根据活动日志发出警报
概述
活动日志警报使你可以收到有关在 Azure 活动日志中记录的事件和操作的通知。 当发生与警报规则中指定的条件匹配的新活动日志事件时,会触发警报。
活动日志警报规则是 Azure 资源,因此,可使用 Azure 资源管理器模板来创建。 此外,还可以在 Azure 门户中创建、更新或删除它们。 本文介绍活动日志警报背后的概念。 有关创建或使用活动日志警报规则的详细信息,请参阅创建和管理活动日志警报。
针对活动日志事件类别发出警报
可以创建活动日志警报规则,以接收以下活动日志事件类别之一的通知:
事件类别 | 类别说明 | 示例 |
---|---|---|
管理 | 对订阅、资源组中的资源或特定的 Azure 资源执行了 ARM 操作(例如,创建、更新、删除或其他操作)。 | 删除了资源组中的虚拟机 |
服务运行状况 | 发生了可能影响位于特定区域的订阅中服务的服务事件(例如服务中断或维护事件)。 | 影响中国北部订阅中的 VM 的服务中断。 |
资源运行状况 | 特定资源的运行状况为已降级,或者资源不可用。 | 订阅中的 VM 转换为已降级或不可用状态。 |
自动缩放 | 发生了 Azure 自动缩放操作,导致出现成功或失败结果 | 订阅中虚拟机规模集上的自动缩放操作失败。 |
建议 | 提供了适用于你的订阅的新 Azure 顾问建议 | 收到了适用于你的订阅的高影响性建议。 |
安全性 | Microsoft Defender for Cloud 检测到事件 | 在订阅中检测到执行了可疑的双扩展名文件 |
策略 | Azure Policy 执行了操作 | 订阅中发生“策略拒绝”事件。 |
注意
无法针对活动日志的“警报”类别中的事件创建警报规则。
配置活动日志警报规则
可以基于活动日志事件的 JSON 对象中的任何顶层属性配置活动日志警报规则。 有关详细信息,请参阅活动日志中的类别。
为活动日志警报规则创建条件的另一种简单方法是通过 Azure 门户中的活动日志浏览或筛选事件。 在“Azure Monitor - 活动日志”中,可以筛选并找到所需事件,然后使用“新建警报规则”按钮创建警报规则以针对类似事件发出通知。
注意
活动日志警报规则只监视在其中创建该警报规则的订阅中的事件。
活动日志事件有几个常用属性可用于定义活动日志警报规则条件:
- 类别:管理、服务运行状况、资源运行状况、自动缩放、安全性、策略和建议。
- 范围:为其定义活动日志警报的单个资源或资源集。 可以在各个级别定义活动日志警报的范围:
- 资源级别:例如,针对特定虚拟机
- 资源组级别:例如,特定资源组中的所有虚拟机
- 订阅级别:例如,某个订阅中的所有虚拟机(或)某个订阅中的所有资源
- 资源组:默认情况下,警报规则保存在“范围”中定义的目标所在的同一资源组中。 用户也可以定义应存储警报规则的资源组。
- 资源类型:资源管理器为警报规则的目标定义的命名空间。
- 操作名称:用于 Azure 基于角色的访问控制的 Azure 资源提供程序操作名称。 未在 Azure 资源管理器中注册的操作不能在活动日志警报规则中使用。
- 级别:事件的严重性级别(信息、警告、错误或严重)。
- 状态:事件的状态,通常为“已启动”、“失败”或“成功”。
- 事件发起者:也称为“调用方”。执行操作的用户(或应用程序)的电子邮件地址或 Azure Active Directory 标识符。
除了这些注释属性之外,不同的活动日志事件还具有特定于类别的属性,可用于为每种类别的事件配置警报规则。 例如,创建服务运行状况警报规则时,可以对事件中出现的受影响区域或服务配置条件。
使用操作组
活动日志警报在触发后,会使用操作组触发操作或发送通知。 操作组是一组可重用的通知接收方,例如电子邮件地址、Webhook URL 或短信电话号码。 可以从多个警报规则中引用接收方,以集中和分组通知通道。 在定义活动日志警报规则时,有两个选项。 方法:
- 在活动日志警报规则中使用现有操作组。
- 创建新的操作组。
若要了解有关操作组的详细信息,请参阅在 Azure 门户中创建和管理操作组。
活动日志警报规则限制
可以对每个订阅最多创建 100 个活动的活动日志警报规则(包括所有活动日志事件类别的规则,例如资源运行状况或服务运行状况)。 此限制不能提高。 如果接近此限制,则可以遵循几个准则来优化活动日志警报规则的使用,以便可以使用相同数量的规则覆盖更多资源和事件:
- 可以将单个活动日志警报规则配置为覆盖单个资源、资源组或整个订阅的范围。 若要减少所使用的规则数量,请考虑将覆盖较窄范围的多个规则替换为覆盖较宽范围的单个规则。 例如,如果一个订阅中有多个 VM,并且你想要在其中一个重新启动时触发警报,则可以使用单个活动日志警报规则覆盖订阅中的所有 VM。 当订阅中的任何 VM 重新启动时,都会触发警报。
- 单个服务运行状况警报规则可以覆盖订阅使用的所有服务和 Azure 区域。 如果对每个订阅使用多个服务运行状况警报规则,则可以将它们替换为单个规则(或使用少量规则,如果你希望)。
- 单个资源运行状况警报规则可以覆盖订阅中的多个资源类型和资源。 如果对每个订阅使用多个资源运行状况警报规则,则可以将它们替换为覆盖多个资源类型的少量规则(甚至是单个规则)。
后续步骤
- 获取警报概述。
- 了解如何创建和修改活动日志警报。
- 查看活动日志警报 webhook 架构。
- 了解有关服务运行状况警报的详细信息。
- 了解有关资源运行状况警报的详细信息。