivitätsprotokolls

Artikel
12/13/2023

Das Azure Activity-Protokoll bietet Einblicke in alle Ereignisse auf Abonnementebene, die in Azure aufgetreten sind. Dieser Artikel beschreibt die Kategorien des Aktivitätsprotokolls und das jeweils zugehörige Schema.

Das Schema variiert je nach Zugriff auf das Protokoll:

Die in diesem Artikel beschriebenen Schemas gelten für den Zugriff auf das Aktivitätsprotokoll über die REST-API. Das Schema wird auch verwendet, wenn Sie die JSON-Option beim Anzeigen eines Ereignisses im Azure-Portal auswählen.
Im letzten Abschnitt, Schema aus Speicherkonto und Event Hubs finden Sie Informationen zum Schema für eine Diagnoseeinstellung zum Senden des Aktivitätsprotokolls an Azure Storage oder Azure Event Hubs.
Unter Azure Monitor-Datenreferenz finden Sie das Schema, das zur Anwendung kommt, wenn Sie das Aktivitätsprotokoll über eine Diagnoseeinstellung an einen Log Analytics-Arbeitsbereich senden.

Schweregrad

Jeder Eintrag im Aktivitätsprotokoll weist einen Schweregrad auf. Der Schweregrad kann einen der folgenden Werte haben:

Schweregrad	Beschreibung
Kritisch	Ereignisse, die die sofortige Aufmerksamkeit eines Systemadministrators erfordern. Gibt möglicherweise an, dass eine Anwendung oder ein System fehlgeschlagen ist oder nicht mehr reagiert.
Fehler	Ereignisse, die auf ein Problem hinweisen, erfordern jedoch keine sofortige Aufmerksamkeit.
Warnung	Ereignisse, die eine Vorwarnung für potenzielle Probleme sind, obwohl es sich nicht um einen tatsächlichen Fehler handelt. Geben Sie an, dass sich eine Ressource nicht in einem idealen Zustand befindet und später zu Fehlern oder kritischen Ereignissen herabgesetzt werden kann.
Informational	Ereignisse, die nicht kritische Informationen an den Administrator weitergeben. Ähnelt einer Anmerkung vom Typ „Zu Ihrer Information“.

Die Entwickler der einzelnen Ressourcenanbieter wählen den Schweregrad ihrer Ressourceneinträge aus. Je nachdem, wie Ihre Anwendung aufgebaut ist, kann der tatsächliche Schweregrad für Sie variieren. Beispielsweise sind Elemente, die für eine bestimmte, isolierte Ressource "kritisch" sind, in einem Ressourcentyp, der für Ihre Azure-Anwendung zentral ist, möglicherweise nicht so wichtig wie "Fehler". Berücksichtigen Sie dies bei der Entscheidung, für welche Ereignisse eine Warnung ausgegeben werden soll.

Kategorien

Jedes Ereignis im Aktivitätsprotokoll verfügt über eine bestimmte Kategorie, die in der folgenden Tabelle beschrieben ist. In den folgenden Abschnitten finden Sie detaillierte Informationen zu jeder Kategorie und dem zugehörigen Schema, wenn Sie über PowerShell, die CLI, das Portal oder die REST-API auf das Aktivitätsprotokoll zugreifen. Das Schema ist unterschiedlich, wenn Sie das Aktivitätsprotokoll in den Speicher oder an Event Hubs streamen. Eine Zuordnung der Eigenschaften zum Ressourcenprotokollschema befindet sich im letzten Abschnitt dieses Artikels.

Category	BESCHREIBUNG
Verwaltung	Enthält die Datensätze aller Erstellungs-, Aktualisierungs-, Lösch- und Aktionsvorgänge, die über Resource Manager ausgeführt wurden. Beispiele für Verwaltungsereignisse sind das Erstellen des virtuellen Computers und das Löschen der Netzwerksicherheitsgruppe. Jede Aktion, die von einem Benutzer oder einer Anwendung mit Resource Manager durchgeführt wird, wird als Vorgang basierend auf einem bestimmten Ressourcentyp modelliert. Wenn der Vorgangstyp Schreiben, Löschen oder Aktion lautet, werden die Datensätze zum Start und zum Erfolg oder Fehler dieses Vorgangs in der Kategorie „Verwaltung“ aufgezeichnet. Verwaltungsereignisse umfassen außerdem alle Änderungen an der rollenbasierten Zugriffssteuerung in Azure in einem Abonnement.
Dienstintegrität	Enthält den Datensatz aller Dienstintegritätsvorfälle, die in Azure aufgetreten sind. Beispiel für ein Service Health-Ereignis: Ausfallzeiten bei SQL Azure in der Region „USA, Osten“ . Es gibt sechs Typen von Service Health-Ereignissen: Aktion erforderlich, Unterstützte Wiederherstellung, Incident, Wartung, Informationen und Sicherheit. Diese Ereignisse werden nur erstellt, wenn sie eine Ressource im Abonnement haben, die von dem Ereignis betroffen ist.
Resource Health	Enthält den Datensatz aller Ressourcenintegritätsereignisse, die in Ihren Azure-Ressourcen aufgetreten sind. Ein Beispiel für ein Resource Health-Ereignis ist Integritätsstatus des virtuellen Computers ist zu „Nicht verfügbar“ gewechselt. Resource Health-Ereignisse können über einen von vier Integritätsstatus verfügen: Verfügbar, Nicht verfügbar, Heruntergestuft und Unbekannt. Darüber hinaus können Resource Health-Ereignisse kategorisiert werden. Hierbei sind die Kategorien Von der Plattform initiiert und Vom Benutzer initiiert verfügbar.
Warnung	Enthält den Datensatz mit den Aktivierungen für Azure-Warnungen. Ein Beispiel für ein Alert-Ereignis ist CPU % auf myVM über 80 für die letzten 5 Minuten.
Automatische Skalierung	Enthält den Datensatz aller Ereignisse, die sich auf den Vorgang des AutoScale-Moduls beziehen, basierend auf allen Einstellungen der autoskalen, die Sie in Ihrem Abonnement definiert haben. Ein Beispiel für ein Ereignis der Autoskalierung ist Fehler beim automatischen Hochskalieren.
Empfehlung	Enthält Empfehlungsereignisse von Azure Advisor.
Security	Enthält die Aufzeichnung aller von Microsoft Defender für Cloud generierten Warnungen. Ein Beispiel für ein Sicherheitsereignis ist Verdächtige Datei mit doppelter Erweiterung ausgeführt.
Richtlinie	Enthält Datensätze aller Aktionsvorgänge für Auswirkungen, die von Azure Policy ausgeführt werden. Beispiele für Policy-Ereignisse sind Überwachen und Ablehnen. Jede Aktion, die von Policy ausgeführt wird, ist als ein Vorgang für eine Ressource modelliert.

Kategorie „Verwaltung“

Diese Kategorie enthält die Datensätze aller Erstellungs-, Aktualisierungs-, Lösch- und Aktionsvorgänge, die über Resource Manager ausgeführt wurden. Beispiele für die In dieser Kategorie angezeigten Ereignistypen sind "Erstellen eines virtuellen Computers" und "Netzwerksicherheitsgruppe löschen". Jede Aktion, die von einem Benutzer oder einer Anwendung mit Resource Manager durchgeführt wird, wird als Vorgang basierend auf einem bestimmten Ressourcentyp modelliert. Wenn der Vorgangstyp „Schreiben“, „Löschen“ oder „Aktion“ ist, werden die Datensätze zum Start und zum Erfolg oder Fehler dieses Vorgangs in der Kategorie „Administration“ aufgezeichnet. Die Kategorie „Administration“ enthält außerdem alle Änderungen an der rollenbasierten Zugriffssteuerung in Azure in einem Abonnement.

Beispielereignis

{
    "authorization": {
        "action": "Microsoft.Network/networkSecurityGroups/write",
        "scope": "/subscriptions/<subscription ID>/resourcegroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG"
    },
    "caller": "rob@contoso.com",
    "channels": "Operation",
    "claims": {
        "aud": "https://management.core.windows.net/",
        "iss": "https://sts.windows.net/1114444b-7467-4144-a616-e3a5d63e147b/",
        "iat": "1234567890",
        "nbf": "1234567890",
        "exp": "1234567890",
        "_claim_names": "{\"groups\":\"src1\"}",
        "_claim_sources": "{\"src1\":{\"endpoint\":\"https://graph.microsoft.com/1114444b-7467-4144-a616-e3a5d63e147b/users/f409edeb-4d29-44b5-9763-ee9348ad91bb/getMemberObjects\"}}",
        "http://schemas.microsoft.com/claims/authnclassreference": "1",
        "aio": "A3GgTJdwK4vy7Fa7l6DgJC2mI0GX44tML385OpU1Q+z+jaPnFMwB",
        "http://schemas.microsoft.com/claims/authnmethodsreferences": "rsa,mfa",
        "appid": "355249ed-15d9-460d-8481-84026b065942",
        "appidacr": "2",
        "http://schemas.microsoft.com/2012/01/devicecontext/claims/identifier": "10845a4d-ffa4-4b61-a3b4-e57b9b31cdb5",
        "e_exp": "262800",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Robertson",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "Rob",
        "ipaddr": "111.111.1.111",
        "name": "Rob Robertson",
        "http://schemas.microsoft.com/identity/claims/objectidentifier": "f409edeb-4d29-44b5-9763-ee9348ad91bb",
        "onprem_sid": "S-1-5-21-4837261184-168309720-1886587427-18514304",
        "puid": "18247BBD84827C6D",
        "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "b-24Jf94A3FH2sHWVIFqO3-RSJEiv24Jnif3gj7s",
        "http://schemas.microsoft.com/identity/claims/tenantid": "1114444b-7467-4144-a616-e3a5d63e147b",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": "rob@contoso.com",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "rob@contoso.com",
        "uti": "IdP3SUJGtkGlt7dDQVRPAA",
        "ver": "1.0"
    },
    "correlationId": "b5768deb-836b-41cc-803e-3f4de2f9e40b",
    "eventDataId": "d0d36f97-b29c-4cd9-9d3d-ea2b92af3e9d",
    "eventName": {
        "value": "EndRequest",
        "localizedValue": "End request"
    },
    "category": {
        "value": "Administrative",
        "localizedValue": "Administrative"
    },
    "eventTimestamp": "2018-01-29T20:42:31.3810679Z",
    "id": "/subscriptions/<subscription ID>/resourcegroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG/events/d0d36f97-b29c-4cd9-9d3d-ea2b92af3e9d/ticks/636528553513810679",
    "level": "Informational",
    "operationId": "04e575f8-48d0-4c43-a8b3-78c4eb01d287",
    "operationName": {
        "value": "Microsoft.Network/networkSecurityGroups/write",
        "localizedValue": "Microsoft.Network/networkSecurityGroups/write"
    },
    "resourceGroupName": "myResourceGroup",
    "resourceProviderName": {
        "value": "Microsoft.Network",
        "localizedValue": "Microsoft.Network"
    },
    "resourceType": {
        "value": "Microsoft.Network/networkSecurityGroups",
        "localizedValue": "Microsoft.Network/networkSecurityGroups"
    },
    "resourceId": "/subscriptions/<subscription ID>/resourcegroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG",
    "status": {
        "value": "Succeeded",
        "localizedValue": "Succeeded"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2018-01-29T20:42:50.0724829Z",
    "subscriptionId": "<subscription ID>",
    "properties": {
        "statusCode": "Created",
        "serviceRequestId": "a4c11dbd-697e-47c5-9663-12362307157d",
        "responseBody": "",
        "requestbody": ""
    },
    "relatedEvents": []
}

Beschreibungen der Eigenschaften

Elementname	BESCHREIBUNG
authorization	Blob mit Azure RBAC-Eigenschaften des Ereignisses. Enthält normalerweise die Eigenschaften „action“, „role“ und „scope“.
caller	E-Mail-Adresse des Benutzers, der den Vorgang, UPN-Anspruch oder SPN-Anspruch auf Grundlage der Verfügbarkeit ausgeführt hat.
channels	Einer der folgenden Werte: „Admin“, „Operation“
claims	Das JWT-Token, das von Active Directory zum Authentifizieren des Benutzers oder der Anwendung zur Ausführung dieses Vorgangs in Resource Manager verwendet wird.
correlationId	Normalerweise eine GUID im Zeichenfolgenformat. Ereignisse, die über die gleiche correlationId verfügen, gehören zu derselben übergeordneten Aktion.
description	Statische Beschreibung eines Ereignisses in Textform.
eventDataId	Eindeutiger Bezeichner eines Ereignisses.
eventName	Anzeigename des Administrative-Ereignisses.
category	Immer „Administrative“
httpRequest	Blob, das die HTTP-Anforderung beschreibt. Umfasst üblicherweise „clientRequestId“, „clientIpAddress“ und „method“ (HTTP-Methode, zum Beispiel PUT).
level	Schweregrad des Ereignisses.
resourceGroupName	Name der Ressourcengruppe für die betroffene Ressource.
resourceProviderName	Name des Ressourcenanbieters für die betroffene Ressource.
resourceType	Der Typ der Ressource, die von einem Administrativen Ereignis betroffen ist.
Ressourcen-ID	Ressourcen-ID der betroffenen Ressource.
operationId	Eine GUID, die von den Ereignissen eines einzelnen Vorgangs gemeinsam genutzt wird.
operationName	Name des Vorgangs.
properties	Satz mit `<Key, Value>`-Paaren (Wörterbuch), die Details des Ereignisses beschreiben.
status	Zeichenfolge, die den Status des Vorgangs beschreibt. Gängige Werte: „Started“, „In Progress“, „Succeeded“, „Failed“, „Active“, „Resolved“.
subStatus	Normalerweise kann der HTTP-Statuscode des entsprechenden REST-Aufrufs, aber auch andere Zeichenfolgen enthalten, die einen SubStatus beschreiben, z. B. die folgenden allgemeinen Werte: OK (HTTP-Statuscode: 200), Created (HTTP Status Code: 201), Accepted (HTTP Status Code: 202), No Content (HTTP Status Code: 204), Bad Request (HTTP Status Code: 400), Not Found (HTTP Status Code: 404), Konflikt (HTTP-Statuscode: 409), Interner Serverfehler (HTTP-Statuscode: 500), Dienst nicht verfügbar (HTTP-Statuscode: 503), Gatewaytimeout (HTTP-Statuscode: 504).
eventTimestamp	Zeitstempel der Ereignisgenerierung durch den Azure-Dienst, der die zum Ereignis gehörende Anforderung verarbeitet hat.
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.

Kategorie „Dienstintegrität“

Diese Kategorie enthält den Datensatz aller Dienstintegritätsvorfälle, die in Azure aufgetreten sind. Ein Beispiel für ein Ereignis in dieser Kategorie ist „Ausfallzeiten bei SQL Azure in der Region ‚USA, Osten‘“. Für Ereignisse zur Dienstintegrität gibt es fünf Varianten: Aktion erforderlich, Incident, Wartung, Information oder Sicherheit. Sie werden nur angezeigt, wenn eine Ressource in Ihrem Abonnement von dem Ereignis betroffen wäre.

Beispielereignis

{
  "channels": "Admin",
  "correlationId": "c550176b-8f52-4380-bdc5-36c1b59d3a44",
  "description": "Active: Network Infrastructure - UK South",
  "eventDataId": "c5bc4514-6642-2be3-453e-c6a67841b073",
  "eventName": {
      "value": null
  },
  "category": {
      "value": "ServiceHealth",
      "localizedValue": "Service Health"
  },
  "eventTimestamp": "2017-07-20T23:30:14.8022297Z",
  "id": "/subscriptions/<subscription ID>/events/c5bc4514-6642-2be3-453e-c6a67841b073/ticks/636361902148022297",
  "level": "Warning",
  "operationName": {
      "value": "Microsoft.ServiceHealth/incident/action",
      "localizedValue": "Microsoft.ServiceHealth/incident/action"
  },
  "resourceProviderName": {
      "value": null
  },
  "resourceType": {
      "value": null,
      "localizedValue": ""
  },
  "resourceId": "/subscriptions/<subscription ID>",
  "status": {
      "value": "Active",
      "localizedValue": "Active"
  },
  "subStatus": {
      "value": null
  },
  "submissionTimestamp": "2017-07-20T23:30:34.7431946Z",
  "subscriptionId": "<subscription ID>",
  "properties": {
    "title": "Network Infrastructure - UK South",
    "service": "Service Fabric",
    "region": "UK South",
    "communication": "Starting at approximately 21:41 UTC on 20 Jul 2017, a subset of customers in UK South may experience degraded performance, connectivity drops or timeouts when accessing their Azure resources hosted in this region. Engineers are investigating underlying Network Infrastructure issues in this region. Impacted services may include, but are not limited to App Services, Automation, Service Bus, Log Analytics, Key Vault, SQL Database, Service Fabric, Event Hubs, Stream Analytics, Azure Data Movement, API Management, and Azure Cognitive Search. Multiple engineering teams are engaged in multiple workflows to mitigate the impact. The next update will be provided in 60 minutes, or as events warrant.",
    "incidentType": "Incident",
    "trackingId": "NA0F-BJG",
    "impactStartTime": "2017-07-20T21:41:00.0000000Z",
    "impactedServices": "[{\"ImpactedRegions\":[{\"RegionName\":\"UK South\"}],\"ServiceName\":\"Service Fabric\"}]",
    "defaultLanguageTitle": "Network Infrastructure - UK South",
    "defaultLanguageContent": "Starting at approximately 21:41 UTC on 20 Jul 2017, a subset of customers in UK South may experience degraded performance, connectivity drops or timeouts when accessing their Azure resources hosted in this region. Engineers are investigating underlying Network Infrastructure issues in this region. Impacted services may include, but are not limited to App Services, Automation, Service Bus, Log Analytics, Key Vault, SQL Database, Service Fabric, Event Hubs, Stream Analytics, Azure Data Movement, API Management, and Azure Cognitive Search. Multiple engineering teams are engaged in multiple workflows to mitigate the impact. The next update will be provided in 60 minutes, or as events warrant.",
    "stage": "Active",
    "communicationId": "636361902146035247",
    "version": "0.1.1"
  }
}

Informationen zu den Werten in den Eigenschaften finden Sie im Artikel Anzeigen von Dienstintegritätsbenachrichtigungen im Azure-Portal.

Kategorie „Ressourcenintegrität“

Diese Kategorie enthält den Datensatz der Ressourcenintegritätsereignisse, die für Ihre Azure-Ressourcen aufgetreten sind. Ein Beispiel für die Art der Ereignisse, die in dieser Kategorie angezeigt werden, ist „Integritätsstatus des virtuellen Computers ist zu ‚Nicht verfügbar‘ gewechselt“. Ereignisse zur Ressourcenintegrität können einen von vier Integritätsstatus darstellen: „Verfügbar“, „Nicht verfügbar“, „Heruntergestuft“ und „Unbekannt“. Darüber hinaus können Ereignisse zur Ressourcenintegrität kategorisiert werden. Dabei sind die Kategorien „Von der Plattform initiiert“ oder „Vom Benutzer initiiert“ verfügbar.

Ein Ressourcenintegritätsereignis wird im Aktivitätsprotokoll aufgezeichnet, wenn:

Eine Anmerkung, z. B. "ResourceDegraded" oder "AccountClientThrottling", wird für eine Ressource übermittelt.
Eine Ressource, die zu oder von "Fehlerhaft" wechselt.
Eine Ressource war länger als 15 Minuten ungesund.

Die folgenden Ressourcenintegritätsübergänge werden nicht im Aktivitätsprotokoll aufgezeichnet:

Ein Übergang zum unbekannten Zustand.
Ein Übergang vom Unbekannten Zustand, wenn:
- Dies ist der erste Übergang.
- Wenn der Status vor "Unbekannt" mit dem neuen Zustand übereinstimmt. (Beispiel: Wenn die Ressource von "Fehlerfrei" zu "Unbekannt" und "Gesund" umgestellt wurde).
- Für Computeressourcen: VMs, die von "Fehlerfrei" zu "Fehlerfrei" und "Fehlerfrei" wechseln, wenn die Fehlerhafte Zeit weniger als 35 Sekunden beträgt.

Beispielereignis

{
    "channels": "Admin, Operation",
    "correlationId": "28f1bfae-56d3-7urb-bff4-194d261248e9",
    "description": "",
    "eventDataId": "a80024e1-883d-37ur-8b01-7591a1befccb",
    "eventName": {
        "value": "",
        "localizedValue": ""
    },
    "category": {
        "value": "ResourceHealth",
        "localizedValue": "Resource Health"
    },
    "eventTimestamp": "2018-09-04T15:33:43.65Z",
    "id": "/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Compute/virtualMachines/<resource name>/events/a80024e1-883d-42a5-8b01-7591a1befccb/ticks/636716720236500000",
    "level": "Critical",
    "operationId": "",
    "operationName": {
        "value": "Microsoft.Resourcehealth/healthevent/Activated/action",
        "localizedValue": "Health Event Activated"
    },
    "resourceGroupName": "<resource group>",
    "resourceProviderName": {
        "value": "Microsoft.Resourcehealth/healthevent/action",
        "localizedValue": "Microsoft.Resourcehealth/healthevent/action"
    },
    "resourceType": {
        "value": "Microsoft.Compute/virtualMachines",
        "localizedValue": "Microsoft.Compute/virtualMachines"
    },
    "resourceId": "/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Compute/virtualMachines/<resource name>",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2018-09-04T15:36:24.2240867Z",
    "subscriptionId": "<subscription ID>",
    "properties": {
        "stage": "Active",
        "title": "Virtual Machine health status changed to unavailable",
        "details": "Virtual machine has experienced an unexpected event",
        "healthStatus": "Unavailable",
        "healthEventType": "Downtime",
        "healthEventCause": "PlatformInitiated",
        "healthEventCategory": "Unplanned"
    },
    "relatedEvents": []
}

Beschreibungen der Eigenschaften

Elementname	BESCHREIBUNG
channels	Immer „Admin, Operation“
correlationId	Eine GUID im Zeichenfolgenformat.
description	Statische Beschreibung des Warnungsereignisses.
eventDataId	Eindeutiger Bezeichner des Warnungsereignisses.
category	Immer „ResourceHealth“
eventTimestamp	Zeitstempel der Ereignisgenerierung durch den Azure-Dienst, der die zum Ereignis gehörende Anforderung verarbeitet hat.
level	Schweregrad des Ereignisses.
operationId	Eine GUID, die von den Ereignissen eines einzelnen Vorgangs gemeinsam genutzt wird.
operationName	Name des Vorgangs.
resourceGroupName	Der Name der Ressourcengruppe, die die Ressource enthält.
resourceProviderName	Immer „Microsoft.Resourcehealth/healthevent/action“.
resourceType	Der Typ der Ressource, die von einem Ressourcenintegritätsereignis betroffen ist.
Ressourcen-ID	Der Name der Ressourcen-ID für die betroffene Ressource.
status	Zeichenfolge, die den Status des Integritätsereignisses beschreibt. Mögliche Werte: „Active“, „Resolved“, „InProgress“, „Updated“.
subStatus	In der Regel für Warnungen null.
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.
properties	Satz mit `<Key, Value>`-Paaren (Wörterbuch), die Details des Ereignisses beschreiben.
properties.title	Eine benutzerfreundliche Zeichenfolge, die den Integritätsstatus der Ressource beschreibt.
properties.details	Eine benutzerfreundliche Zeichenfolge, die weitere Details zum Ereignis beschreibt.
properties.currentHealthStatus	Der aktuelle Integritätsstatus der Ressource. Einer der folgenden Werte: „Available“, „Unavailable“, „Degraded“ und „Unknown“.
properties.previousHealthStatus	Der vorherige Integritätsstatus der Ressource. Einer der folgenden Werte: „Available“, „Unavailable“, „Degraded“ und „Unknown“.
properties.type	Eine Beschreibung des Typs des Resource Health-Ereignisses.
properties.cause	Eine Beschreibung der Ursache des Resource Health-Ereignisses. Entweder „UserInitiated“ oder „PlatformInitiated“.

Kategorie „Warnung“

Diese Kategorie enthält die Datensätze zu allen Aktivierungen von klassischen Azure-Warnungen. Ein Beispiel für den Ereignistyp, den Sie in dieser Kategorie sehen würden, lautet "CPU % auf myVM ist für die letzten 5 Minuten über 80". Verschiedene Azure-Systeme verfügen über ein Warnungskonzept: Sie können eine Regel einer Art definieren und eine Benachrichtigung erhalten, wenn Bedingungen mit dieser Regel übereinstimmen. Jedes Mal, wenn ein unterstützter Azure-Warnungstyp „aktiviert“ wird oder die Bedingungen erfüllt sind, sodass eine Benachrichtigung generiert wird, wird ein Datensatz der Aktivierung auch in dieser Kategorie des Aktivitätsprotokolls abgelegt.

Beispielereignis

{
  "caller": "Microsoft.Insights/alertRules",
  "channels": "Admin, Operation",
  "claims": {
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/spn": "Microsoft.Insights/alertRules"
  },
  "correlationId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/alertrules/myalert/incidents/L3N1YnNjcmlwdGlvbnMvZGY2MDJjOWMtN2FhMC00MDdkLWE2ZmItZWIyMGM4YmQxMTkyL3Jlc291cmNlR3JvdXBzL0NzbUV2ZW50RE9HRk9PRC1XZXN0VVMvcHJvdmlkZXJzL21pY3Jvc29mdC5pbnNpZ2h0cy9hbGVydHJ1bGVzL215YWxlcnQwNjM2MzYyMjU4NTM1MjIxOTIw",
  "description": "'Disk read LessThan 100000 ([Count]) in the last 5 minutes' has been resolved for CloudService: myResourceGroup/Production/Event.BackgroundJobsWorker.razzle (myResourceGroup)",
  "eventDataId": "149d4baf-53dc-4cf4-9e29-17de37405cd9",
  "eventName": {
    "value": "Alert",
    "localizedValue": "Alert"
  },
  "category": {
    "value": "Alert",
    "localizedValue": "Alert"
  },
  "id": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/Event.BackgroundJobsWorker.razzle/events/149d4baf-53dc-4cf4-9e29-17de37405cd9/ticks/636362258535221920",
  "level": "Informational",
  "resourceGroupName": "myResourceGroup",
  "resourceProviderName": {
    "value": "Microsoft.ClassicCompute",
    "localizedValue": "Microsoft.ClassicCompute"
  },
  "resourceId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/Event.BackgroundJobsWorker.razzle",
  "resourceType": {
    "value": "Microsoft.ClassicCompute/domainNames/slots/roles",
    "localizedValue": "Microsoft.ClassicCompute/domainNames/slots/roles"
  },
  "operationId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/alertrules/myalert/incidents/L3N1YnNjcmlwdGlvbnMvZGY2MDJjOWMtN2FhMC00MDdkLWE2ZmItZWIyMGM4YmQxMTkyL3Jlc291cmNlR3JvdXBzL0NzbUV2ZW50RE9HRk9PRC1XZXN0VVMvcHJvdmlkZXJzL21pY3Jvc29mdC5pbnNpZ2h0cy9hbGVydHJ1bGVzL215YWxlcnQwNjM2MzYyMjU4NTM1MjIxOTIw",
  "operationName": {
    "value": "Microsoft.Insights/AlertRules/Resolved/Action",
    "localizedValue": "Microsoft.Insights/AlertRules/Resolved/Action"
  },
  "properties": {
    "RuleUri": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/alertrules/myalert",
    "RuleName": "myalert",
    "RuleDescription": "",
    "Threshold": "100000",
    "WindowSizeInMinutes": "5",
    "Aggregation": "Average",
    "Operator": "LessThan",
    "MetricName": "Disk read",
    "MetricUnit": "Count"
  },
  "status": {
    "value": "Resolved",
    "localizedValue": "Resolved"
  },
  "subStatus": {
    "value": null
  },
  "eventTimestamp": "2017-07-21T09:24:13.522192Z",
  "submissionTimestamp": "2017-07-21T09:24:15.6578651Z",
  "subscriptionId": "<subscription ID>"
}

Beschreibungen der Eigenschaften

Elementname	BESCHREIBUNG
caller	Immer „Microsoft.Insights/alertRules“
channels	Immer „Admin, Operation“
claims	JSON-Blob mit dem Dienstprinzipalnamen (Service Principal Name, SPN) oder dem Ressourcentyp der Warnungs-Engine.
correlationId	Eine GUID im Zeichenfolgenformat.
description	Statische Beschreibung des Warnungsereignisses.
eventDataId	Eindeutiger Bezeichner des Warnungsereignisses.
category	Immer „Alert“
level	Schweregrad des Ereignisses.
resourceGroupName	Name der Ressourcengruppe für die betroffene Ressource, wenn es sich um eine Metrikwarnung handelt. Bei anderen Warnungstypen ist es der Name der Ressourcengruppe, die die Warnung selbst enthält.
resourceProviderName	Name des Ressourcenanbieters für die betroffene Ressource, wenn es sich um eine Metrikwarnung handelt. Bei anderen Warnungstypen ist dies der Name des Ressourcenanbieters für die Warnung selbst.
Ressourcen-ID	Name der Ressourcen-ID für die betroffene Ressource, wenn es sich um eine Metrikwarnung handelt. Bei anderen Warnungstypen ist es die Ressourcen-ID der Warnungsressource selbst.
operationId	Eine GUID, die von den Ereignissen eines einzelnen Vorgangs gemeinsam genutzt wird.
operationName	Name des Vorgangs.
properties	Satz mit `<Key, Value>`-Paaren (Wörterbuch), die Details des Ereignisses beschreiben.
status	Zeichenfolge, die den Status des Vorgangs beschreibt. Gängige Werte: „Started“, „In Progress“, „Succeeded“, „Failed“, „Active“, „Resolved“.
subStatus	In der Regel für Warnungen null.
eventTimestamp	Zeitstempel der Ereignisgenerierung durch den Azure-Dienst, der die zum Ereignis gehörende Anforderung verarbeitet hat.
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.

Feld „properties“ pro Warnungstyp

Das Feld „properties“ enthält abhängig von der Quelle des Warnungsereignisses unterschiedliche Werte. Zwei allgemeine Ereignisanbieter für Warnungen sind Aktivitätsprotokollwarnungen und Metrikwarnungen.

Eigenschaften für Aktivitätsprotokollwarnungen

Elementname	BESCHREIBUNG
properties.subscriptionId	Die Abonnement-ID aus dem Aktivitätsprotokollereignis, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.
properties.eventDataId	Die Ereignisdaten-ID aus dem Aktivitätsprotokollereignis, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.
properties.resourceGroup	Die Ressourcengruppe aus dem Aktivitätsprotokollereignis, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.
properties.resourceId	Die Ressourcen-ID aus dem Aktivitätsprotokollereignis, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.
properties.eventTimestamp	Der Ereigniszeitstempel des Aktivitätsprotokollereignisses, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.
properties.operationName	Der Vorgangsname aus dem Aktivitätsprotokollereignis, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.
properties.status	Der Status des Aktivitätsprotokollereignisses, das dazu führte, dass diese Warnungsregel für das Aktivitätsprotokoll aktiviert wurde.

Eigenschaften für Metrikwarnungen

Elementname	BESCHREIBUNG
properties.RuleUri	Ressourcen-ID der Metrikwarnungsregel selbst.
properties.RuleName	Der Name der Metrikwarnungsregel.
properties.RuleDescription	Die Beschreibung der Metrikwarnungsregel (wie in der Warnungsregel definiert).
properties.Threshold	Der Schwellenwert, der bei der Auswertung der Metrikwarnungsregel verwendet wird.
properties.WindowSizeInMinutes	Die Fenstergröße, die bei der Auswertung der Metrikwarnungsregel verwendet wird.
properties.Aggregation	Der Aggregationstyp, der in der Metrikwarnungsregel definiert ist.
properties.Operator	Der bedingte Operator, der bei der Auswertung der Metrikwarnungsregel verwendet wird.
properties.MetricName	Der Metrikname der Metrik, die bei der Auswertung der Metrikwarnungsregel verwendet wird.
properties.MetricUnit	Die Metrikeinheit für die Metrik, die bei der Auswertung der Metrikwarnungsregel verwendet wird.

Kategorie „Autoskalierung“

Diese Kategorie enthält Datensätze zu Ereignissen im Zusammenhang mit der Engine für die automatische Skalierung – basierend auf den Einstellungen für die automatische Skalierung, die Sie in Ihrem Abonnement definiert haben. Ein Beispiel für Ereignisse in dieser Kategorie ist „Fehler beim automatischen Hochskalieren“. Mit der automatischen Skalierung können Sie die Anzahl der Instanzen eines unterstützten Ressourcentyps basierend auf der Tageszeit und/oder Lastdaten (Metrik) mithilfe einer Einstellung für die automatische Skalierung automatisch hoch- oder herunterskalieren. Wenn die Bedingungen zum Hoch- oder Herunterskalieren erfüllt sind, werden Ereignisse zum Start und zum Erfolg bzw. Fehler in dieser Kategorie aufgezeichnet.

Beispielereignis

{
  "caller": "Microsoft.Insights/autoscaleSettings",
  "channels": "Admin, Operation",
  "claims": {
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/spn": "Microsoft.Insights/autoscaleSettings"
  },
  "correlationId": "fc6a7ff5-ff68-4bb7-81b4-3629212d03d0",
  "description": "The autoscale engine attempting to scale resource '/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/myResource' from 3 instances count to 2 instances count.",
  "eventDataId": "a5b92075-1de9-42f1-b52e-6f3e4945a7c7",
  "eventName": {
    "value": "AutoscaleAction",
    "localizedValue": "AutoscaleAction"
  },
  "category": {
    "value": "Autoscale",
    "localizedValue": "Autoscale"
  },
  "id": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/autoscalesettings/myResourceGroup-Production-myResource-myResourceGroup/events/a5b92075-1de9-42f1-b52e-6f3e4945a7c7/ticks/636361956518681572",
  "level": "Informational",
  "resourceGroupName": "myResourceGroup",
  "resourceProviderName": {
    "value": "microsoft.insights",
    "localizedValue": "microsoft.insights"
  },
  "resourceId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/autoscalesettings/myResourceGroup-Production-myResource-myResourceGroup",
  "resourceType": {
    "value": "microsoft.insights/autoscalesettings",
    "localizedValue": "microsoft.insights/autoscalesettings"
  },
  "operationId": "fc6a7ff5-ff68-4bb7-81b4-3629212d03d0",
  "operationName": {
    "value": "Microsoft.Insights/AutoscaleSettings/Scaledown/Action",
    "localizedValue": "Microsoft.Insights/AutoscaleSettings/Scaledown/Action"
  },
  "properties": {
    "Description": "The autoscale engine attempting to scale resource '/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/myResource' from 3 instances count to 2 instances count.",
    "ResourceName": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/myResource",
    "OldInstancesCount": "3",
    "NewInstancesCount": "2",
    "LastScaleActionTime": "Fri, 21 Jul 2017 01:00:51 GMT"
  },
  "status": {
    "value": "Succeeded",
    "localizedValue": "Succeeded"
  },
  "subStatus": {
    "value": null
  },
  "eventTimestamp": "2017-07-21T01:00:51.8681572Z",
  "submissionTimestamp": "2017-07-21T01:00:52.3008754Z",
  "subscriptionId": "<subscription ID>"
}

Beschreibungen der Eigenschaften

Elementname	BESCHREIBUNG
caller	Immer „Microsoft.Insights/autoscaleSettings“
channels	Immer „Admin, Operation“
claims	JSON-Blob mit dem Dienstprinzipalnamen (Service Principal Name, SPN) oder dem Ressourcentyp der Engine für die automatische Skalierung.
correlationId	Eine GUID im Zeichenfolgenformat.
description	Statische Beschreibung des Ereignisses der automatischen Skalierung.
eventDataId	Eindeutiger Bezeichner des Ereignisses der automatischen Skalierung.
level	Schweregrad des Ereignisses.
resourceGroupName	Name der Ressourcengruppe der Einstellung für die automatische Skalierung.
resourceProviderName	Name des Ressourcenanbieters der Einstellung für die automatische Skalierung.
resourceId	Ressourcen-ID der Einstellung für die automatische Skalierung.
operationId	Eine GUID, die von den Ereignissen eines einzelnen Vorgangs gemeinsam genutzt wird.
operationName	Name des Vorgangs.
properties	Satz mit `<Key, Value>`-Paaren (Wörterbuch), die Details des Ereignisses beschreiben.
properties.Description	Detaillierte Beschreibung des Vorgangs der Engine für die automatische Skalierung.
properties.ResourceName	Ressourcen-ID der betroffenen Ressource (die Ressource, für die die Skalierungsaktion ausgeführt wurde)
properties.OldInstancesCount	Die Anzahl von Instanzen, bevor die automatische Skalierung wirksam war.
properties.NewInstancesCount	Die Anzahl von Instanzen, nachdem die automatische Skalierung wirksam war.
properties.LastScaleActionTime	Der Zeitstempel des Zeitpunkts, zu dem die automatische Skalierung aufgetreten ist.
status	Zeichenfolge, die den Status des Vorgangs beschreibt. Gängige Werte: „Started“, „In Progress“, „Succeeded“, „Failed“, „Active“, „Resolved“.
subStatus	In der Regel für die automatische Skalierung null.
eventTimestamp	Zeitstempel der Ereignisgenerierung durch den Azure-Dienst, der die zum Ereignis gehörende Anforderung verarbeitet hat.
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.

Kategorie „Sicherheit“

Diese Kategorie enthält die Aufzeichnung aller von Microsoft Defender für Cloud generierten Warnungen. Ein Beispiel für den Typ der Ereignisse, die in dieser Kategorie angezeigt werden, ist „Verdächtige Datei mit doppelter Erweiterung ausgeführt“.

Beispielereignis

{
    "channels": "Operation",
    "correlationId": "965d6c6a-a790-4a7e-8e9a-41771b3fbc38",
    "description": "Suspicious double extension file executed. Machine logs indicate an execution of a process with a suspicious double extension.\r\nThis extension may trick users into thinking files are safe to be opened and might indicate the presence of malware on the system.",
    "eventDataId": "965d6c6a-a790-4a7e-8e9a-41771b3fbc38",
    "eventName": {
        "value": "Suspicious double extension file executed",
        "localizedValue": "Suspicious double extension file executed"
    },
    "category": {
        "value": "Security",
        "localizedValue": "Security"
    },
    "eventTimestamp": "2017-10-18T06:02:18.6179339Z",
    "id": "/subscriptions/<subscription ID>/providers/Microsoft.Security/locations/centralus/alerts/965d6c6a-a790-4a7e-8e9a-41771b3fbc38/events/965d6c6a-a790-4a7e-8e9a-41771b3fbc38/ticks/636439033386179339",
    "level": "Informational",
    "operationId": "965d6c6a-a790-4a7e-8e9a-41771b3fbc38",
    "operationName": {
        "value": "Microsoft.Security/locations/alerts/activate/action",
        "localizedValue": "Microsoft.Security/locations/alerts/activate/action"
    },
    "resourceGroupName": "myResourceGroup",
    "resourceProviderName": {
        "value": "Microsoft.Security",
        "localizedValue": "Microsoft.Security"
    },
    "resourceType": {
        "value": "Microsoft.Security/locations/alerts",
        "localizedValue": "Microsoft.Security/locations/alerts"
    },
    "resourceId": "/subscriptions/<subscription ID>/providers/Microsoft.Security/locations/centralus/alerts/2518939942613820660_a48f8653-3fc6-4166-9f19-914f030a13d3",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": null
    },
    "submissionTimestamp": "2017-10-18T06:02:52.2176969Z",
    "subscriptionId": "<subscription ID>",
    "properties": {
        "accountLogonId": "0x2r4",
        "commandLine": "c:\\mydirectory\\doubleetension.pdf.exe",
        "domainName": "hpc",
        "parentProcess": "unknown",
        "parentProcess id": "0",
        "processId": "6988",
        "processName": "c:\\mydirectory\\doubleetension.pdf.exe",
        "userName": "myUser",
        "UserSID": "S-3-2-12",
        "ActionTaken": "Detected",
        "Severity": "High"
    },
    "relatedEvents": []
}

Beschreibungen der Eigenschaften

Elementname	BESCHREIBUNG
channels	Immer „Vorgang“
correlationId	Eine GUID im Zeichenfolgenformat.
description	Statische Beschreibung des Sicherheitsereignisses.
eventDataId	Eindeutiger Bezeichner des Sicherheitsereignisses.
eventName	Anzeigename des Sicherheitsereignisses.
category	Immer „Security“
id	Eindeutiger Ressourcenbezeichner des Sicherheitsereignisses.
level	Schweregrad des Ereignisses.
resourceGroupName	Name der Ressourcengruppe für die Ressource.
resourceProviderName	Name des Ressourcenanbieters für Microsoft Defender für Cloud. Immer „Microsoft.Security“.
resourceType	Der Typ der Ressource, die das Sicherheitsereignis generiert hat, z. B. „Microsoft.Security/locations/alerts“.
resourceId	Ressourcen-ID der Sicherheitswarnung.
operationId	Eine GUID, die von den Ereignissen eines einzelnen Vorgangs gemeinsam genutzt wird.
operationName	Name des Vorgangs.
properties	Satz mit `<Key, Value>`-Paaren (Wörterbuch), die Details des Ereignisses beschreiben. Diese Eigenschaften variieren je nach Sicherheitswarnungstyp. Eine Beschreibung der Warnungstypen, die aus Defender für Cloud stammen, finden Sie auf dieser Seite.
properties.Severity	Der Schweregrad. Mögliche Werte sind „Hoch“, „Mittel“ oder „Niedrig“.
status	Zeichenfolge, die den Status des Vorgangs beschreibt. Gängige Werte: „Started“, „In Progress“, „Succeeded“, „Failed“, „Active“, „Resolved“.
subStatus	Für Sicherheitsereignisse in der Regel NULL.
eventTimestamp	Zeitstempel der Ereignisgenerierung durch den Azure-Dienst, der die zum Ereignis gehörende Anforderung verarbeitet hat.
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.

Kategorie „Empfehlung“

Diese Kategorie enthält den Datensatz mit den neuen Empfehlungen, die für Ihre Dienste generiert werden. Ein Beispiel für eine Empfehlung wäre „Verwenden Sie für eine verbesserte Fehlertoleranz Verfügbarkeitsgruppen“. Vier Typen von Empfehlungsereignissen können generiert werden: „High Availability“, „Performance“, „Security“ und „Cost Optimization“.

Beispielereignis

{
    "channels": "Operation",
    "correlationId": "92481dfd-c5bf-4752-b0d6-0ecddaa64776",
    "description": "The action was successful.",
    "eventDataId": "06cb0e44-111b-47c7-a4f2-aa3ee320c9c5",
    "eventName": {
        "value": "",
        "localizedValue": ""
    },
    "category": {
        "value": "Recommendation",
        "localizedValue": "Recommendation"
    },
    "eventTimestamp": "2018-06-07T21:30:42.976919Z",
    "id": "/SUBSCRIPTIONS/<Subscription ID>/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MYVM/events/06cb0e44-111b-47c7-a4f2-aa3ee320c9c5/ticks/636640038429769190",
    "level": "Informational",
    "operationId": "",
    "operationName": {
        "value": "Microsoft.Advisor/generateRecommendations/action",
        "localizedValue": "Microsoft.Advisor/generateRecommendations/action"
    },
    "resourceGroupName": "MYRESOURCEGROUP",
    "resourceProviderName": {
        "value": "MICROSOFT.COMPUTE",
        "localizedValue": "MICROSOFT.COMPUTE"
    },
    "resourceType": {
        "value": "MICROSOFT.COMPUTE/virtualmachines",
        "localizedValue": "MICROSOFT.COMPUTE/virtualmachines"
    },
    "resourceId": "/SUBSCRIPTIONS/<Subscription ID>/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MYVM",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2018-06-07T21:30:42.976919Z",
    "subscriptionId": "<Subscription ID>",
    "properties": {
        "recommendationSchemaVersion": "1.0",
        "recommendationCategory": "Security",
        "recommendationImpact": "High",
        "recommendationRisk": "None"
    },
    "relatedEvents": []
}

Beschreibungen der Eigenschaften

Elementname	BESCHREIBUNG
channels	Immer „Vorgang“
correlationId	Eine GUID im Zeichenfolgenformat.
description	Statische Beschreibung des Empfehlungsereignisses.
eventDataId	Eindeutiger Bezeichner des Empfehlungsereignisses.
category	Immer „Empfehlung“
id	Eindeutiger Ressourcenbezeichner des Empfehlungsereignisses.
level	Schweregrad des Ereignisses.
operationName	Name des Vorgangs. Immer „Microsoft.Advisor/generateRecommendations/action“
resourceGroupName	Name der Ressourcengruppe für die Ressource.
resourceProviderName	Name des Ressourcenanbieters für die Ressource, für die diese Empfehlung gilt, z.B. „MICROSOFT.COMPUTE“.
resourceType	Name des Ressourcentyps für die Ressource, für die diese Empfehlung gilt, z.B. „MICROSOFT.COMPUTE/virtualmachines“.
resourceId	Ressourcen-ID der Ressource, für die die Empfehlung gilt.
status	Immer „Aktiv“
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.
properties	Satz mit `<Key, Value>`-Paaren (also ein Wörterbuch), die die Details der Empfehlung beschreiben.
properties.recommendationSchemaVersion	Schemaversion der Empfehlungseigenschaften, die im Aktivitätsprotokolleintrag veröffentlicht werden.
properties.recommendationCategory	Kategorie der Empfehlung. Mögliche Werte sind „Hochverfügbarkeit“, „Leistung“, „Sicherheit“ und „Kosten“.
properties.recommendationImpact	Auswirkung der Empfehlung. Mögliche Werte sind „Hoch“, „Mittel“ oder „Niedrig“.
properties.recommendationRisk	Risiko der Empfehlung. Mögliche Werte sind „Fehler“, „Warnung“, „Kein“.

Kategorie „Richtlinie“

Diese Kategorie enthält Datensätze aller Aktionsvorgänge für Auswirkungen, die von Azure Policy ausgeführt werden. Beispiele für Ereignistypen, die in dieser Kategorie angezeigt werden, sind Audit und Deny. Jede Aktion, die von Policy ausgeführt wird, ist als ein Vorgang für eine Ressource modelliert.

Beispiel eines Richtlinienereignisses

{
    "authorization": {
        "action": "Microsoft.Resources/checkPolicyCompliance/read",
        "scope": "/subscriptions/<subscriptionID>"
    },
    "caller": "33a68b9d-63ce-484c-a97e-94aef4c89648",
    "channels": "Operation",
    "claims": {
        "aud": "https://management.azure.com/",
        "iss": "https://sts.windows.net/1114444b-7467-4144-a616-e3a5d63e147b/",
        "iat": "1234567890",
        "nbf": "1234567890",
        "exp": "1234567890",
        "aio": "A3GgTJdwK4vy7Fa7l6DgJC2mI0GX44tML385OpU1Q+z+jaPnFMwB",
        "appid": "1d78a85d-813d-46f0-b496-dd72f50a3ec0",
        "appidacr": "2",
        "http://schemas.microsoft.com/identity/claims/identityprovider": "https://sts.windows.net/1114444b-7467-4144-a616-e3a5d63e147b/",
        "http://schemas.microsoft.com/identity/claims/objectidentifier": "f409edeb-4d29-44b5-9763-ee9348ad91bb",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "b-24Jf94A3FH2sHWVIFqO3-RSJEiv24Jnif3gj7s",
        "http://schemas.microsoft.com/identity/claims/tenantid": "1114444b-7467-4144-a616-e3a5d63e147b",
        "uti": "IdP3SUJGtkGlt7dDQVRPAA",
        "ver": "1.0"
    },
    "correlationId": "b5768deb-836b-41cc-803e-3f4de2f9e40b",
    "description": "",
    "eventDataId": "d0d36f97-b29c-4cd9-9d3d-ea2b92af3e9d",
    "eventName": {
        "value": "EndRequest",
        "localizedValue": "End request"
    },
    "category": {
        "value": "Policy",
        "localizedValue": "Policy"
    },
    "eventTimestamp": "2019-01-15T13:19:56.1227642Z",
    "id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Sql/servers/contososqlpolicy/events/13bbf75f-36d5-4e66-b693-725267ff21ce/ticks/636831551961227642",
    "level": "Warning",
    "operationId": "04e575f8-48d0-4c43-a8b3-78c4eb01d287",
    "operationName": {
        "value": "Microsoft.Authorization/policies/audit/action",
        "localizedValue": "Microsoft.Authorization/policies/audit/action"
    },
    "resourceGroupName": "myResourceGroup",
    "resourceProviderName": {
        "value": "Microsoft.Sql",
        "localizedValue": "Microsoft SQL"
    },
    "resourceType": {
        "value": "Microsoft.Resources/checkPolicyCompliance",
        "localizedValue": "Microsoft.Resources/checkPolicyCompliance"
    },
    "resourceId": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Sql/servers/contososqlpolicy",
    "status": {
        "value": "Succeeded",
        "localizedValue": "Succeeded"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2019-01-15T13:20:17.1077672Z",
    "subscriptionId": "<subscriptionID>",
    "properties": {
        "isComplianceCheck": "True",
        "resourceLocation": "westus2",
        "ancestors": "72f988bf-86f1-41af-91ab-2d7cd011db47",
        "policies": "[{\"policyDefinitionId\":\"/subscriptions/<subscriptionID>/providers/Microsoft.
            Authorization/policyDefinitions/5775cdd5-d3d3-47bf-bc55-bb8b61746506/\",\"policyDefiniti
            onName\":\"5775cdd5-d3d3-47bf-bc55-bb8b61746506\",\"policyDefinitionEffect\":\"Deny\",\"
            policyAssignmentId\":\"/subscriptions/<subscriptionID>/providers/Microsoft.Authorization
            /policyAssignments/991a69402a6c484cb0f9b673/\",\"policyAssignmentName\":\"991a69402a6c48
            4cb0f9b673\",\"policyAssignmentScope\":\"/subscriptions/<subscriptionID>\",\"policyAssig
            nmentParameters\":{}}]"
    },
    "relatedEvents": []
}

Beschreibungen der Richtlinienereigniseigenschaften

Elementname	BESCHREIBUNG
authorization	Array von Azure RBAC-Eigenschaften des Ereignisses. Bei neuen Ressourcen ist dies die Aktion und der Bereich der Anforderung, die eine Auswertung ausgelöst hat. Bei vorhandenen Ressourcen lautet die Aktion „Microsoft.Resources/checkPolicyCompliance/read“.
caller	Bei neuen Ressourcen ist dies die Identität, die eine Bereitstellung initiiert hat. Bei vorhandenen Ressourcen ist dies die GUID des Microsoft Azure Policy Insights-Ressourcenanbieters.
channels	Richtlinienereignisse verwenden nur den Kanal „Operation“.
claims	Das JWT-Token, das von Active Directory zum Authentifizieren des Benutzers oder der Anwendung zur Ausführung dieses Vorgangs in Resource Manager verwendet wird.
correlationId	Normalerweise eine GUID im Zeichenfolgenformat. Ereignisse, die über die gleiche correlationId verfügen, gehören zu derselben übergeordneten Aktion.
description	Dieses Feld ist bei Richtlinienereignissen leer.
eventDataId	Eindeutiger Bezeichner eines Ereignisses.
eventName	Entweder „BeginRequest“ oder „EndRequest“. „BeginRequest“ wird für verzögerte Auswertungen des Typs „AuditIfNotExists“ und „DeployIfNotExists“ verwendet und wenn eine „DeployIfNotExists“-Auswirkung eine Vorlagenbereitstellung startet. Alle anderen Vorgänge geben „EndRequest“ zurück.
category	Deklariert das Aktivitätsprotokollereignis als zu „Policy“ gehörend.
eventTimestamp	Zeitstempel der Ereignisgenerierung durch den Azure-Dienst, der die zum Ereignis gehörende Anforderung verarbeitet hat.
id	Eindeutiger Bezeichner des Ereignisses auf der jeweiligen Ressource.
level	Schweregrad des Ereignisses. „Audit“ verwendet „Warning“ und „Deny“ verwendet „Error“. Ein „AuditIfNotExists“- oder „DeployIfNotExists“-Fehler kann je nach Schweregrad „Warning“ oder „Error“ generieren. Alle anderen Richtlinienereignisse verwenden „Informational“.
operationId	Eine GUID, die von den Ereignissen eines einzelnen Vorgangs gemeinsam genutzt wird.
operationName	Der Name des Vorgangs und korreliert direkt mit der Richtlinienauswirkung.
resourceGroupName	Der Name der Ressourcengruppe für die ausgewertete Ressource.
resourceProviderName	Der Name des Ressourcenanbieters für die ausgewertete Ressource.
resourceType	Bei neuen Ressourcen wird der Typ ausgewertet. Bei vorhandenen Ressourcen wird „Microsoft.Resources/checkPolicyCompliance“ zurückgegeben.
resourceId	Die Ressourcen-ID der ausgewerteten Ressource.
status	Eine Zeichenfolge, die den Status des Ergebnisses der Richtlinienauswertung beschreibt. Die meisten Richtlinienauswertungen geben „Succeeded“ zurück, doch wird bei einer „Deny“-Auswirkung „Failed“ zurückgegeben. Fehler in „AuditIfNotExists“ oder „DeployIfNotExists“ geben ebenfalls „Failed“ zurück.
subStatus	Das Feld ist bei Richtlinienereignissen leer.
submissionTimestamp	Zeitstempel des Zeitpunkts, ab dem das Ereignis für Abfragen verfügbar war.
subscriptionId	Die Azure-Abonnement-ID.
properties.isComplianceCheck	Gibt „False“ zurück, wenn eine neue Ressource bereitgestellt wird oder Resource Manager-Eigenschaften einer vorhandenen Ressource aktualisiert werden. Alle anderen Auswertungsauslöser ergeben „True“.
properties.resourceLocation	Die Azure-Region der ausgewerteten Ressource.
properties.ancestors	Eine durch Trennzeichen getrennte Liste von übergeordneten Verwaltungsgruppen in der Reihenfolge von der direkt übergeordneten Gruppe bis zur entferntesten über-übergeordneten Gruppe.
properties.policies	Enthält Details zur Richtliniendefinition, Zuweisung, Auswirkung und Parametern, deren Ergebnis diese Richtlinienauswertung ist.
relatedEvents	Dieses Feld ist bei Richtlinienereignissen leer.

Schema aus Speicherkonto und Event Hubs

Beim Streamen des Azure-Aktivitätsprotokolls an ein Speicherkonto oder Event Hub entsprechen die Daten dem Ressourcenprotokollschema. Die folgende Tabelle zeigt die Zuordnung der Eigenschaften aus den oben genannten Schemas zum Ressourcenprotokollschema.

Wichtig

Das Format der Aktivitätsprotokolldaten, die in das Speicherkonto geschrieben werden, wurde am 1. November 2018 in JSON Lines geändert. Einzelheiten zu dieser Formatumstellung finden Sie unter Vorbereiten der Formatumstellung auf Azure Monitor-Ressourcenprotokolle, die in einem Speicherkonto archiviert werden.

Eigenschaft im Ressourcenprotokollschema	Eigenschaft im REST-API-Schema des Aktivitätsprotokolls	Notizen
time	eventTimestamp
resourceId	resourceId	„subscriptionId“, „resourceType“ und „resourceGroupName“ werden alle aus der „resourceId“ abgeleitet.
operationName	operationName.value
category	Teil des Vorgangsnamens	Breakout des Vorgangstyps. "Write", "Delete" oder "Action".
resultType	status.value
resultSignature	substatus.value
resultDescription	description
durationMs	–	Immer 0
callerIpAddress	httpRequest.clientIpAddress
correlationId	correlationId
identity	Ansprüche und Autorisierungseigenschaften
Ebene	Ebene
location	–	Ort, an dem das Ereignis verarbeitet wurde. Dies ist nicht der Speicherort der Ressource, sondern der Ort, an dem das Ereignis verarbeitet wurde. Diese Eigenschaft wird in einem kommenden Update entfernt.
Eigenschaften	properties.eventProperties
properties.eventCategory	category	Wenn properties.eventCategory nicht vorhanden ist, lautet die Kategorie "Administrative"
properties.eventName	eventName
properties.operationId	operationId
properties.eventProperties	properties

Es folgt ein Beispiel für ein Ereignis mit diesem Schema:

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/123456112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "c776f9f4-36e5-4e0e-809b-c9b3c3fb62a8",
            "identity": {
               "authorization": {
                   "scope": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/rg-001/providers/Microsoft.Storage/storageAccounts/       msftstorageaccount",
                   "action": "Microsoft.Storage/storageAccounts/listAccountSas/action",
                   "evidence": {
                       "role": "Azure Eventhubs Service Role",
                       "roleAssignmentScope": "/subscriptions/00000000-0000-0000-0000-000000000000",
                       "roleAssignmentId": "123abc2a6c314b0ab03a891259123abc",
                       "roleDefinitionId": "123456789de042a6a64b29b123456789",
                       "principalId": "abcdef038c6444c18f1c31311fabcdef",
                       "principalType": "ServicePrincipal"
                   }
               },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/abcde123-86f1-41af-91ab-abcde1234567/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "00000000-0000-0000-0000-000000000000",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "123abc45-8211-44e3-95xq-85137af64708",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "20030000801A118C",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9876543210DKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "12345678-cacfe77c-e058-4712-83qw-f9b08849fd60,12345678-4c41-4b23-99d2-d32ce7aa621c,12345678-0578-4ea0-9gdc-e66cc564d18c",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "12345678-3bq0-49c1-b47d-974e53cbdf3c",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "12345678-8ca0-47ad-9b80-6cde2207f97c"
            }
        }
    ]
}

Ereignisschema des Azure-Aktivitätsprotokolls

Schweregrad

Kategorien

Kategorie „Verwaltung“

Beispielereignis

Beschreibungen der Eigenschaften

Kategorie „Dienstintegrität“

Beispielereignis

Kategorie „Ressourcenintegrität“

Beispielereignis

Beschreibungen der Eigenschaften

Kategorie „Warnung“

Beispielereignis

Beschreibungen der Eigenschaften

Feld „properties“ pro Warnungstyp

Eigenschaften für Aktivitätsprotokollwarnungen

Eigenschaften für Metrikwarnungen

Kategorie „Autoskalierung“

Beispielereignis

Beschreibungen der Eigenschaften

Kategorie „Sicherheit“

Beispielereignis

Beschreibungen der Eigenschaften

Kategorie „Empfehlung“

Beispielereignis

Beschreibungen der Eigenschaften

Kategorie „Richtlinie“

Beispiel eines Richtlinienereignisses

Beschreibungen der Richtlinienereigniseigenschaften

Schema aus Speicherkonto und Event Hubs

Nächste Schritte

Zusätzliche Ressourcen