Azure İzleyici etkinlik günlüğü

Azure İzleyici, etkinlik günlüğü özelliği aracılığıyla Azure kaynaklarınız için yönetim işlemlerini kaydeder. Etkinlik günlüğü, sanal makine oluşturma, anahtar kasası erişim ilkesini değiştirme veya Resource Manager dağıtım hataları gibi işlemleri kaydeder. Bu yönetim işlemlerine denetim düzlemi işlemleri de denir. Bu bilgileri gözden geçirmek veya denetlemek için etkinlik günlüğünü kullanın ya da bir olay oluştuğunda proaktif olarak bilgilendirilecek bir uyarı oluşturun.

Etkinlik günlüğünün aksine Azure kaynak günlükleri bir kaynak içinde gerçekleştirilen data plane işlemlerini yakalar. Örneğin, bu işlemler bir anahtar kasasından gizli dizi almayı veya veritabanına istekte bulunmayı içerir. Kaynak günlükleri varsayılan olarak toplanmaz ve bir tanılama ayarıyla yapılandırma gerektirir.

Tavsiye

Bir dağıtım işlemi hatası sizi bu makaleye yönlendirirse bkz. Yaygın Azure dağıtım hatalarını giderme.

Etkinlik günlüğü girişleri

Azure İzleyici, etkinlik günlüğü girdilerini varsayılan olarak gerekli yapılandırma olmadan toplar. Sistem bu girdileri oluşturur ve değiştiremez veya silemezsiniz. Girişler genellikle değişikliklerden (oluşturma, güncelleştirme ve silme işlemleri) veya başlatılan bir eylemden kaynaklanır. Etkinlik günlüğü genellikle okuma işlemlerini yakalamaz.

Etkinlik günlüğü girişleri genellikle olayın gerçekleştiği 3-20 dakika içinde analiz ve uyarı için kullanılabilir. Etkinlik günlüğü kategorilerinin açıklaması için bkz. Azure etkinlik günlüğü olay şeması.

Bekletme süresi

Azure etkinlik günlüğü olaylarını 90 gün boyunca tutar ve ardından siler. Hacimden bağımsız olarak, bu süre boyunca girişler için ücret alınmaz. Daha uzun saklama gibi daha fazla işlevsellik için bir tanılama ayarı oluşturun ve girdileri gereksinimlerinize göre başka bir konumda toplayın . Bekletme süresini uzatmanın en yaygın nedenlerinden biri, yalnızca etkinlik günlüğünde bulunan kaynak oluşturucu bilgilerini korumaktır.

Etkinlik günlüğünü görüntüleme ve alma

Abonelik, kaynak grubu veya tek bir kaynak için etkinlik günlüğü olaylarını görüntüleyin. Azure portalını kullanın veya Activity Log REST API kullanarak bunları program aracılığıyla sorgular.

Azure portalı, çoğu hizmet menüsünden Etkinlik günlüğü panelini sağlar. Bu alanların her biri REST ile veya belirli Azure CLI ve Azure PowerShell komutları aracılığıyla programlı erişimi de destekler.

Alınacak olayların zaman aralığını belirtin. REST API kullanarak olayları almak için parametresini $filter en az bir eventTimestamp başlangıç değeriyle birlikte eklemeniz gerekir. Varsayılan olarak, etkinlik günlüğü olayları 90 gün boyunca saklar. Zaman aralığınızın hem başlangıç hem de bitişinin bu 90 günlük süre içinde olduğundan emin olun.

Etkinlik günlüğü erişim senaryoları

Azure portal ve programatik olarak Azure CLI, Azure PowerShell ve REST API kullanarak etkinlik günlüğü olaylarına erişmenin ve almanın farklı yollarını gösteren yaygın senaryolar aşağıdaki bölümlerde sunulmaktadır.

  • Azure portal örnekleri, bu görünümde ne tür olaylar bekleyebileceğinize dair ek bağlam sağlar.

  • Azure CLI örnekleri, az monitor activity-log list komutu aracılığıyla kullanılabilen belirli komutları vurgular.

  • Azure PowerShell örnekleri, Get-AzActivityLog komutu aracılığıyla kullanılabilen belirli cmdlet'leri vurgular.

  • REST API örnekleri, Etkinlik Günlüğü REST API'siyle gerekli $filter parametreyi kullanarak olayların nasıl alınacağını gösterir. Örnekler ayrıca istemciniz için zaman aşımını, etkinlik günlüğü REST API'sinin 75 saniyelik maksimum zaman aşımı süresiyle eşleşecek şekilde, üst bilgi üzerinden açıkça nasıl ayarlamanız gerektiğiniPrefer gösterir.

    Desteklenen $filter desenler Ayrıntılar
    zaman aralığına sahip varsayılan abonelik $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'
    kaynak grubu $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceGroupName eq '{resourceGroupName}'
    belirli bir kaynak $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceUri eq '{resourceURI}'
    kaynak sağlayıcısı $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceProvider eq '{resourceProviderName}'
    eşleştirme kimliği $filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and correlationId eq '{correlationID}'

Abonelik için etkinlik günlüğü olaylarını listeleme

Abonelik düzeyi olayları, doğrudan kaynak sağlayıcıları tarafından oluşturulan olayları yakalar ve etkinlik günlüğü olaylarını listelemek için varsayılan kapsamdır. Kiracı düzeyi ve yönetim grubu düzeyindeki olaylar yalnızca bu hiyerarşilerdeki Azure Resource Manager olaylarını yakalar. Bu üst düzey kapsamlar, Azure Resource Manager işlemleri dışındaki kaynak sağlayıcıları tarafından doğrudan oluşturulan olayları içermez.

Aşağıdaki örnek belirli bir zaman aralığında bir abonelik için etkinlik günlüğü olaylarını alır.

Etkinlik günlüğünü açtığınız menü ilk filtresini belirler. İzleyici menüsünden açarsanız, varsayılan olarak seçilen tek filtre aboneliktir. Bu, Abonelikler> aboneliği seçtikten sonra >Etkinlik Günlüğü'nü açmakla aynıdır.

Etkinlik günlüğünü gösteren ekran görüntüsü.

Kaynak grubu için etkinlik günlüğü olaylarını listeleme

Belirli bir kaynak grubuna özgü Azure İzleyici etkinlik günlüğü sonuçlarını sınırlandırmak için resourceGroupName öğesini $filter ile ekleyin.

Etkinlik günlüğünü açtığınız menü ilk filtresini belirler. Kaynağın menüsünden açarsanız, filtre bu kaynağa ayarlanır. Filtreye başka özellikler eklemek için Filtre ekle'yi seçin. Portalda filtreleyebileceğiniz diğer özellikler şunlardır:

  • Resource - Veritabanı veya sanal makine gibi Azure çözümünüzün parçası olan öğeler.
  • Kaynak türü : Sanal makineler, web uygulamaları veya veritabanları gibi bir kaynağın ait olduğu kategori.
  • Operation - Oluşturma, silme ve yazma gibi Azure Resource Manager kaynakları etkileyen bir eylem veya komut.
  • Tarafından başlatılan olay – Olayları olayı başlatan kimliğe göre filtreleyin.
  • Olay kategorisi – Belirli işlemler için olay türlerini filtreleyin.

Belirli etkinlik günlüğü özelliklerini döndürme

Yalnızca belirtilen özellikleri döndürerek yanıt yükü boyutunu azaltan bir parametre kullanın. Daha fazla bilgi için bkz . Etkinlik günlüğü şeması özellik açıklamaları.

Azure portalı, etkinlik günlüğü olaylarından döndürülen özellikleri doğrudan sınırlamak için bir yol sağlamaz. Görüntülenen veri miktarını azaltmak için Etkinlik günlüğü dikey penceresindeki Sütunları düzenle seçeneğini kullanarak portal görünümünde hangi sütunların görüntüleneceğini seçin.

Kiracı düzeyinde etkinlik günlüğü olaylarını listeleme

Kiracı düzeyinde etkinlik günlüğü olayları genellikle sınırlı girişlere sahiptir, ancak yönetim grubu veya abonelik oluşturma gibi önemli olayları içerebilir. Bu olaylar abonelik düzeyi etkinlik günlüğü olaylarından ayrıdır, ancak yinelenen kaynak yönetimi olayları içerebilir.

Bu kapsamda sorgulama, abonelik düzeyi etkinlik günlüğü olayları API'sinden farklı bir REST API kullanır. Azure CLI ve Azure PowerShell ayrılmış komutlar sağlamaz.

Azure portalında Monitor>Activity log gidin. Etkinlik açılan menüsünü değiştirin ve Dizin Etkinliği'ni seçin.

Azure portalındaki Etkinlik günlüğü dikey penceresinde seçilen Dizin Etkinliği seçeneğini gösteren ekran görüntüsü.

Yönetim grubu düzeyinde etkinlik günlüğü olaylarını listeleme

Yönetim grubu düzeyinde etkinlik günlüğü olayları, ilke atamaları ve yönetim grubu üyeliği değişiklikleri gibi belirli bir yönetim grubu kapsamındaki olayları yakalar.

Azure portalında yönetim grubu düzeyinde etkinlik günlüğü olaylarını görüntülemek için Management groups>>Activity log yönetim grubu seçin.

Azure portalında bir yönetim grubunun Etkinlik günlüğü panelini gösteren ekran görüntüsü.

Aşağıdaki tabloda, önceki örneklerde kullanılan parametreler açıklanmaktadır.

Parametre Açıklama
{subscriptionId} Azure aboneliğinin kimliği.
{resourceGroupName} Kaynak grubunun adı.
{managementGroupId} Yönetim grubunun kimliği.
eventTimestamp ge / le Iso 8601 biçiminde zaman aralığının başlangıcı ve sonu. Bekletme daha uzun süreler için yapılandırılmadığı sürece başlangıç tarihi geçerli tarihten itibaren 90 günü aşamaz.

Değişiklik geçmişini görüntüleme

Bazı olaylar için, söz konusu olay süresince hangi değişikliklerin olduğunu gösteren değişiklik geçmişini görüntüleyebilirsiniz. Etkinlik günlüğünden daha derine bakmak istediğiniz bir olayı seçin. Kaynakta işlem saatinden 30 dakika öncesine ve sonrasına kadar olan değişiklikleri görüntülemek için Değişiklik geçmişi sekmesini seçin.

Bir olayın Değişiklik geçmişi listesini gösteren ekran görüntüsü.

Olayla ilişkili değişiklikler varsa portal size seçilebilir bir değişiklik listesi gösterir. Değişiklik seçildiğinde Değişiklik geçmişi sayfası açılır. Bu sayfada kaynakta yapılan değişiklikler görüntülenir.

Aşağıdaki örnekte VM'nin boyutları değiştirdiği gösterilmektedir. Sayfada, değişiklik öncesinde ve değişiklik sonrasında VM boyutu görüntülenir. Değişiklik geçmişi hakkında daha fazla bilgi edinmek için bkz. Kaynak değişikliklerini alma.

Farklılıkları gösteren Değişiklik geçmişi sayfasını gösteren ekran görüntüsü.

Etkinlik günlüğü içgörüleri

Etkinlik günlüğü içgörüleri, abonelikteki kaynak ve kaynak gruplarında yapılan değişiklikleri izleyen bir dizi pano sağlayan bir Azure İzleyici çalışma kitabıdır. Panolar ayrıca abonelikte hangi kullanıcıların veya hizmetlerin etkinlik gerçekleştirdiğini ve etkinliklerin durumunu da gösterir.

Etkinlik günlüğü içgörülerini etkinleştirmek için etkinlik günlüğünü Export etkinlik günlüğü bölümünde açıklandığı gibi Log Analytics çalışma alanına aktarın. Bu işlem, etkinlik günlüğü içgörüleri tarafından kullanılan AzureActivity tablosuna olayları gönderir.

Etkinlik günlüğü içgörüleri panolarını gösteren ekran görüntüsü.

Etkinlik günlüğü içgörülerini abonelik veya kaynak düzeyinde açabilirsiniz. Abonelik için, İzleyici menüsünün Çalışma Kitapları bölümünden Etkinlik Günlükleri İçgörüleri'ni seçin.

Etkinlik Günlükleri İçgörüleri çalışma kitabının ölçek düzeyinde nasıl bulunup açıldığını gösteren ekran görüntüsü.

Tek bir kaynak için, kaynağın menüsünün Çalışma Kitapları bölümünde Etkinlik Günlükleri İçgörüleri'ni seçin.

Etkinlik Günlükleri İçgörüleri çalışma kitabının kaynak düzeyinde nasıl bulunup açıldığını gösteren ekran görüntüsü.

Etkinlik günlüğünü dışarı aktarma

Ek saklama süresi ve işlevselliği için etkinlik günlüğü girdilerini diğer hedeflere göndermek için bir tanılama ayarı oluşturun.

Etkinlik günlüklerinin, kaynak günlüklerinin ve platform ölçümlerinin toplanmasını gösteren diyagram.

Azure portalında Azure İzleyici menüsünden Activity log öğesini seçin ve Export Etkinlik Günlükleri'yi seçin. Tanılama ayarları oluşturmaya yönelik daha fazla bilgi ve diğer yöntemler için bkz. Azure İzleyici'de tanılama ayarları. Etkinlik günlüğü için eski yapılandırmaları devre dışı bıraktığınıza emin olun.

Azure İzleyici menüsünü gösteren, Etkinlik günlüğü seçili ve etkinlik günlüklerini dışarı aktar vurgulanmış olan Monitor-Etkinlik günlüğü menü çubuğu ekran görüntüsü.

Aşağıdaki bölümlerde, kaynak günlükleri için yapılandırılabilir her hedefle ilgili ayrıntılar sağlanır.

Uyarı

Etkinlik günlüğünü dışarı aktarmanın eski yöntemi günlük profilleridir. Bkz. Eski koleksiyon yöntemleri

Aşağıdaki işlevler için etkinlik günlüğünü bir Log Analytics çalışma alanına gönderin:

Etkinlik günlükleri için veri alımı ücreti yoktur. Etkinlik günlükleri için bekletme ücretleri yalnızca 90 günlük varsayılan saklama süresinden sonra uzatılan süre için geçerlidir. Saklama süresini 12 yıla kadar artırabilirsiniz .

Log Analytics çalışma alanında etkinlik günlüğü verileri AzureActivity adlı bir tabloda depolanır. Bu tablonun yapısı günlük girdisinin kategorisine bağlı olarak değişir.

Örneğin, her kategori için etkinlik günlüğü kayıtlarının sayısını görüntülemek için aşağıdaki sorguyu kullanın:

AzureActivity
| summarize count() by CategoryValue

Yönetim kategorisindeki tüm kayıtları almak için aşağıdaki sorguyu kullanın:

AzureActivity
| where CategoryValue == "Administrative"

Önemli

Bazı senaryolarda, alanlarındaki AzureActivity değerler, aksi takdirde eşdeğer değerlerden farklı bir büyük/küçük harfe sahip olabilir. içinde AzureActivityverileri sorgularken, dize karşılaştırmaları için büyük/küçük harfe duyarsız işleçler kullanın veya herhangi bir karşılaştırmadan önce bir alanı tekdüzen büyük/küçük harfe zorlamak için skaler işlev kullanın. Örneğin, bir alanın her zaman küçük harfli olmasını sağlamak için tolower() işlevini veya bir dize karşılaştırması gerçekleştirirken =~ operatörünü kullanın.

Yönetim grubu etkinlik günlüklerini dışarı aktarma

Bir yönetim grubu için tanılama ayarı oluşturduğunuzda, hiyerarşideki altındaki tüm yönetim gruplarına ek olarak bu yönetim grubu için Azure İzleyici etkinlik günlüğü olaylarını dışarı aktarır. Hiyerarşideki birden çok yönetim grubunun tanılama ayarları varsa, yinelenen olaylar alırsınız. Hiyerarşinin tüm olaylarını yakalamak için yalnızca en üst düzey yönetim grubunda bir tanılama ayarına ihtiyacınız vardır.

Yönetim grubu ayrıca, kendisine bağlı aboneliklerle aynı olayların çoğunu toplar. Hem abonelik hem de yönetim grubunun tanılama ayarları varsa, yinelenen olaylar alırsınız. Azure Resource Manager, olayları yazarken bir hiyerarşi özelliği içerir, ancak gerekli bir alan değildir. Azure Resource Manager dışındaki kaynak sağlayıcıları bunu doldurmaz, bu nedenle olayları hiyerarşide yukarı iletilmez. Bu nedenle, yinelenen olayları almak eksik olaylardan daha iyidir.

Örneğin, Subscription1 içeren MG2'nin bir parçası olan MG1'e sahipseniz, MG1 üzerindeki bir tanılama ayarı, MG1 ve MG2 için tüm etkinlik günlüğü olaylarını ve Subscription1'deki bir tanılama ayarı tarafından toplanan birçok olayı yakalar. Bu durumda, yinelenen olayları toplayabileceğinden MG2'de tanılama ayarı gerekmez.

Yinelenen olaylarınız varsa, benzersiz kayıtları tanımlamak için tüm alanların karması kullanan bir sorgu kullanarak bunları birleştirin. Aşağıdaki örnek Kusto sorgusu, Log Analytics çalışma alanında toplanan günlükler için bir örnek gösterir:

AzureActivity
| extend Hash = hash(dynamic_to_json(pack_all()))
| summarize arg_max(TimeGenerated, *) by Hash

Etkinlik günlüğünü CSV'ye aktarma

Etkinlik günlüğünü Azure portalındaki bir CSV dosyasına aktarmak için CSV olarak indir'i seçin.

Azure portalı etkinlik günlüğünde CSV olarak indir düğmesini gösteren ekran görüntüsü.

Önemli

Çok sayıda günlük girdisinin dışarı aktarılması uzun sürebilir. Performansı geliştirmek için dışarı aktarmanın zaman aralığını azaltın. Azure portalında Zaman aralığı ayarını yapın.

Ayrıca, aşağıdaki örneklerde gösterildiği gibi PowerShell veya Azure CLI kullanarak etkinlik günlüğünü bir CSV dosyasına aktarabilirsiniz.

az monitor activity-log list --start-time "2024-03-01T00:00:00Z" --end-time "2024-03-15T23:59:59Z" --max-items 1000 > activitylog.json

Aşağıdaki örnek PowerShell betiği, etkinlik günlüğünü her biri ayrı bir dosyaya kaydedilmiş bir saatlik aralıklarla CSV dosyalarına aktarır.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."

Kaynak oluşturmayı tanımlama

Sistemin ne zaman kaynak oluşturduğunu ve kaynağı kimin oluşturduğunu öğrenmek için etkinlik günlüğünü kullanın. Etkinlik günlüğü, kaynağı oluşturanı depolayan tek yerdir. Etkinlik günlüğü varsayılan olarak yalnızca 90 gün boyunca veri tuttuğundan, günlükleri Log Analytics çalışma alanı gibi bekletme süresini uzatmanıza olanak tanıyan bir konuma aktarmanız gerekir. Ardından tabloyu sorgulayarak kaynağın oluşturucusunu AzureActivity bulun. Veriler, bu tablonun saklama süresinde belirttiğiniz süre boyunca saklanır.

İlgili içerik

  • Last updated on