使用 Azure Monitor 活动日志和活动日志见解

Azure Monitor 活动日志是一种平台日志，它提供对订阅级事件的见解。活动日志包括何时修改了资源或何时启动了虚拟机等信息。本文介绍如何查看活动日志并将其发送到不同的目标。

查看活动日志

可以通过 Azure 门户中的大多数菜单访问活动日志。你从中打开它的菜单确定了它的初始筛选器。如果从“监视器”菜单打开它，则唯一的筛选器将基于订阅。如果从某个资源的菜单打开它，则筛选器将设置为该资源。始终可以更改筛选器来查看所有其他条目。选择“添加筛选器”可向筛选器添加更多属性。

有关活动日志类别的说明，请参阅 Azure 活动日志事件架构。

选择“下载为 CSV”，在当前视图中下载事件。

对于某些事件，可以查看“更改历史记录”，其中显示了该事件期间进行的更改。从活动日志中选择要更深入地查看的事件。选择“更改历史记录”选项卡，以查看操作前后最多 30 分钟内对资源所做的任何更改。

如果有与事件关联的任何更改，你将看到可选择的更改列表。选择一项更改可打开“更改历史记录”页。此页显示对资源所做的更改。在以下示例中，可以看到已更改的 VM 大小。该页显示了 VM 在更改之前和更改之后的大小。

活动日志事件在 Azure 中保留 90 天，然后被删除。在此期间，日志项都是免费存储的，与卷无关。要实现额外功能（例如更长的保留时间），请创建一个诊断设置并根据需要将条目路由到另一个位置。请参阅前面部分中的条件。

活动日志见解提供了一组仪表板，用于监视订阅中资源和资源组的更改。仪表板还会显示哪些用户或服务在订阅中执行了活动以及活动状态的相关数据。本文介绍如何在 Azure 门户中加入和查看活动日志见解。

活动日志见解是一个特选的 Log Analytics 工作簿，其中包含用于可视化 AzureActivity 表中的数据的仪表板。例如，数据可能包括哪些管理员删除、更新或创建了资源，以及活动是失败还是成功。

Azure Monitor 将发送到 Log Analytics 工作区的所有活动日志存储在名为 AzureActivity 的表中。在使用活动日志见解之前，必须启用将日志发送到 Log Analytics 工作区的功能。

若要在资源组或订阅级别查看活动日志见解，请执行以下操作：

在 Azure 门户中，选择“监视”>“工作簿”。
在“见解”部分选择“活动日志见解”。
在“活动日志见解”页顶部，选择：
- “订阅”下拉列表中的一个或多个订阅。
- “CurrentResource”下拉列表中的资源和资源组。
- “TimeRange”下拉列表中的时间范围（用于查看相应的数据）。

注意

活动日志见解目前不支持 Application Insights 资源。

若要查看资源级别活动日志见解，请执行以下操作：

在 Azure 门户中，转到你的资源并选择“工作簿”。
在“活动日志见解”部分选择“活动日志见解”。
在“活动日志见解”页的顶部，从“时间范围”下拉列表中选择要查看的数据的时间范围：
- “Azure 活动日志条目”显示每个活动日志类别中的活动日志记录的计数。
- “按状态分类的活动日志”显示每个状态中的活动日志记录的计数。
- 在订阅和资源组级别，“按资源分类的活动日志”和“按资源提供程序分类的活动日志”显示每个资源和资源提供程序的活动日志记录的计数。