次の方法で共有

Azure アクティビティ ログのイベント スキーマ

  • [アーティクル]

Azure アクティビティ ログは、Azure で発生したすべてのサブスクリプション レベルのイベントに関する分析情報を提供します。 この記事では、アクティビティ ログのカテゴリとそれぞれのスキーマについて説明します。

スキーマは、ログへのアクセス方法によって異なります。

  • この記事で説明するスキーマは、REST API からアクティビティ ログにアクセスするときに使用します。 スキーマは、Azure portal でイベントを表示するときに JSON オプションを選択した場合にも使用されます。
  • 診断設定を使用して Azure Storage または Azure Event Hubs にアクティビティ ログを送信する場合は、スキーマについて最後の「ストレージ アカウントとイベント ハブからのスキーマ」セクションを参照してください。
  • 診断設定を使用して Log Analytics ワークスペースにアクティビティ ログを送信する場合は、スキーマについて Azure Monitor データ参照を参照してください。

重症度

アクティビティ ログの各エントリには、重大度レベルが指定されています。 重大度レベルには、次の値のいずれかが指定されています。

深刻さ 説明
危うい システム管理者による早急な対処を必要とするイベント。 アプリケーションまたはシステムが応答に失敗または停止したことを示している可能性があります。
エラー 問題を示すが、すぐに注意する必要がないイベント。
警告 実際のエラーではなく潜在的な問題を事前に警告するイベント。 リソースが理想的な状態ではなく、後でエラーや重大なイベントが表示される可能性があることを示します。
情報または情報 重大ではない情報を管理者に渡すイベント。 注意事項 ("参考") と同様のものです。

各リソース プロバイダーの開発者が、リソース エントリの重大度レベルを選択します。 このため、ユーザーにとっての実際の重要度は、アプリケーションのビルド方法によって異なります。 たとえば、分離して特定のリソースに対して "重要" な項目は、Azure アプリケーションの中心となるリソースの種類の "エラー" ほど重要でない場合があります。 アラートを発生させるイベントを決定するときは、必ずこの点を考慮してください。

カテゴリ

アクティビティ ログの各イベントには、次の表に示す特定のカテゴリがあります。 ポータル、PowerShell、CLI、および REST API からアクティビティ ログにアクセスする場合は、各カテゴリとそのスキーマの詳細について、以下のセクションを参照してください。 アクティビティ ログをストレージまたはイベント ハブにストリームする場合、スキーマは異なります。 リソース ログ スキーマへのプロパティのマッピングについては、この記事の最後のセクションで紹介します。

カテゴリ 説明
管理 Resource Manager で実行されるすべての作成、更新、削除、アクション操作のレコードが含まれます。 管理イベントの例としては、仮想マシンの作成、ネットワーク セキュリティ グループの削除 があります。

Resource Manager を使用してユーザーまたはアプリケーションが実行するすべてのアクションは、特定のリソースの種類に対する操作としてモデル化されています。 操作の種類が 書き込み、削除、または アクション の場合、その操作の開始のレコードと成功または失敗のレコードは、いずれも管理カテゴリに記録されます。 管理イベントには、サブスクリプション内の Azure ロールベースのアクセス制御に対する任意の変更も含まれています。
サービス正常性 Azure で発生したすべてのサービス正常性インシデントのレコードが含まれます。 サービス正常性イベントの例としては、"SQL Azure in East US is experiencing downtime" (米国東部の SQL Azure でダウンタイムが発生しています) があります。

Service Health のイベントは 6 種類に分かれます。"要対応"、"支援復旧"、"インシデント"、"メンテナンス"、"情報"、または "セキュリティ"。 これらのイベントは、サブスクリプション内にイベントの影響を受けたリソースがある場合にのみ作成されます。
リソースの健全性 Azure リソースに対して発生したすべてのリソース正常性イベントのレコードが含まれます。 リソース正常性イベントの例としては、"Virtual Machine health status changed to unavailable" (仮想マシンの正常性状態が使用不可に変更されました) があります。

リソース正常性イベントは、次の 4 つの正常性状態のいずれかを示す可能性があります。"使用可能"、"使用不可"、"デグレード"、および "不明"。 さらに、リソース正常性イベントは、"Platform Initiated" (プラットフォーム開始) または "User Initiated" (ユーザー開始) のいずれかのカテゴリに分けることができます。
アラート Azure アラートのアクティブ化のレコードが含まれます。 アラート イベントの例として、過去 5 分間、myVM の 80 を超える CPU % が。
自動スケーリング サブスクリプションで定義した自動スケール設定に基づいて、自動スケール エンジンの操作に関連するすべてのイベントのレコードが含まれます。 自動スケーリングの例としては、"Autoscale scale up action failed" (自動スケーリングのスケールアップ アクションが失敗しました) があります。
推奨 Azure Advisor からの推奨イベントが含まれます。
セキュリティ Microsoft Defender for Cloud によって生成されたアラートのレコードが含まれます。 セキュリティ イベントの例としては、"Suspicious double extension file executed" (疑わしい二重拡張子ファイルが実行されました) があります。
ポリシー Azure Policy によって実行されるすべての効果アクション操作のレコードが含まれます。 ポリシー イベントの例としては、"監査" と "拒否" があります。 Policy によって実行されるすべてのアクションは、リソースに対する操作としてモデル化されます。

管理カテゴリ

このカテゴリには、Resource Manager で実行されるすべての作成、更新、削除、アクション操作のレコードが含まれています。 このカテゴリに表示されるイベントの種類には、"仮想マシンの作成" や "ネットワーク セキュリティ グループの削除" などがあります。 Resource Manager を使用してユーザーまたはアプリケーションが実行するすべてのアクションは、特定のリソースの種類に対する操作としてモデル化されています。 操作の種類が書き込み、削除、またはアクションの場合、その操作の開始のレコードと成功または失敗のレコードは、いずれも管理カテゴリに記録されます。 管理カテゴリには、サブスクリプション内の Azure ロールベースのアクセス制御に対する任意の変更も含まれています。

サンプル イベント

{
    "authorization": {
        "action": "Microsoft.Network/networkSecurityGroups/write",
        "scope": "/subscriptions/<subscription ID>/resourcegroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG"
    },
    "caller": "rob@contoso.com",
    "channels": "Operation",
    "claims": {
        "aud": "https://management.core.windows.net/",
        "iss": "https://sts.windows.net/1114444b-7467-4144-a616-e3a5d63e147b/",
        "iat": "1234567890",
        "nbf": "1234567890",
        "exp": "1234567890",
        "_claim_names": "{\"groups\":\"src1\"}",
        "_claim_sources": "{\"src1\":{\"endpoint\":\"https://graph.microsoft.com/1114444b-7467-4144-a616-e3a5d63e147b/users/f409edeb-4d29-44b5-9763-ee9348ad91bb/getMemberObjects\"}}",
        "http://schemas.microsoft.com/claims/authnclassreference": "1",
        "aio": "A3GgTJdwK4vy7Fa7l6DgJC2mI0GX44tML385OpU1Q+z+jaPnFMwB",
        "http://schemas.microsoft.com/claims/authnmethodsreferences": "rsa,mfa",
        "appid": "00001111-aaaa-2222-bbbb-3333cccc4444",
        "appidacr": "2",
        "http://schemas.microsoft.com/2012/01/devicecontext/claims/identifier": "10845a4d-ffa4-4b61-a3b4-e57b9b31cdb5",
        "e_exp": "262800",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Robertson",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "Rob",
        "ipaddr": "111.111.1.111",
        "name": "Rob Robertson",
        "http://schemas.microsoft.com/identity/claims/objectidentifier": "f409edeb-4d29-44b5-9763-ee9348ad91bb",
        "onprem_sid": "S-1-5-21-4837261184-168309720-1886587427-18514304",
        "puid": "18247BBD84827C6D",
        "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "b-24Jf94A3FH2sHWVIFqO3-RSJEiv24Jnif3gj7s",
        "http://schemas.microsoft.com/identity/claims/tenantid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": "rob@contoso.com",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "rob@contoso.com",
        "uti": "IdP3SUJGtkGlt7dDQVRPAA",
        "ver": "1.0"
    },
    "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
    "eventDataId": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e",
    "eventName": {
        "value": "EndRequest",
        "localizedValue": "End request"
    },
    "category": {
        "value": "Administrative",
        "localizedValue": "Administrative"
    },
    "eventTimestamp": "2018-01-29T20:42:31.3810679Z",
    "id": "/subscriptions/<subscription ID>/resourcegroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG/events/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/ticks/636528553513810679",
    "level": "Informational",
    "operationId": "04e575f8-48d0-4c43-a8b3-78c4eb01d287",
    "operationName": {
        "value": "Microsoft.Network/networkSecurityGroups/write",
        "localizedValue": "Microsoft.Network/networkSecurityGroups/write"
    },
    "resourceGroupName": "myResourceGroup",
    "resourceProviderName": {
        "value": "Microsoft.Network",
        "localizedValue": "Microsoft.Network"
    },
    "resourceType": {
        "value": "Microsoft.Network/networkSecurityGroups",
        "localizedValue": "Microsoft.Network/networkSecurityGroups"
    },
    "resourceId": "/subscriptions/<subscription ID>/resourcegroups/myResourceGroup/providers/Microsoft.Network/networkSecurityGroups/myNSG",
    "status": {
        "value": "Succeeded",
        "localizedValue": "Succeeded"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2018-01-29T20:42:50.0724829Z",
    "subscriptionId": "<subscription ID>",
    "properties": {
        "statusCode": "Created",
        "serviceRequestId": "a4c11dbd-697e-47c5-9663-12362307157d",
        "responseBody": "",
        "requestbody": ""
    },
    "relatedEvents": []
}

プロパティの説明

要素名 説明
認可 イベントの Azure RBAC プロパティの BLOB。 通常、 action、 role 、および scope のプロパティが含まれます。
caller 操作、UPN 要求、または可用性に基づく SPN 要求を実行したユーザーの電子メール アドレス。
channels 次のいずれかの値: Admin、 Operation
claims Resource Manager でこの操作を実行するユーザーまたはアプリケーションを認証するために Active Directory によって使用される JWT トークン。
correlationId 通常は文字列形式の GUID。 correlationId を共有するイベントは、同じ uber アクションに属します。
説明 イベントを説明する静的テキスト。
eventDataId イベントの一意の識別子。
eventName 管理イベントのフレンドリ名。
カテゴリ 常に Administrative
httpRequest Http 要求を記述する BLOB。 通常は、 clientRequestId、 clientIpAddress 、 method (HTTP メソッド) が含まれます。たとえば、PUT)。
レベル イベントの重大度レベルです。
リソースグループ名 影響を受けるリソースのリソース グループの名前。
resourceProviderName 影響を受けるリソースのリソース プロバイダーの名前。
リソースタイプ 管理イベントの影響を受けるリソースの種類。
リソースID 影響を受けるリソースのリソース ID。
operationId 単一の操作に対応する複数のイベント間で共有される GUID。
操作名 操作の名前。
プロパティ イベントの詳細を示す <Key, Value> ペアのセット (辞書)。
ステータス 操作の状態を説明する文字列。 いくつかの一般的な値は次のとおりです: Started、In Progress、Succeeded、Failed、Active、Resolved。
subStatus 通常、対応する REST 呼び出しの HTTP 状態コードですが、一般的な値として OK (HTTP 状態コード: 200)、Created (HTTP Status Code: 201)、Accepted (HTTP Status Code: 202)、No Content (HTTP Status Code: 204)、Bad Request (HTTP Status Code: 400)、Not Found (HTTP Status Code: 404)、競合 (HTTP 状態コード: 409)、内部サーバー エラー (HTTP 状態コード: 500)、サービス利用不可 (HTTP 状態コード: 503)、ゲートウェイ タイムアウト (HTTP 状態コード: 504)。
eventTimestamp イベントに対応する要求を処理する Azure サービスによって、イベントが生成されたときのタイムスタンプ。
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。

サービス正常性カテゴリ

このカテゴリには、Azure で発生したすべてのサービス正常性インシデントのレコードが含まれています。 このカテゴリで表示されるイベントの種類の例として、"SQL Azure in East US is experiencing downtime" (米国東部の SQL Azure でダウンタイムが発生しています) などがあります。サービス正常性イベントには、要対応、インシデント、メンテナンス、情報、またはセキュリティという 5 種類があります。イベントの影響を受けるリソースがサブスクリプションにある場合にのみ表示されます。

サンプル イベント

{
  "channels": "Admin",
  "correlationId": "bbbb1111-cc22-3333-44dd-555555eeeeee",
  "description": "Active: Network Infrastructure - UK South",
  "eventDataId": "bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f",
  "eventName": {
      "value": null
  },
  "category": {
      "value": "ServiceHealth",
      "localizedValue": "Service Health"
  },
  "eventTimestamp": "2017-07-20T23:30:14.8022297Z",
  "id": "/subscriptions/<subscription ID>/events/bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f/ticks/636361902148022297",
  "level": "Warning",
  "operationName": {
      "value": "Microsoft.ServiceHealth/incident/action",
      "localizedValue": "Microsoft.ServiceHealth/incident/action"
  },
  "resourceProviderName": {
      "value": null
  },
  "resourceType": {
      "value": null,
      "localizedValue": ""
  },
  "resourceId": "/subscriptions/<subscription ID>",
  "status": {
      "value": "Active",
      "localizedValue": "Active"
  },
  "subStatus": {
      "value": null
  },
  "submissionTimestamp": "2017-07-20T23:30:34.7431946Z",
  "subscriptionId": "<subscription ID>",
  "properties": {
    "title": "Network Infrastructure - UK South",
    "service": "Service Fabric",
    "region": "UK South",
    "communication": "Starting at approximately 21:41 UTC on 20 Jul 2017, a subset of customers in UK South may experience degraded performance, connectivity drops or timeouts when accessing their Azure resources hosted in this region. Engineers are investigating underlying Network Infrastructure issues in this region. Impacted services may include, but are not limited to App Services, Automation, Service Bus, Log Analytics, Key Vault, SQL Database, Service Fabric, Event Hubs, Stream Analytics, Azure Data Movement, API Management, and Azure Cognitive Search. Multiple engineering teams are engaged in multiple workflows to mitigate the impact. The next update will be provided in 60 minutes, or as events warrant.",
    "incidentType": "Incident",
    "trackingId": "NA0F-BJG",
    "impactStartTime": "2017-07-20T21:41:00.0000000Z",
    "impactedServices": "[{\"ImpactedRegions\":[{\"RegionName\":\"UK South\"}],\"ServiceName\":\"Service Fabric\"}]",
    "defaultLanguageTitle": "Network Infrastructure - UK South",
    "defaultLanguageContent": "Starting at approximately 21:41 UTC on 20 Jul 2017, a subset of customers in UK South may experience degraded performance, connectivity drops or timeouts when accessing their Azure resources hosted in this region. Engineers are investigating underlying Network Infrastructure issues in this region. Impacted services may include, but are not limited to App Services, Automation, Service Bus, Log Analytics, Key Vault, SQL Database, Service Fabric, Event Hubs, Stream Analytics, Azure Data Movement, API Management, and Azure Cognitive Search. Multiple engineering teams are engaged in multiple workflows to mitigate the impact. The next update will be provided in 60 minutes, or as events warrant.",
    "stage": "Active",
    "communicationId": "636361902146035247",
    "version": "0.1.1"
  }
}

プロパティの値に関するドキュメントについては、サービスの正常性通知に関する記事を参照してください。

リソース正常性カテゴリ

このカテゴリには、Azure リソースに対して発生したリソース正常性イベントのレコードが含まれています。 このカテゴリに表示されるイベントの種類として、[Virtual Machine health status changed to unavailable](仮想マシンの正常性状態が使用不可に変わりました) などがあります。リソース正常性イベントは、利用可能、利用不可、降格済み、不明の 4 つの正常性状態のいずれかになります。 さらに、リソース正常性イベントは、プラットフォーム開始またはユーザー開始のいずれかのカテゴリーに分けることができます。

リソース正常性のイベントは、次の場合にアクティビティ ログに記録されます。

  • たとえば、"ResourceDegraded" や "AccountClientThrottling" などの注釈がリソースに対して送信されます。
  • リソースが異常へと、または異常から遷移しました。
  • リソースが 15 分以上異常でした。

次のリソース正常性の遷移はアクティビティ ログに記録されません:

  • 不明な状態への遷移。
  • 不明な状態からの遷移 (次の場合):
    • これが最初の遷移である場合。
    • 不明の前の状態が、その後の新しい状態と同じ場合。 (たとえば、リソースが正常から不明に遷移し、正常に戻った場合)。
    • コンピューティング リソースの場合: 正常から異常に遷移して正常に戻った VM で、異常な時間が 35 秒未満の場合。

サンプル イベント

{
    "channels": "Admin, Operation",
    "correlationId": "cccc2222-dd33-4444-55ee-666666ffffff",
    "description": "",
    "eventDataId": "a80024e1-883d-37ur-8b01-7591a1befccb",
    "eventName": {
        "value": "",
        "localizedValue": ""
    },
    "category": {
        "value": "ResourceHealth",
        "localizedValue": "Resource Health"
    },
    "eventTimestamp": "2018-09-04T15:33:43.65Z",
    "id": "/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Compute/virtualMachines/<resource name>/events/cccc2c2c-dd3d-ee4e-ff5f-aaaaaa6a6a6a/ticks/636716720236500000",
    "level": "Critical",
    "operationId": "",
    "operationName": {
        "value": "Microsoft.Resourcehealth/healthevent/Activated/action",
        "localizedValue": "Health Event Activated"
    },
    "resourceGroupName": "<resource group>",
    "resourceProviderName": {
        "value": "Microsoft.Resourcehealth/healthevent/action",
        "localizedValue": "Microsoft.Resourcehealth/healthevent/action"
    },
    "resourceType": {
        "value": "Microsoft.Compute/virtualMachines",
        "localizedValue": "Microsoft.Compute/virtualMachines"
    },
    "resourceId": "/subscriptions/<subscription ID>/resourceGroups/<resource group>/providers/Microsoft.Compute/virtualMachines/<resource name>",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2018-09-04T15:36:24.2240867Z",
    "subscriptionId": "<subscription ID>",
    "properties": {
        "stage": "Active",
        "title": "Virtual Machine health status changed to unavailable",
        "details": "Virtual machine has experienced an unexpected event",
        "healthStatus": "Unavailable",
        "healthEventType": "Downtime",
        "healthEventCause": "PlatformInitiated",
        "healthEventCategory": "Unplanned"
    },
    "relatedEvents": []
}

プロパティの説明

要素名 説明
channels 常に Admin、 Operation
correlationId 文字列形式の GUID。
説明 アラート イベントを説明する静的テキスト。
eventDataId アラート イベントの一意識別子。
カテゴリ 常に ResourceHealth
eventTimestamp イベントに対応する要求を処理する Azure サービスによって、イベントが生成されたときのタイムスタンプ。
レベル イベントの重大度レベルです。
operationId 単一の操作に対応する複数のイベント間で共有される GUID。
操作名 操作の名前。
リソースグループ名 リソースが含まれているリソース グループの名前。
resourceProviderName 常に Microsoft.Resourcehealth/healthevent/action です。
リソースタイプ Resource Health イベントの影響を受けるリソースの種類。
リソースID 影響を受けたリソースのリソース ID の名前。
ステータス 正常性イベントの状態を説明する文字列。 可能な値は次のとおりです。Active、Resolved、InProgress、Updated。
subStatus アラートの場合、通常は null です。
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。
プロパティ イベントの詳細を示す <Key, Value> ペアのセット (辞書)。
properties.title リソースの正常性状態を説明するユーザー フレンドリな文字列。
properties.details イベントの詳細を説明するユーザー フレンドリな文字列。
properties.currentHealthStatus リソースの現在の正常性状態。 Available、Unavailable、Degraded、Unknownのいずれかの値です。
properties.previousHealthStatus リソースの前回の正常性状態。 Available、Unavailable、Degraded、Unknownのいずれかの値です。
properties.type リソース正常性イベントの種類の説明。
properties.cause リソース正常性イベントの原因の説明。 UserInitiatedとPlatformInitiatedのいずれか。

アラート カテゴリ

このカテゴリには、従来の Azure アラートの全アクティビティのレコードが含まれています。 このカテゴリに表示されるイベントの種類の例として、"過去 5 分間に myVM の CPU % が 80 を超えている" などがあります。さまざまな Azure システムにはアラートの概念があります。ある種のルールを定義し、条件がそのルールと一致したときに通知を受け取ることができます。 サポートされる Azure のアラートの種類が "アクティブになる" たびに、または通知を生成する条件を満たすたびに、アクティブ化のレコードもこのカテゴリのアクティビティ ログにプッシュされます。

サンプル イベント

{
  "caller": "Microsoft.Insights/alertRules",
  "channels": "Admin, Operation",
  "claims": {
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/spn": "Microsoft.Insights/alertRules"
  },
  "correlationId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/alertrules/myalert/incidents/L3N1YnNjcmlwdGlvbnMvZGY2MDJjOWMtN2FhMC00MDdkLWE2ZmItZWIyMGM4YmQxMTkyL3Jlc291cmNlR3JvdXBzL0NzbUV2ZW50RE9HRk9PRC1XZXN0VVMvcHJvdmlkZXJzL21pY3Jvc29mdC5pbnNpZ2h0cy9hbGVydHJ1bGVzL215YWxlcnQwNjM2MzYyMjU4NTM1MjIxOTIw",
  "description": "'Disk read LessThan 100000 ([Count]) in the last 5 minutes' has been resolved for CloudService: myResourceGroup/Production/Event.BackgroundJobsWorker.razzle (myResourceGroup)",
  "eventDataId": "dddd3d3d-ee4e-ff5f-aa6a-bbbbbb7b7b7b",
  "eventName": {
    "value": "Alert",
    "localizedValue": "Alert"
  },
  "category": {
    "value": "Alert",
    "localizedValue": "Alert"
  },
  "id": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/Event.BackgroundJobsWorker.razzle/events/dddd3d3d-ee4e-ff5f-aa6a-bbbbbb7b7b7b/ticks/636362258535221920",
  "level": "Informational",
  "resourceGroupName": "myResourceGroup",
  "resourceProviderName": {
    "value": "Microsoft.ClassicCompute",
    "localizedValue": "Microsoft.ClassicCompute"
  },
  "resourceId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/Event.BackgroundJobsWorker.razzle",
  "resourceType": {
    "value": "Microsoft.ClassicCompute/domainNames/slots/roles",
    "localizedValue": "Microsoft.ClassicCompute/domainNames/slots/roles"
  },
  "operationId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/alertrules/myalert/incidents/L3N1YnNjcmlwdGlvbnMvZGY2MDJjOWMtN2FhMC00MDdkLWE2ZmItZWIyMGM4YmQxMTkyL3Jlc291cmNlR3JvdXBzL0NzbUV2ZW50RE9HRk9PRC1XZXN0VVMvcHJvdmlkZXJzL21pY3Jvc29mdC5pbnNpZ2h0cy9hbGVydHJ1bGVzL215YWxlcnQwNjM2MzYyMjU4NTM1MjIxOTIw",
  "operationName": {
    "value": "Microsoft.Insights/AlertRules/Resolved/Action",
    "localizedValue": "Microsoft.Insights/AlertRules/Resolved/Action"
  },
  "properties": {
    "RuleUri": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/alertrules/myalert",
    "RuleName": "myalert",
    "RuleDescription": "",
    "Threshold": "100000",
    "WindowSizeInMinutes": "5",
    "Aggregation": "Average",
    "Operator": "LessThan",
    "MetricName": "Disk read",
    "MetricUnit": "Count"
  },
  "status": {
    "value": "Resolved",
    "localizedValue": "Resolved"
  },
  "subStatus": {
    "value": null
  },
  "eventTimestamp": "2017-07-21T09:24:13.522192Z",
  "submissionTimestamp": "2017-07-21T09:24:15.6578651Z",
  "subscriptionId": "<subscription ID>"
}

プロパティの説明

要素名 説明
caller 常に Microsoft.Insights/alertRules
channels 常に Admin、 Operation
claims アラート エンジンの SPN (サービス プリンシパル名) またはリソースの種類の JSON BLOB。
correlationId 文字列形式の GUID。
説明 アラート イベントを説明する静的テキスト。
eventDataId アラート イベントの一意識別子。
カテゴリ 常に Alert
レベル イベントの重大度レベルです。
リソースグループ名 影響を受けたリソースのリソース グループの名前 (メトリック アラートの場合)。 その他の種類のアラートの場合は、アラート自体を含むリソース グループの名前です。
resourceProviderName メトリック アラートの場合は、影響を受けたリソースのリソース プロバイダーの名前。 その他の種類のアラートの場合は、アラート自体のリソース プロバイダーの名前です。
リソースID メトリック アラートの場合は、影響を受けたリソースのリソース ID の名前。 その他の種類のアラートの場合は、アラート リソース自体のリソース ID です。
operationId 単一の操作に対応する複数のイベント間で共有される GUID。
操作名 操作の名前。
プロパティ イベントの詳細を示す <Key, Value> ペアのセット (辞書)。
ステータス 操作の状態を説明する文字列。 いくつかの一般的な値は次のとおりです: Started、In Progress、Succeeded、Failed、Active、Resolved。
subStatus アラートの場合、通常は null です。
eventTimestamp イベントに対応する要求を処理する Azure サービスによって、イベントが生成されたときのタイムスタンプ。
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。

アラートの種類別のプロパティ フィールド

アラート イベントのソースに応じて、プロパティ フィールドには異なる値が格納されます。 アラート イベントの一般的なプロバイダーは、アクティビティ ログ アラートとメトリック アラートの 2 つです。

アクティビティ ログ アラートのプロパティ

要素名 説明
properties.subscriptionId このアクティビティ ログ アラート ルールがアクティブ化される原因となったアクティビティ ログ イベントのサブスクリプション ID。
properties.eventDataId このアクティビティ ログ アラート ルールがアクティブ化される原因となったアクティビティ ログ イベントのイベント データ ID。
properties.resourceGroup このアクティビティ ログ アラート ルールがアクティブ化される原因となったアクティビティ ログ イベントのリソース グループ。
properties.resourceId このアクティビティ ログ アラート ルールがアクティブ化される原因となったアクティビティ ログ イベントのリソース ID。
properties.eventTimestamp このアクティビティ ログ アラート ルールがアクティブ化される原因となったアクティビティ ログ イベントのイベント タイムスタンプ。
properties.operationName このアクティビティ ログ アラート ルールがアクティブ化される原因となったアクティビティ ログ イベントの操作名。
properties.status このアクティビティ ログ アラート ルールがアクティブ化された原因となったアクティビティ ログ イベントの状態。

メトリック アラートのプロパティ

要素名 説明
properties.RuleUri メトリック アラート ルール自体のリソース ID。
properties.RuleName メトリック アラート ルールの名前。
properties.RuleDescription (アラート ルールで定義された) メトリック アラート ルールの説明。
properties.Threshold メトリック アラート ルールの評価で使用されるしきい値。
properties.WindowSizeInMinutes メトリック アラート ルールの評価で使用されるウィンドウ サイズ。
properties.Aggregation メトリック アラート ルールで定義されている集計の種類。
properties.Operator メトリック アラート ルールの評価で使用される条件演算子。
properties.MetricName メトリック アラート ルールの評価で使用されるメトリックのメトリック名。
properties.MetricUnit メトリック アラート ルールの評価で使用されるメトリックのメトリック単位。

自動スケール カテゴリ

このカテゴリには、サブスクリプションで定義したすべての自動スケール設定に基づいて、自動スケール エンジンの操作に関連するすべてのイベントのレコードが含まれます。 このカテゴリで表示されるイベントの種類として、"Autoscale scale up action failed" (自動スケールのスケールアップ アクションに失敗しました) などがあります。自動スケールを使用すると、自動スケール設定で指定した時刻や負荷 (メトリック) データに基づいて、サポートされるリソースの種類のインスタンス数を自動的にスケールアウトまたはスケールインすることができます。 スケールアップまたはスケールダウンの条件を満たした場合、開始イベントと、成功または失敗イベントがこのカテゴリに記録されます。

サンプル イベント

{
  "caller": "Microsoft.Insights/autoscaleSettings",
  "channels": "Admin, Operation",
  "claims": {
    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/spn": "Microsoft.Insights/autoscaleSettings"
  },
  "correlationId": "dddd3333-ee44-5555-66ff-777777aaaaaa",
  "description": "The autoscale engine attempting to scale resource '/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/myResource' from 3 instances count to 2 instances count.",
  "eventDataId": "eeee4efe-ff5f-aa6a-bb7b-cccccc8c8c8c",
  "eventName": {
    "value": "AutoscaleAction",
    "localizedValue": "AutoscaleAction"
  },
  "category": {
    "value": "Autoscale",
    "localizedValue": "Autoscale"
  },
  "id": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/autoscalesettings/myResourceGroup-Production-myResource-myResourceGroup/events/eeee4efe-ff5f-aa6a-bb7b-cccccc8c8c8c/ticks/636361956518681572",
  "level": "Informational",
  "resourceGroupName": "myResourceGroup",
  "resourceProviderName": {
    "value": "microsoft.insights",
    "localizedValue": "microsoft.insights"
  },
  "resourceId": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/microsoft.insights/autoscalesettings/myResourceGroup-Production-myResource-myResourceGroup",
  "resourceType": {
    "value": "microsoft.insights/autoscalesettings",
    "localizedValue": "microsoft.insights/autoscalesettings"
  },
  "operationId": "dddd3333-ee44-5555-66ff-777777aaaaaa",
  "operationName": {
    "value": "Microsoft.Insights/AutoscaleSettings/Scaledown/Action",
    "localizedValue": "Microsoft.Insights/AutoscaleSettings/Scaledown/Action"
  },
  "properties": {
    "Description": "The autoscale engine attempting to scale resource '/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/myResource' from 3 instances count to 2 instances count.",
    "ResourceName": "/subscriptions/<subscription ID>/resourceGroups/myResourceGroup/providers/Microsoft.ClassicCompute/domainNames/myResourceGroup/slots/Production/roles/myResource",
    "OldInstancesCount": "3",
    "NewInstancesCount": "2",
    "LastScaleActionTime": "Fri, 21 Jul 2017 01:00:51 GMT"
  },
  "status": {
    "value": "Succeeded",
    "localizedValue": "Succeeded"
  },
  "subStatus": {
    "value": null
  },
  "eventTimestamp": "2017-07-21T01:00:51.8681572Z",
  "submissionTimestamp": "2017-07-21T01:00:52.3008754Z",
  "subscriptionId": "<subscription ID>"
}

プロパティの説明

要素名 説明
caller 常に Microsoft.Insights/autoscaleSettings
channels 常に Admin、 Operation
claims 自動スケール エンジンの SPN (サービス プリンシパル名) またはリソースの種類の JSON BLOB。
correlationId 文字列形式の GUID。
説明 自動スケール イベントを説明する静的テキスト。
eventDataId 自動スケール イベントの一意識別子。
レベル イベントの重大度レベルです。
リソースグループ名 自動スケール設定のリソース グループの名前。
resourceProviderName 自動スケール設定のリソース プロバイダーの名前。
リソースID 自動スケール設定のリソース ID。
operationId 単一の操作に対応する複数のイベント間で共有される GUID。
操作名 操作の名前。
プロパティ イベントの詳細を示す <Key, Value> ペアのセット (辞書)。
properties.Description 自動スケール エンジンが実行していた処理の詳細な説明。
properties.ResourceName 影響を受けるリソース (スケール アクションが実行されていたリソース) のリソース ID
properties.OldInstancesCount 自動スケール アクションが有効になる前のインスタンスの数。
properties.NewInstancesCount 自動スケール アクションが有効になった後のインスタンスの数。
properties.LastScaleActionTime 自動スケール アクションが発生したときのタイムスタンプ。
ステータス 操作の状態を説明する文字列。 いくつかの一般的な値は次のとおりです: Started、In Progress、Succeeded、Failed、Active、Resolved。
subStatus 自動スケールの場合、通常は null です。
eventTimestamp イベントに対応する要求を処理する Azure サービスによって、イベントが生成されたときのタイムスタンプ。
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。

セキュリティ カテゴリ

このカテゴリには、Microsoft Defender for Cloud によって生成されたアラートのレコードが含まれます。 このカテゴリで表示されるイベントの種類の例としては、"Suspicious double extension file executed" (拡張子が 2 つある不審なファイルが実行されました) などがあります。

サンプル イベント

{
    "channels": "Operation",
    "correlationId": "eeee4444-ff55-6666-77aa-888888bbbbbb",
    "description": "Suspicious double extension file executed. Machine logs indicate an execution of a process with a suspicious double extension.\r\nThis extension may trick users into thinking files are safe to be opened and might indicate the presence of malware on the system.",
    "eventDataId": "eeee4444-ff55-6666-77aa-888888bbbbbb",
    "eventName": {
        "value": "Suspicious double extension file executed",
        "localizedValue": "Suspicious double extension file executed"
    },
    "category": {
        "value": "Security",
        "localizedValue": "Security"
    },
    "eventTimestamp": "2017-10-18T06:02:18.6179339Z",
    "id": "/subscriptions/<subscription ID>/providers/Microsoft.Security/locations/centralus/alerts/bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f/events/eeee4444-ff55-6666-77aa-888888bbbbbb/ticks/636439033386179339",
    "level": "Informational",
    "operationId": "eeee4444-ff55-6666-77aa-888888bbbbbb",
    "operationName": {
        "value": "Microsoft.Security/locations/alerts/activate/action",
        "localizedValue": "Microsoft.Security/locations/alerts/activate/action"
    },
    "resourceGroupName": "myResourceGroup",
    "resourceProviderName": {
        "value": "Microsoft.Security",
        "localizedValue": "Microsoft.Security"
    },
    "resourceType": {
        "value": "Microsoft.Security/locations/alerts",
        "localizedValue": "Microsoft.Security/locations/alerts"
    },
    "resourceId": "/subscriptions/<subscription ID>/providers/Microsoft.Security/locations/centralus/alerts/2518939942613820660_a48f8653-3fc6-4166-9f19-914f030a13d3",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": null
    },
    "submissionTimestamp": "2017-10-18T06:02:52.2176969Z",
    "subscriptionId": "<subscription ID>",
    "properties": {
        "accountLogonId": "0x2r4",
        "commandLine": "c:\\mydirectory\\doubleetension.pdf.exe",
        "domainName": "hpc",
        "parentProcess": "unknown",
        "parentProcess id": "0",
        "processId": "6988",
        "processName": "c:\\mydirectory\\doubleetension.pdf.exe",
        "userName": "myUser",
        "UserSID": "S-3-2-12",
        "ActionTaken": "Detected",
        "Severity": "High"
    },
    "relatedEvents": []
}

プロパティの説明

要素名 説明
channels 常に Operation
correlationId 文字列形式の GUID。
説明 セキュリティ イベントを説明する静的テキスト。
eventDataId セキュリティ イベントの一意識別子。
eventName セキュリティ イベントのフレンドリ名。
カテゴリ 常に Security
身分証明書 セキュリティ イベントの一意リソース識別子。
レベル イベントの重大度レベルです。
リソースグループ名 リソースのリソース グループの名前。
resourceProviderName Microsoft Defender for Cloud のリソース プロバイダーの名前。 常に Microsoft.Security です。
リソースタイプ セキュリティ イベントを生成したリソースの種類 (例: Microsoft.Security/locations/alerts
リソースID セキュリティ アラートのリソース ID。
operationId 単一の操作に対応する複数のイベント間で共有される GUID。
操作名 操作の名前。
プロパティ イベントの詳細を示す <Key, Value> ペアのセット (辞書)。 これらのプロパティは、セキュリティ アラートの種類によって異なります。 Defender for Cloud から送られてくるアラートの種類について詳しくは、こちらのページをご覧ください。
properties.Severity 重大度のレベル。 使用可能な値は、 High、 Medium、または Lowです。
ステータス 操作の状態を説明する文字列。 一般的な値には、 Started、 In Progress、 Succeeded、 Failed、 Active、 Resolvedがあります。
subStatus 通常、セキュリティ イベントの場合は null です。
eventTimestamp イベントに対応する要求を処理する Azure サービスによって、イベントが生成されたときのタイムスタンプ。
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。

推奨事項カテゴリ

このカテゴリには、サービスに対して生成されている新しい推奨のすべてのレコードが含まれています。 推奨の例として、"フォールト トレランスの改善のための可用性セットの使用" が挙げられます。生成される可能性がある推奨事項イベントには、高可用性、パフォーマンス、セキュリティ、コスト最適化の 4 種類があります。

サンプル イベント

{
    "channels": "Operation",
    "correlationId": "ffff5555-aa66-7777-88bb-999999cccccc",
    "description": "The action was successful.",
    "eventDataId": "aaaa6a6a-bb7b-cc8c-dd9d-eeeeee0e0e0e",
    "eventName": {
        "value": "",
        "localizedValue": ""
    },
    "category": {
        "value": "Recommendation",
        "localizedValue": "Recommendation"
    },
    "eventTimestamp": "2018-06-07T21:30:42.976919Z",
    "id": "/SUBSCRIPTIONS/<Subscription ID>/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MYVM/events/aaaa6a6a-bb7b-cc8c-dd9d-eeeeee0e0e0e/ticks/636640038429769190",
    "level": "Informational",
    "operationId": "",
    "operationName": {
        "value": "Microsoft.Advisor/generateRecommendations/action",
        "localizedValue": "Microsoft.Advisor/generateRecommendations/action"
    },
    "resourceGroupName": "MYRESOURCEGROUP",
    "resourceProviderName": {
        "value": "MICROSOFT.COMPUTE",
        "localizedValue": "MICROSOFT.COMPUTE"
    },
    "resourceType": {
        "value": "MICROSOFT.COMPUTE/virtualmachines",
        "localizedValue": "MICROSOFT.COMPUTE/virtualmachines"
    },
    "resourceId": "/SUBSCRIPTIONS/<Subscription ID>/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MYVM",
    "status": {
        "value": "Active",
        "localizedValue": "Active"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2018-06-07T21:30:42.976919Z",
    "subscriptionId": "<Subscription ID>",
    "properties": {
        "recommendationSchemaVersion": "1.0",
        "recommendationCategory": "Security",
        "recommendationImpact": "High",
        "recommendationRisk": "None"
    },
    "relatedEvents": []
}

プロパティの説明

要素名 説明
channels 常に Operation
correlationId 文字列形式の GUID。
説明 推奨イベントを説明する静的テキスト
eventDataId 推奨イベントの一意の識別子。
カテゴリ 常に Recommendation
身分証明書 推奨イベントの一意のリソース ID。
レベル イベントの重大度レベルです。
操作名 操作の名前。 常に Microsoft.Advisor/generateRecommendations/action
リソースグループ名 リソースのリソース グループの名前。
resourceProviderName この推奨が適用されるリソースのリソース プロバイダーの名前 ("MICROSOFT.COMPUTE" など)
リソースタイプ この推奨事項が適用されるリソースのリソースの種類の名前 (例: MICROSOFT.COMPUTE/virtualmachines
リソースID 推奨が適用されるリソースのリソース ID
ステータス 常に Active
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。
プロパティ 推奨の詳細を示す <Key, Value> ペアのセット (辞書)。
properties.recommendationSchemaVersion アクティビティ ログ エントリに公開される推奨プロパティのスキーマ バージョン
properties.recommendationCategory 推奨のカテゴリ。 使用可能な値は、 High Availability、 Performance、 Security、および Cost
properties.recommendationImpact 推奨の影響。 使用可能な値は、 High、 Medium、 Low
properties.recommendationRisk 推奨のリスク。 使用可能な値は、 Error、 Warning、 None

ポリシー カテゴリ

このカテゴリには、Azure Policy によって実行されるすべての効果アクション操作のレコードが含まれます。 このカテゴリで表示されるイベントの種類の例として、Audit と Deny があります。 Policy によって実行されるすべてのアクションは、リソースに対する操作としてモデル化されます。

サンプルの Policy イベント

{
    "authorization": {
        "action": "Microsoft.Resources/checkPolicyCompliance/read",
        "scope": "/subscriptions/<subscriptionID>"
    },
    "caller": "33a68b9d-63ce-484c-a97e-94aef4c89648",
    "channels": "Operation",
    "claims": {
        "aud": "https://management.azure.com/",
        "iss": "https://sts.windows.net/1114444b-7467-4144-a616-e3a5d63e147b/",
        "iat": "1234567890",
        "nbf": "1234567890",
        "exp": "1234567890",
        "aio": "A3GgTJdwK4vy7Fa7l6DgJC2mI0GX44tML385OpU1Q+z+jaPnFMwB",
        "appid": "1d78a85d-813d-46f0-b496-dd72f50a3ec0",
        "appidacr": "2",
        "http://schemas.microsoft.com/identity/claims/identityprovider": "https://sts.windows.net/1114444b-7467-4144-a616-e3a5d63e147b/",
        "http://schemas.microsoft.com/identity/claims/objectidentifier": "f409edeb-4d29-44b5-9763-ee9348ad91bb",
        "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "b-24Jf94A3FH2sHWVIFqO3-RSJEiv24Jnif3gj7s",
        "http://schemas.microsoft.com/identity/claims/tenantid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
        "uti": "IdP3SUJGtkGlt7dDQVRPAA",
        "ver": "1.0"
    },
    "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
    "description": "",
    "eventDataId": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e",
    "eventName": {
        "value": "EndRequest",
        "localizedValue": "End request"
    },
    "category": {
        "value": "Policy",
        "localizedValue": "Policy"
    },
    "eventTimestamp": "2019-01-15T13:19:56.1227642Z",
    "id": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Sql/servers/contososqlpolicy/events/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/ticks/636831551961227642",
    "level": "Warning",
    "operationId": "04e575f8-48d0-4c43-a8b3-78c4eb01d287",
    "operationName": {
        "value": "Microsoft.Authorization/policies/audit/action",
        "localizedValue": "Microsoft.Authorization/policies/audit/action"
    },
    "resourceGroupName": "myResourceGroup",
    "resourceProviderName": {
        "value": "Microsoft.Sql",
        "localizedValue": "Microsoft SQL"
    },
    "resourceType": {
        "value": "Microsoft.Resources/checkPolicyCompliance",
        "localizedValue": "Microsoft.Resources/checkPolicyCompliance"
    },
    "resourceId": "/subscriptions/<subscriptionID>/resourceGroups/myResourceGroup/providers/Microsoft.Sql/servers/contososqlpolicy",
    "status": {
        "value": "Succeeded",
        "localizedValue": "Succeeded"
    },
    "subStatus": {
        "value": "",
        "localizedValue": ""
    },
    "submissionTimestamp": "2019-01-15T13:20:17.1077672Z",
    "subscriptionId": "<subscriptionID>",
    "properties": {
        "isComplianceCheck": "True",
        "resourceLocation": "westus2",
        "ancestors": "72f988bf-86f1-41af-91ab-2d7cd011db47",
        "policies": "[{\"policyDefinitionId\":\"/subscriptions/<subscriptionID>/providers/Microsoft.
            Authorization/policyDefinitions/5775cdd5-d3d3-47bf-bc55-bb8b61746506/\",\"policyDefiniti
            onName\":\"5775cdd5-d3d3-47bf-bc55-bb8b61746506\",\"policyDefinitionEffect\":\"Deny\",\"
            policyAssignmentId\":\"/subscriptions/<subscriptionID>/providers/Microsoft.Authorization
            /policyAssignments/991a69402a6c484cb0f9b673/\",\"policyAssignmentName\":\"991a69402a6c48
            4cb0f9b673\",\"policyAssignmentScope\":\"/subscriptions/<subscriptionID>\",\"policyAssig
            nmentParameters\":{}}]"
    },
    "relatedEvents": []
}

Policy イベントのプロパティの説明

要素名 説明
認可 イベントの Azure RBAC プロパティの配列。 新しいリソースの場合、これは、評価をトリガーした要求のアクションとスコープです。 既存のリソースの場合、アクションは "Microsoft.Resources/checkPolicyCompliance/read" です。
caller 新しいリソースの場合は、デプロイを開始した ID。 既存のリソースの場合は、Microsoft Azure Policy Insights RP の GUID。
channels Policy イベントは "Operation" チャネルのみを使用します。
claims Resource Manager でこの操作を実行するユーザーまたはアプリケーションを認証するために Active Directory によって使用される JWT トークン。
correlationId 通常は文字列形式の GUID。 correlationId を共有するイベントは、同じ uber アクションに属します。
説明 このフィールドは、Policy イベントの場合は空白です。
eventDataId イベントの一意の識別子。
eventName "BeginRequest" または "EndRequest" のいずれか。 "BeginRequest" は、auditIfNotExists と deployIfNotExists の評価が遅延した場合と、deployIfNotExists 効果がテンプレートのデプロイを開始するときに使用されます。 他のすべての操作は "EndRequest" を返します。
カテゴリ アクティビティ ログ イベントを "Policy" に属するものとして宣言します。
eventTimestamp イベントに対応する要求を処理する Azure サービスによって、イベントが生成されたときのタイムスタンプ。
身分証明書 特定のリソースのイベントの一意識別子。
レベル イベントの重大度レベルです。 Audit は "Warning" を使用し、Deny は "Error" を使用します。 auditIfNotExists または deployIfNotExists エラーは、重大度に応じて "Warning" または"Error" を生成する可能性があります。 他のすべての Policy イベントは "Informational" を使用します。
operationId 単一の操作に対応する複数のイベント間で共有される GUID。
操作名 操作の名前。Policy 効果に直接関連します。
リソースグループ名 評価されるリソースのリソース グループの名前。
resourceProviderName 評価されるリソースのリソース プロバイダーの名前。
リソースタイプ 新しいリソースの場合は、評価される型です。 既存のリソースの場合は、"Microsoft.Resources/checkPolicyCompliance" を返します。
リソースID 評価されるリソースのリソース ID。
ステータス Policy の評価結果の状態を説明する文字列。 ほとんどの Policy の評価は "Succeeded" を返しますが、Deny 効果は "Failed" を返します。 auditIfNotExists または deployIfNotExists でのエラーも "Failed" を返します。
subStatus Policy イベントの場合、フィールドは空白です。
submissionTimestamp イベントがクエリで使用できるようになったときのタイムスタンプ。
サブスクリプションID Azure サブスクリプション ID。
properties.isComplianceCheck 新しいリソースをデプロイされたり、既存のリソースのリソース マネージャーのプロパティが更新されたりしたときに、"False" を返します。 他のすべての評価トリガーでは "True" になります。
properties.resourceLocation 評価されているリソースの Azure リージョン。
properties.ancestors 親管理グループのコンマ区切りの一覧は、直接の親から最も遠い先祖の順に並べ替えられます。
properties.policies この Policy の評価が結果となるポリシー定義、割り当て、効果、およびパラメーターに関する詳細が含まれます。
relatedEvents このフィールドは、Policy イベントの場合は空白です。

ストレージ アカウントとイベント ハブからのスキーマ

Azure アクティビティ ログをストレージ アカウントまたはイベント ハブにストリーミングする場合、データはリソース ログ スキーマに従います。 上記のスキーマからリソース ログ スキーマへのプロパティのマッピングを次の表に示します。

注

ストレージ アカウントに書き込まれるアクティビティ ログ データの形式は、2018 年 11 月 1 日に JSON 行に変更されました。 この形式変更の詳細については、「ストレージ アカウントにアーカイブされている Azure Monitor リソース ログの形式変更のための準備」を参照してください。

リソース ログのスキーマ プロパティ アクティビティ ログ REST API スキーマ プロパティ 注記
time eventTimestamp
リソースID リソースID subscriptionId、resourceType、resourceGroupName は、すべて resourceId から推測されます。
操作名 operationName.value
カテゴリ 操作の名前の一部 常に "Administrative"
結果タイプ status.value
結果署名 substatus.value
resultDescription 説明
durationMs なし 常時 0
発信者IPアドレス httpRequest.clientIpAddress
correlationId correlationId
アイデンティティ 要求と承認プロパティ
レベル レベル
ロケーション なし イベントが処理される場所。 これはリソースの場所ではなく、イベントが処理された場所です。 このプロパティは、今後の更新で削除されます。
特性 properties.eventProperties
properties.eventCategory カテゴリ properties.eventCategory が存在しない場合、カテゴリは "管理" です
properties.eventName eventName
properties.operationId operationId
properties.eventProperties プロパティ

次に、このスキーマを使用したイベントの例を示します:

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/123456112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "aaaa6666-bb77-8888-99cc-000000dddddd",
            "identity": {
               "authorization": {
                   "scope": "/subscriptions/bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f/resourceGroups/rg-001/providers/Microsoft.Storage/storageAccounts/       msftstorageaccount",
                   "action": "Microsoft.Storage/storageAccounts/listAccountSas/action",
                   "evidence": {
                       "role": "Azure Eventhubs Service Role",
                       "roleAssignmentScope": "/subscriptions/bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f",
                       "roleAssignmentId": "123abc2a6c314b0ab03a891259123abc",
                       "roleDefinitionId": "123456789de042a6a64b29b123456789",
                       "principalId": "abcdef038c6444c18f1c31311fabcdef",
                       "principalType": "ServicePrincipal"
                   }
               },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/abcde123-86f1-41af-91ab-abcde1234567/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "ffffffff-eeee-dddd-cccc-bbbbbbbbbbb0",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "123abc45-8211-44e3-95xq-85137af64708",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "20030000801A118C",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9876543210DKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "12345678-cacfe77c-e058-4712-83qw-f9b08849fd60,12345678-4c41-4b23-99d2-d32ce7aa621c,12345678-0578-4ea0-9gdc-e66cc564d18c",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "11112222-bbbb-3333-cccc-4444dddd5555",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "12345678-8ca0-47ad-9b80-6cde2207f97c"
            }
        }
    ]
}

次のステップ