Bagikan melalui

Log aktivitas di Azure Monitor

Log aktivitas Azure Monitor merekam operasi manajemen pada sumber daya Azure Anda. Misalnya, mereka merekam operasi seperti membuat mesin virtual, mengubah kebijakan akses key vault, atau kesalahan penggelaran Resource Manager. Operasi manajemen ini juga disebut operasi sarana kontrol . Gunakan log aktivitas untuk meninjau atau mengaudit informasi ini, atau membuat pemberitahuan untuk diberi tahu secara proaktif saat peristiwa terjadi.

Petunjuk / Saran

Jika Anda diarahkan ke artikel ini karena kesalahan saat operasi penyebaran, lihat Mengatasi kesalahan umum penyebaran Azure.

Catatan log aktivitas

Azure Monitor mengumpulkan entri log aktivitas secara default tanpa konfigurasi yang diperlukan. Sistem menghasilkan entri ini, dan Anda tidak dapat mengubah atau menghapusnya. Entri biasanya dihasilkan dari perubahan (buat, perbarui, hapus operasi) atau tindakan yang dimulai. Log aktivitas biasanya tidak menangkap operasi baca. Entri log aktivitas biasanya tersedia untuk analisis dan pemberitahuan dalam waktu 3 hingga 20 menit setelah peristiwa terjadi. Untuk deskripsi kategori log aktivitas, lihat skema peristiwa log aktivitas Azure.

Nota

Log sumber daya Azure menangkap operasi lapisan data yang dilakukan pada sumber daya. Misalnya, operasi ini termasuk mendapatkan rahasia dari brankas kunci atau membuat permintaan ke database. Log sumber daya tidak dikumpulkan secara default dan memerlukan pengaturan diagnostik.

Jangka waktu retensi

Azure mempertahankan peristiwa log aktivitas selama 90 hari lalu menghapusnya. Anda tidak dikenakan biaya untuk entri selama waktu ini, terlepas dari volumenya. Untuk fungsionalitas lainnya, seperti retensi yang lebih lama, buat pengaturan diagnostik dan rutekan entri ke lokasi lain berdasarkan kebutuhan Anda. Salah satu alasan paling umum untuk memperpanjang periode retensi adalah untuk mempertahankan informasi pembuat sumber daya, yang hanya tersedia di log aktivitas.

Tinjau dan ambil log aktivitas

Anda dapat mengakses log aktivitas dari sebagian besar menu di portal Azure. Menu tempat Anda membukanya menentukan filter awalnya. Jika Anda membukanya dari menu Monitor , satu-satunya filter ada di langganan. Jika Anda membukanya dari menu sumber daya, filter diatur ke sumber daya tersebut. Anda selalu bisa mengubah filter untuk melihat semua entri lainnya. Pilih Tambahkan Filter untuk menambahkan properti tambahan ke filter tersebut.

Cuplikan layar yang memperlihatkan log aktivitas.

Anda juga dapat mengakses kejadian log aktivitas dengan menggunakan metode berikut:

Mengambil peristiwa log aktivitas dengan menggunakan REST API

Gunakan REST API Log Aktivitas untuk mengkueri peristiwa log aktivitas secara terprogram. Sertakan $filter parameter , dan harus berisi setidaknya eventTimestamp nilai awal. Secara default, log aktivitas mempertahankan peristiwa selama 90 hari. Pastikan mulai dan akhir rentang waktu Anda termasuk dalam jendela 90 hari tersebut kecuali Anda mengonfigurasi periode retensi yang lebih lama.

Pola yang didukung $filter Rincian
langganan default dengan rentang waktu $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'
grup sumber daya $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceGroupName eq '{resourceGroupName}'
sumber daya tertentu $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceUri eq '{resourceURI}'
penyedia sumber $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceProvider eq '{resourceProviderName}'
ID korelasi $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and correlationId eq '{correlationID}'

Menggunakan $filter untuk mencantumkan peristiwa log aktivitas untuk grup sumber daya

Tambahkan resourceGroupName ke filter untuk membatasi hasil ke grup sumber daya tertentu.

az rest --method get \
  --uri "/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '2026-02-01T00:00:00Z' and eventTimestamp le '2026-02-28T23:59:59Z' and resourceGroupName eq '{resourceGroupName}'"

Mengembalikan properti log aktivitas tertentu

$select Gunakan parameter untuk mengembalikan hanya properti yang ditentukan, yang mengurangi ukuran payload respons. Nilainya adalah daftar nama properti yang dipisahkan koma. Untuk informasi selengkapnya, lihat Deskripsi properti skema log aktivitas.

Azure CLI dapat menghitung rentang waktu secara dinamis, sehingga contoh menunjukkan jendela 30 hari dari tanggal saat ini.

startDate=$(date -u -d '30 days ago' '+%Y-%m-%dT00:00:00Z')
endDate=$(date -u '+%Y-%m-%dT23:59:59Z')

az rest --method get \
  --uri "/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '$startDate' and eventTimestamp le '$endDate'&\$select=eventName,operationName,status,eventTimestamp,correlationId,submissionTimestamp,level"

Mencantumkan peristiwa log aktivitas untuk langganan

Peristiwa pada tingkat langganan menangkap peristiwa yang dibuat langsung oleh penyedia sumber daya. Tingkat penyewa dan peristiwa tingkat grup manajemen hanya menangkap peristiwa Azure Resource Manager dalam hierarki tersebut.

Contoh berikut menunjukkan cara mengambil log aktivitas untuk langganan dalam rentang waktu tertentu. Azure CLI dapat menghitung rentang waktu secara dinamis, sehingga contoh menunjukkan jendela 14 hari dari tanggal saat ini.

Untuk mencantumkan peristiwa log aktivitas, gunakan perintah az rest Azure CLI untuk memanggil REST API Azure Resource Manager:

startDate=$(date -u -d '14 days ago' '+%Y-%m-%dT00:00:00Z')
endDate=$(date -u '+%Y-%m-%dT23:59:59Z')

az rest --method get \
  --uri "/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '$startDate' and eventTimestamp le '$endDate'"

Mencantumkan peristiwa log aktivitas tingkat penyewa

Log aktivitas tingkat penyewa biasanya memiliki entri terbatas tetapi mungkin menyertakan peristiwa penting seperti grup manajemen atau pembuatan langganan. Peristiwa ini terpisah dari log aktivitas tingkat langganan, tetapi mungkin berisi peristiwa manajemen sumber daya duplikat. Gunakan REST API Log Aktivitas Penyewa untuk mengambil peristiwa tingkat penyewa.

Untuk mencantumkan peristiwa log aktivitas tingkat penyewa, gunakan perintah az rest Azure CLI:

az rest --method get \
  --uri "/providers/Microsoft.Insights/eventtypes/management/values?api-version=2015-04-01&\$filter=eventTimestamp ge '2026-01-15T00:00:00Z' and eventTimestamp le '2026-03-29T23:59:59Z'"

Daftar peristiwa log aktivitas pada tingkat grup manajemen

Catatan aktivitas tingkat grup manajemen menangkap peristiwa yang ditujukan untuk grup manajemen tertentu, seperti penetapan kebijakan dan perubahan keanggotaan grup manajemen.

Untuk mencantumkan peristiwa log aktivitas tingkat grup manajemen, gunakan perintah az rest Azure CLI:

az rest --method get \
  --uri "/providers/Microsoft.Management/managementGroups/{managementGroupId}/providers/Microsoft.Insights/eventtypes/management/values?api-version=2017-03-01-preview&\$filter=eventTimestamp ge '2026-03-01T00:00:00Z' and eventTimestamp le '2026-03-29T23:59:59Z'"

Tabel berikut menjelaskan parameter yang digunakan dalam contoh sebelumnya.

Parameter Deskripsi
{subscriptionId} ID langganan Azure.
{resourceGroupName} Nama grup sumber daya.
{managementGroupId} ID grup manajemen.
eventTimestamp ge / le Awal dan akhir rentang waktu dalam format ISO 8601. Tanggal mulai tidak boleh melebihi 90 hari dari tanggal saat ini kecuali retensi dikonfigurasi untuk periode yang lebih lama.

Melihat riwayat perubahan

Untuk beberapa kejadian, Anda dapat melihat riwayat perubahan, yang menampilkan perubahan yang terjadi selama waktu kejadian tersebut. Pilih peristiwa dari log aktivitas yang ingin Anda lihat lebih dalam. Pilih tab Ubah riwayat untuk melihat perubahan apa pun pada sumber daya hingga 30 menit sebelum dan sesudah waktu operasi.

Cuplikan layar yang memperlihatkan daftar Ubah riwayat untuk peristiwa.

Jika ada perubahan yang terkait dengan peristiwa, portal menunjukkan daftar perubahan yang dapat dipilih. Memilih perubahan akan membuka halaman Ubah riwayat . Halaman ini menampilkan perubahan pada sumber daya.

Contoh berikut menunjukkan bahwa VM mengubah ukuran. Halaman menampilkan ukuran VM sebelum perubahan dan setelah perubahan. Untuk mempelajari selengkapnya tentang riwayat perubahan, lihat Mendapatkan perubahan sumber daya.

Cuplikan layar yang memperlihatkan halaman Ubah riwayat memperlihatkan perbedaan.

Wawasan catatan aktivitas

Analisis log aktivitas adalah buku kerja yang menyediakan dasbor untuk memantau perubahan pada sumber daya dan grup sumber daya dalam langganan. Dasbor juga menyajikan data tentang pengguna atau layanan mana yang melakukan aktivitas dalam langganan dan status aktivitas.

Untuk mengaktifkan insight log aktivitas, ekspor log aktivitas ke ruang kerja Log Analytics seperti yang dijelaskan dalam Export activity log. Proses ini mengirimkan peristiwa ke AzureActivity tabel, yang digunakan wawasan log aktivitas.

Cuplikan layar yang memperlihatkan dasbor wawasan log aktivitas.

Anda dapat membuka wawasan log aktivitas di tingkat langganan atau sumber daya. Untuk langganan, pilih Wawasan Log Aktivitas dari bagian Buku Kerja di menu Monitor.

Cuplikan layar yang memperlihatkan cara menemukan dan membuka buku kerja Activity Logs Insights pada tingkat skala.

Untuk sumber daya individual, pilih Activity Logs Insights dari bagian Buku Kerja dari menu sumber daya.

Cuplikan layar yang memperlihatkan cara menemukan dan membuka buku kerja Log Aktivitas Insights pada tingkat sumber daya.

Mengekspor log aktivitas

Buat pengaturan diagnostik untuk mengirim entri log aktivitas ke tujuan lain untuk waktu retensi dan fungsionalitas tambahan.

Diagram memperlihatkan kumpulan log aktivitas, log sumber daya, dan metrik platform.

Di portal Azure, pilih Log Aktivitas pada menu Azure Monitor lalu pilih Ekspor Log Aktivitas. Untuk informasi selengkapnya dan metode lain untuk membuat pengaturan diagnostik, lihat Pengaturan diagnostik di Azure Monitor. Pastikan Anda menonaktifkan konfigurasi warisan apa pun untuk log aktivitas.

Screenshot yang memperlihatkan menu Azure Monitor dengan log Aktivitas dipilih dan Ekspor log aktivitas disorot di bilah menu log Monitor-Activity.

Bagian berikut memberikan detail tentang setiap tujuan yang dapat dikonfigurasi untuk log sumber daya.

Nota

Metode warisan untuk mengekspor log aktivitas adalah profil log. Lihat Metode pengumpulan warisan.

Kirim log aktivitas ke ruang kerja Log Analytics untuk fungsionalitas berikut:

Tidak ada biaya penyerapan data untuk log aktivitas. Biaya retensi untuk log aktivitas hanya berlaku untuk periode yang diperpanjang melewati periode retensi default 90 hari. Anda dapat meningkatkan periode retensi hingga 12 tahun.

Data log aktivitas di ruang kerja Log Analytics disimpan dalam tabel yang disebut AzureActivity. Struktur tabel ini bervariasi tergantung pada kategori entri log.

Misalnya, untuk menampilkan hitungan rekaman log aktivitas untuk setiap kategori, gunakan kueri berikut:

AzureActivity
| summarize count() by CategoryValue

Untuk mengambil semua rekaman dalam kategori administratif, gunakan kueri berikut ini:

AzureActivity
| where CategoryValue == "Administrative"

Penting

Dalam beberapa skenario, nilai di bidang AzureActivity mungkin memiliki kasus yang berbeda dari nilai yang setara. Saat mengkueri data di AzureActivity, gunakan operator yang tidak peka huruf besar/kecil untuk perbandingan string, atau gunakan fungsi skalar untuk memaksa bidang ke casing seragam sebelum perbandingan apa pun. Misalnya, gunakan tolower() fungsi pada bidang untuk memaksanya selalu menjadi huruf kecil atau gunakan operator =~ saat melakukan perbandingan string.

Mengekspor log aktivitas dari grup manajemen

Saat Anda membuat log pengaturan diagnostik untuk grup manajemen, log tersebut mengekspor peristiwa apa pun untuk grup manajemen tersebut selain semua grup manajemen di bawahnya dalam hierarki. Jika beberapa grup manajemen dalam hierarki memiliki pengaturan diagnostik, Anda menerima peristiwa duplikat. Anda hanya memerlukan pengaturan diagnostik pada grup pengelolaan tingkat tertinggi untuk merekam semua peristiwa dalam hierarki.

Grup manajemen juga mengumpulkan banyak peristiwa yang sama dengan langganan apa pun di bawahnya. Jika grup langganan dan manajemen keduanya memiliki pengaturan diagnostik, Anda menerima peristiwa duplikat. Azure Resource Manager menyertakan properti hierarki saat menulis peristiwa, tetapi bukan bidang yang diperlukan. Penyedia sumber daya di luar Azure Resource Manager tidak memuatnya, sehingga peristiwa mereka tidak diteruskan dalam hierarki. Karena itu, mendapatkan peristiwa duplikat lebih baik daripada peristiwa yang hilang.

Misalnya, jika Anda memiliki MG1 yang mencakup MG2 yang juga mencakup Subscription1, maka pengaturan diagnostik pada MG1 akan menangkap semua peristiwa log aktivitas untuk MG1 dan MG2, serta banyak peristiwa yang juga dikumpulkan oleh pengaturan diagnostik pada Subscription1. Dalam hal ini, tidak ada pengaturan diagnostik yang diperlukan pada MG2 karena hanya akan mengumpulkan peristiwa duplikat.

Jika Anda memiliki event duplikat, gabungkan dengan kueri yang memanfaatkan hash dari semua bidang untuk mengidentifikasi entri unik. Contoh kueri Kusto berikut menunjukkan sampel untuk log yang dikumpulkan di ruang kerja Log Analytics:

AzureActivity
| extend Hash = hash(dynamic_to_json(pack_all()))
| summarize arg_max(TimeGenerated, *) by Hash

Mengekspor log aktivitas ke CSV

Pilih Unduh sebagai CSV untuk mengekspor log aktivitas ke file CSV di portal Microsoft Azure.

Cuplikan layar yang memperlihatkan tombol Unduh sebagai CSV di log aktivitas portal Microsoft Azure.

Penting

Mengekspor sejumlah besar entri log dapat memakan waktu lama. Untuk meningkatkan performa, kurangi rentang waktu ekspor. Di portal Microsoft Azure, atur pengaturan Rentang Waktu .

Anda juga dapat mengekspor log aktivitas ke file CSV dengan menggunakan PowerShell atau Azure CLI, seperti yang ditunjukkan dalam contoh berikut.

az monitor activity-log list --start-time "2024-03-01T00:00:00Z" --end-time "2024-03-15T23:59:59Z" --max-items 1000 > activitylog.json

Contoh skrip PowerShell berikut mengekspor log aktivitas ke file CSV dalam interval satu jam, masing-masing disimpan ke file terpisah.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."

Mengidentifikasi pembuatan sumber daya

Gunakan log aktivitas untuk mengetahui kapan sistem membuat sumber daya dan siapa yang membuatnya. Log aktivitas adalah satu-satunya tempat untuk menyimpan informasi tentang pembuat sumber daya. Karena log aktivitas hanya menyimpan data selama 90 hari secara default, Anda harus mengekspor log ke lokasi yang memungkinkan Anda memperpanjang periode retensi, seperti ruang kerja Analitik Log. Kemudian temukan pembuat sumber daya dengan mengkueri AzureActivity tabel. Data disimpan selama durasi yang Anda tentukan dalam periode retensi untuk tabel ini.

Konten terkait

  • Last updated on