Azure Monitor アクティビティログ

[アーティクル]
03/16/2023

Azure Monitor アクティビティログは、Azure のプラットフォームログであり、サブスクリプションレベルのイベントの分析情報を提供します。このアクティビティログには、リソースが変更されたときや仮想マシンが起動されたときなどの情報が含まれます。 Azure portal でアクティビティログを表示したり、PowerShell と Azure CLI を使用してエントリを取得したりすることができます。この記事では、アクティビティログを表示して、さまざまな宛先に送信する方法について説明します。

その他の機能については、次の理由により、これらの場所の 1 つまたは複数にアクティビティログを送信するための診断設定を作成してください。

より複雑なクエリやアラートを作成したり、データ保持期間を延長 (最長 2 年) したりするために、Azure Monitor ログに送信するため。
Azure の外部に転送するために、Azure Event Hubs に送信するため。
より価格を抑えて、長期的なアーカイブのために、Azure Storage に送信するため。

診断設定の作成方法の詳細については、「プラットフォームログとメトリックを異なる宛先に送信するための診断設定を作成する」を参照してください。

Note

アクティビティログのエントリはシステムによって生成されるため、変更または削除することはできません。
アクティビティログのエントリは、仮想マシンの再起動などのコントロールプレーンの変更を表しており、関連のないエントリは Azure リソースログに書き込まれる必要があります

保持期間

アクティビティログイベントは、Azure で 90 日間保持された後、削除されます。ボリュームに関係なく、この期間中のエントリに対して料金は発生しません。保持期間の延長など、より多くの機能を使用するには、診断設定を作成し、必要に応じてエントリを別の場所にルーティングします。条件については、前のセクションを参照してください。

アクティビティログを表示する

アクティビティログには、Azure portal のほとんどのメニューからアクセスできます。開くメニューによって、最初のフィルターが決まります。 [モニター] メニューから開くと、そのサブスクリプションに対するフィルターだけになります。リソースのメニューから開くと、フィルターはそのリソースに対して設定されます。いつでもフィルターを変更して、他のすべてのエントリを表示できます。フィルターにプロパティを追加するには、[フィルターの追加] を選択します。

アクティビティログを示すスクリーンショット。

アクティビティログのカテゴリの説明については、「Azure アクティビティログのイベントスキーマ」を参照してください。

アクティビティログをダウンロードする

[CSV 形式でダウンロード] を選択し、現在のビューのイベントをダウンロードします。

アクティビティログのダウンロードを示すスクリーンショット。

変更履歴を表示する

イベントによっては、変更履歴を表示することができます。そこには、そのイベントの間に発生した変更が表示されます。アクティビティログから、詳細を確認したいイベントを選びます。 [変更履歴 (プレビュー)] タブを選択し、そのイベントに関連する変更を表示します。

イベントの変更履歴一覧を示すスクリーンショット。

イベントに関連する変更がある場合は、表示される変更のリストから選ぶことができます。変更を選ぶと、[変更履歴 (プレビュー)] ページが開きます。このページには、リソースに対する変更が表示されます。次の例では、VM のサイズが変更されていることがわかります。このページには、変更前と変更後の VM サイズが表示されます。変更履歴の詳細については、「リソースの変更の取得」を参照してください。

差異を表示する変更履歴ページを示すスクリーンショット。

アクティビティログイベントを取得する他の方法

次の方法を使用して、アクティビティログイベントにアクセスすることもできます。

PowerShell からアクティビティログを取得するには、Get-AzLog コマンドレットを使用します。「Azure Monitor PowerShell のサンプル」を参照してください。
CLI からアクティビティログエントリを取得するには、az monitor activity-log を使用します。 Azure Monitor CLI のサンプルをご覧ください。
REST クライアントからアクティビティログを取得するには、Azure Monitor REST API を使用します。

Log Analytics ワークスペースに送信する

アクティビティログを Log Analytics ワークスペースに送信して、Azure Monitor ログの機能を有効にします。この機能を使用すると、次のことができます。

アクティビティログデータを、Azure Monitor によって収集されたその他の監視データと関連付けることができます。
複数の Azure サブスクリプションおよびテナントのログエントリを 1 つの場所に統合して、まとめて分析できるようにします。
ログクエリを使用して複雑な分析を実行し、アクティビティログのエントリから詳細な分析情報を取得できます。
より複雑なアラートロジックに、アクティビティエントリでログアラートを使用できます。
アクティビティログエントリを、アクティビティログの保持期間よりも長く保存できます。
Log Analytics ワークスペースに格納されているアクティビティログデータのインジェストや保持の料金が発生ません。
Log Analytics での既定の保持期間は 90 日です。

アクティビティログを Log Analytics ワークスペースに送信するには、[アクティビティログのエクスポート] を選びます。

Azure アクティビティログのエクスポートを示すスクリーンショット。

任意の 1 つのサブスクリプションから最大 5 つのワークスペースに、アクティビティログを送信できます。

Log Analytics ワークスペースでは、アクティビティログのデータは AzureActivity という名前のテーブルに格納されます。このテーブルは、Log Analytics のログクエリで取得できます。このテーブルの構造はログエントリのカテゴリによって異なります。テーブルのプロパティの説明については、Azure Monitor データリファレンスのページを参照してください。

たとえば、各カテゴリのアクティビティログレコードの数を表示するには、次のクエリを使用します。

AzureActivity
| summarize count() by CategoryValue

管理カテゴリのすべてのレコードを取得するには、次のクエリを使用します。

AzureActivity
| where CategoryValue == "Administrative"

Azure Event Hubs に送信する

たとえば、サードパーティの SIEM や他のログ分析ソリューションなど、Azure の外部にエントリを送信するには、アクティビティログを Azure Event Hubs に送信します。イベントハブからのアクティビティログイベントは、各ペイロードにレコードを格納する records 要素で JSON 形式で使用されます。スキーマはカテゴリによって異なり、「Azure アクティビティログのイベントスキーマ」で説明されています。

次のサンプル出力データは、アクティビティログのイベントハブからのものです。

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "c776f9f4-36e5-4e0e-809b-c9b3c3fb62a8",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/72f988bf-86f1-41af-91ab-2d7cd011db47/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "00000000-0000-0000-0000-000000000000",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "2468adf0-8211-44e3-95xq-85137af64708",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "20030000801A118C",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "cacfe77c-e058-4712-83qw-f9b08849fd60,7f71d11d-4c41-4b23-99d2-d32ce7aa621c,31522864-0578-4ea0-9gdc-e66cc564d18c",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "c44b4083-3bq0-49c1-b47d-974e53cbdf3c",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "50d5cddb-8ca0-47ad-9b80-6cde2207f97c"
            }
        }
    ]
}

Azure Storage への送信

監査、静的分析、またはバックアップのためにログデータを 90 日より長く保持する場合は、アクティビティログを Azure Storage アカウントに送信します。イベントを保持する必要があるのが 90 日以内の場合は、ストレージアカウントにアーカイブを設定する必要はありません。アクティビティログのイベントは Azure プラットフォームに 90 日間保持されます。

アクティビティログを Azure に送信すると、イベントが発生するとすぐに、ストレージアカウント内にストレージコンテナーが作成されます。コンテナー内の BLOB には、次の名前付け規則が使用されます。

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

たとえば、特定の BLOB には次のような名前が付けられることがあります。

insights-logs-networksecuritygrouprulecounter/resourceId=/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/y=2020/m=06/d=08/h=18/m=00/PT1H.json

各 PT1H.json BLOB には、BLOB URL で指定されている時間に受信したログファイルからのイベントを含む JSON オブジェクトが含まれています。現在の時間内にイベントが発生すると、イベントは生成された時間に関係なく、受信されるたびに PT1H.json ファイルに追記されます。 BLOB は 1 時間ごとに作成されるため、URL の分を示す数値 (m=00) は常に 00 です。

各イベントは、次の形式で PT1H.json ファイルに保存されます。この形式は、一般的な最上位スキーマを使用しますが、それ以外については、「アクティビティログのスキーマ」で説明されているようにカテゴリごとに固有の形式となっています。

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/00000000-0000-0000-0000-000000000000/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "0f0cb6b4-804b-4129-b893-70aeeb63997e", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

従来の収集方法

注意

Azure アクティビティログソリューションは、アクティビティログを Azure Log Analytics に転送するために使用されました。このソリューションは 2026 年 9 月 15 日に廃止され、診断設定に自動的に変換されます。

従来の収集方法を使用してアクティビティログを収集する場合は、次のように、アクティビティログを Log Analytics ワークスペースにエクスポートし、Data Sources - Delete API を使用してレガシコレクションを無効にすることをお勧めします。

Data Sources - List By Workspace API を使用してワークスペースに接続されているすべてのデータソースを一覧表示し、kind eq 'AzureActivityLog' を設定してアクティビティログをフィルター処理します。
API 応答から無効にする接続の名前をコピーします。
Data Sources - Delete API を使用して、特定のリソースのアクティビティログの収集を停止します。

従来のログプロファイルの管理

ログプロファイルは、ストレージまたはイベントハブにアクティビティログを送信するための従来の方法です。この方法を使用している場合は、機能およびリソースログとの整合性がより優れている、診断設定への移行を検討してください。

PowerShell
CLI

ログプロファイルが既に存在する場合は、最初に既存のログプロファイルを削除してから、新しいものを作成する必要があります。

Get-AzLogProfile を使用して、ログプロファイルが存在するかどうかを確認します。ログプロファイルが存在する場合は、Name プロパティをメモします。
Name プロパティの値を使用してログプロファイルを削除するには、Remove-AzLogProfile を使用します。
```
# For example, if the log profile name is 'default'
Remove-AzLogProfile -Name "default"
```

Add-AzLogProfile を使用して、新しいログプロファイルを作成します。

Add-AzLogProfile -Name my_log_profile -StorageAccountId /subscriptions/s1/resourceGroups/myrg1/providers/Microsoft.Storage/storageAccounts/my_storage -serviceBusRuleId /subscriptions/s1/resourceGroups/Default-ServiceBus-EastUS/providers/Microsoft.ServiceBus/namespaces/mytestSB/authorizationrules/RootManageSharedAccessKey -Location global,westus,eastus -RetentionInDays 90 -Category Write,Delete,Action

プロパティ	必須	説明
名前	はい	ログプロファイルの名前。
StorageAccountId	いいえ	アクティビティログの保存先となるストレージアカウントのリソース ID。
serviceBusRuleId	いいえ	イベントハブを作成する Service Bus 名前空間の Service Bus 規則 ID。この文字列の形式は `{service bus resource ID}/authorizationrules/{key name}` になります。
Location	はい	アクティビティログイベントを収集するリージョンのコンマ区切りリスト。
RetentionInDays	はい	ストレージアカウントにイベントを保持する日数 (1 - 365 の範囲)。値が 0 の場合、ログは無期限に保存されます。
カテゴリ	いいえ	収集するイベントカテゴリのコンマ区切りリスト。指定できる値は、Write、Delete、Action です。

サンプルスクリプト

このサンプル PowerShell スクリプトは、ストレージアカウントとイベントハブの両方にアクティビティログを書き込むログプロファイルを作成します。

# Settings needed for the new log profile
$logProfileName = "default"
$locations = (Get-AzLocation).Location
$locations += "global"
$subscriptionId = "<your Azure subscription Id>"
$resourceGroupName = "<resource group name your Event Hub belongs to>"
$eventHubNamespace = "<Event Hub namespace>"

# Build the service bus rule Id from the settings above
$serviceBusRuleId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.EventHub/namespaces/$eventHubNamespace/authorizationrules/RootManageSharedAccessKey"

# Build the Storage Account Id from the settings above
$storageAccountId = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

Add-AzLogProfile -Name $logProfileName -Location $locations -StorageAccountId  $storageAccountId -ServiceBusRuleId $serviceBusRuleId

ログプロファイルが既に存在する場合は、最初に既存のログプロファイルを削除してから、ログファイルを作成する必要があります。

az monitor log-profiles list を使用して、ログプロファイルが存在するかどうかを確認します。
name プロパティの値を使用してログプロファイルを削除するには、az monitor log-profiles delete --name "<log profile name> を使用します。

az monitor log-profiles create を使用して、ログプロファイルを作成します。

az monitor log-profiles create --name "default" --location null --locations "global" "eastus" "westus" --categories "Delete" "Write" "Action"  --enabled false --days 0 --service-bus-rule-id "/subscriptions/<YOUR SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventHub/namespaces/<Event Hub NAME SPACE>/authorizationrules/RootManageSharedAccessKey"

プロパティ	必須	説明
name	はい	ログプロファイルの名前。
storage-account-id	はい	アクティビティログの保存先となるストレージアカウントのリソース ID。
locations	はい	アクティビティログイベントを収集するリージョンのスペース区切りリスト。 `az account list-locations --query [].name` を使って、サブスクリプションのすべてのリージョンのリストを表示します。
days	はい	イベントを保持する日数 (1 ～ 365 の範囲)。値が 0 の場合、ログは無期限に (いつまでも) 保存されます。 0 の場合は、enabled パラメーターを False に設定する必要があります。
enabled	はい	True または False。アイテム保持ポリシーを有効または無効にするために使います。 True の場合は、`days` パラメーターを 0 より大きい値にする必要があります。
categories	はい	収集するイベントカテゴリのスペース区切りリスト。指定できる値は、Write、Delete、Action です。

データ構造の変更

アクティビティログのエクスポート操作では、従来のアクティビティログ送信方法と同じデータが送信されますが、AzureActivity テーブルの構造が若干変更されています。

次の表の列は、更新されたスキーマで非推奨とされています。これらは、AzureActivity にまだ存在しますが、データを持ちません。これらの列の代わりになる列は新しいものではありませんが、非推奨の列と同じデータが格納されています。それらは形式が異なるため、それらを使用するログクエリの変更が必要になる場合があります。

アクティビティログ JSON	Log Analytics の列名 (以前は非推奨)	新しい Log Analytics の列名	メモ
category	カテゴリ	CategoryValue
status 値は success、start、accept、failure	ActivityStatus JSON と同じ値	ActivityStatusValue 値が succeeded、started、accepted、failed に変わる	有効な値は左記のように変更されます。
subStatus	ActivitySubstatus	ActivitySubstatusValue
operationName	OperationName	OperationNameValue	REST API は操作名の値をローカライズします。 Log Analytics UI には常に英語が表示されます。
resourceProviderName	ResourceProvider	ResourceProviderValue

重要

場合によっては、これらの列の値がすべて大文字になることがあります。これらの列を含むクエリがある場合は、=~ 演算子を使用して、大文字と小文字を区別しない比較を実行します。

更新されたスキーマの AzureActivity には、次の列が追加されています。

Authorization_d
Claims_d
Properties_d

次のステップ

各項目の詳細情報

Azure Monitor アクティビティログ

保持期間

アクティビティログを表示する

アクティビティログをダウンロードする

変更履歴を表示する

アクティビティログイベントを取得する他の方法

Log Analytics ワークスペースに送信する

Azure Event Hubs に送信する

Azure Storage への送信

従来の収集方法

従来のログプロファイルの管理

データ構造の変更

次のステップ

その他のリソース

その他のリソース

Azure Monitor アクティビティ ログ

保持期間

アクティビティ ログを表示する

アクティビティ ログをダウンロードする

変更履歴を表示する

アクティビティ ログ イベントを取得する他の方法

Log Analytics ワークスペースに送信する

Azure Event Hubs に送信する

Azure Storage への送信

従来の収集方法

従来のログ プロファイルの管理

データ構造の変更

次のステップ

その他のリソース

その他のリソース

Azure Monitor アクティビティログ

アクティビティログを表示する

アクティビティログをダウンロードする

アクティビティログイベントを取得する他の方法

従来のログプロファイルの管理