Aktivitätsprotokoll in Azure Monitor

Das Menü, aus dem Sie das Aktivitätsprotokoll öffnen, bestimmt den ursprünglichen Filter. Wenn Sie es über das Menü "Monitor " öffnen, ist der einzige standardmäßig ausgewählte Filter das Abonnement. Das entspricht dem Vorgang: Unter Abonnements> Abonnement auswählen >Aktivitätsprotokoll.

Verwenden Sie den Befehl az monitor activity-log list Azure CLI, um Aktivitätsprotokollereignisse für ein Abonnement über einen bestimmten Zeitraum abzurufen. Standardmäßig ruft dieser Befehl Ereignisse für das derzeit in Ihrem Azure CLI Kontext festgelegte Abonnement ab. Um ein Abonnement explizit anzugeben, verwenden Sie den --subscription Parameter, wie in den folgenden Beispielen gezeigt.

Expliziter Zeitraum:

Azure CLI unterstützt dieselbe Art expliziter Zeitbereiche wie REST mithilfe von --start-time und --end-time:

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-14T23:59:59Z"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --start-time "$startTime" \
  --end-time "$endTime"

Relativer Zeitraum:

Azure CLI unterstützt auch relative Zeitbereiche mithilfe von --offset. Gibt z. B. --offset 14d Ereignisse aus den letzten 14 Tagen zurück:

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
offset="14d"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --offset "$offset"

Azure PowerShell stellt das Cmdlet Get-AzActivityLog bereit, um Aktivitätsprotokollereignisse für ein Abonnement über einen bestimmten Zeitraum abzurufen.

Expliziter Zeitraum:

Azure PowerShell unterstützt die Angabe eines genauen Zeitraums mithilfe von StartTime und EndTime, ähnlich wie REST:

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$startTime = [datetime]"2026-04-01T00:00:00Z"
$endTime = [datetime]"2026-04-14T23:59:59Z"

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    StartTime = $startTime
    EndTime   = $endTime
}

Get-AzActivityLog @getAzActivityLogParams

Relativer Zeitraum:

Azure PowerShell unterstützt auch die Abfrage eines relativen Zeitbereichs mithilfe von Get-Date-Ausdrücken für StartTime und EndTime. Im folgenden Beispiel werden Ereignisse aus den letzten 14 Tagen zurückgegeben, die zum Zeitpunkt der Ausführung des Befehls enden:

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$lookbackDays = 14

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    StartTime = (Get-Date).AddDays(-$lookbackDays)
    EndTime   = Get-Date
}

Get-AzActivityLog @getAzActivityLogParams

Verwenden Sie diese GET Anforderung für die REST-API des Aktivitätsprotokolls, um Aktivitätsprotokollereignisse auflisten zu können.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'

Das Menü, aus dem Sie das Aktivitätsprotokoll öffnen, bestimmt den ursprünglichen Filter. Wenn Sie es im Menü einer Ressource öffnen, wird der Filter auf die betreffende Ressource festgelegt. Wählen Sie "Filter hinzufügen" , um dem Filter weitere Eigenschaften hinzuzufügen. Hier sind die anderen Eigenschaften, nach denen Sie im Portal filtern können:

• Resource – Elemente, die Teil Ihrer Azure Lösung sind, z. B. eine Datenbank oder einen virtuellen Computer.
• Ressourcentyp – Die Kategorie, zu der eine Ressource gehört, z. B. virtuelle Computer, Web-Apps oder Datenbanken.
• Operation – Eine Aktion oder ein Befehl, z. B. Erstellen, Löschen und Schreiben, die sich auf Azure Resource Manager Ressourcen auswirken.
• Ereignis initiiert von – Filterereignisse nach der Identität, die das Ereignis initiiert hat.
• Ereigniskategorie – Filtern Sie die Ereignistypen nach bestimmten Vorgängen.

Verwenden Sie den az monitor activity-log list Befehl, um Aktivitätsprotokollereignisse abzurufen, die auf eine Ressourcengruppe beschränkt sind. Spezifische Azure CLI Befehle reduzieren die Komplexität des entsprechenden REST-API-Aufrufs.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroup"
offset="30d"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --resource-group "$resourceGroupName" \
  --offset "$offset"

Azure PowerShell stellt das Cmdlet Get-AzActivityLog zum Abrufen von Aktivitätsprotokollereignissen für eine Ressourcengruppe über einen relativen Zeitraum bereit.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$resourceGroupName = "myResourceGroup"
$lookbackDays = 30

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    ResourceGroupName = $resourceGroupName
    StartTime         = (Get-Date).AddDays(-$lookbackDays)
    EndTime           = Get-Date
}

Get-AzActivityLog @getAzActivityLogParams

Verwenden Sie eine GET-Anforderung mit einer $filter, die sowohl den Zeitraum als auch die eigenschaft resourceGroupName enthält, um Aktivitätsprotokollereignisse auflisten zu können, die auf eine Ressourcengruppe mit der Azure Resource Manager REST-API festgelegt sind. Geben Sie optional den Prefer Header an, um ein bestimmtes Timeout für die Anforderung anzugeben (maximale 75 Wartezeit in Sekunden).

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceGroupName eq '{resourceGroupName}'
Prefer: wait=75

Das Azure Portal bietet keine Möglichkeit, die von Aktivitätsprotokollereignissen zurückgegebenen Eigenschaften direkt einzuschränken. Verwenden Sie zum Verringern der angezeigten Datenmenge die Option "Spalten bearbeiten " im Blatt " Aktivitätsprotokoll ", um auszuwählen, welche Spalten in der Portalansicht angezeigt werden.

Verwenden Sie den Befehl "az monitor activity-log list" mit dem --select Parameter, um anzugeben, welche Eigenschaften von Aktivitätsprotokollereignissen zurückgegeben werden sollen.

Verwenden Sie den --max-events-Parameter von az monitor activity-log list, um die Anzahl der zurückgegebenen Datensätze einzuschränken.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
offset="30d"
maxEvents=100
selectFields=(
  eventName
  operationName
  status
  eventTimestamp
  correlationId
  submissionTimestamp
  level
)

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --offset "$offset" \
  --max-events "$maxEvents" \
  --select "${selectFields[@]}"

Beschränken Sie die zurückgegebenen Eigenschaften von Aktivitätsprotokollereignissen in Azure PowerShell, indem Sie die Ergebnisse von Get-AzActivityLog durch Select-Object leiten und die gewünschten Eigenschaften angeben. Dadurch wird die API-Antwortgröße nicht reduziert, da Select-Object nur die von PowerShell angezeigten Eigenschaften in der Ausgabe filtert.

Verwenden Sie den -MaxRecord-Parameter von Get-AzActivityLog, um die Anzahl der zurückgegebenen Datensätze einzuschränken.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$lookbackDays = 30
$maxRecord = 100
$selectProperties = @(
    "EventName"
    "OperationName"
    "Status"
    "EventTimestamp"
    "CorrelationId"
    "SubmissionTimestamp"
    "Level"
)

Set-AzContext -Subscription $subscriptionId

$activityLogParams = @{
    StartTime = (Get-Date).AddDays(-$lookbackDays)
    EndTime   = Get-Date
    MaxRecord = $maxRecord
}

Get-AzActivityLog @activityLogParams |
    Select-Object -Property $selectProperties

Wenn Sie Aktivitätsprotokollereignisse nur mit bestimmten Eigenschaften auflisten möchten, die mit der Azure Resource Manager REST-API zurückgegeben werden, fügen Sie den Abfrageparameter $select in die anforderung GET mit einer durch Trennzeichen getrennten Liste der zurückgegebenen Eigenschaften ein.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'&$select=eventName,operationName,status,eventTimestamp,correlationId,submissionTimestamp,level

Wechseln Sie zum Monitor>Aktivitätsprotokoll im Azure-Portal. Ändern Sie das Dropdownmenü "Aktivität ", und wählen Sie "Verzeichnisaktivität" aus.

Ein dedizierter Azure CLI-Befehl ist für Aktivitätsprotokollereignisse auf Mandantenebene nicht verfügbar. Im folgenden Beispiel wird die REST-API direkt mithilfe von az rest aufgerufen:

apiVersion="2015-04-01"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-30T23:59:59Z"
providers="Microsoft.Insights/eventtypes/management/values"
resourceId="/providers/$providers"
filter="eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

az rest \
  --method get \
  --uri "$resourceId?api-version=$apiVersion&\$filter=$filter"

Ein dediziertes PowerShell-Cmdlet ist für Aktivitätsprotokollereignisse auf Mandantenebene nicht verfügbar. Das folgende Beispiel ruft die REST-API direkt unter Verwendung von Invoke-AzRestMethod auf:

$apiVersion = "2015-04-01"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-30T23:59:59Z"
$providers = "Microsoft.Insights/eventtypes/management/values"
$resourceId = "/providers/$providers"
$filter = "eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

$invokeAzRestMethodParams = @{
    Path   = "$resourceId?api-version=$apiVersion&`$filter=$filter"
    Method = "GET"
}

Invoke-AzRestMethod @invokeAzRestMethodParams

Zum Auflisten von Aktivitätsprotokollereignissen auf Mandantenebene verwenden Sie diese GET Anforderung. Beachten Sie, dass diese Anforderung auf den Endpunkt des Aktivitätsprotokolls auf Mandantenebene ausgerichtet ist, der sich von der Aktivitätsprotokoll-API auf Abonnementebene unterscheidet.

GET https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{starTime}' and eventTimestamp le '{endTime}'

Um Aktivitätsprotokollereignisse auf Verwaltungsebene im Azure Portal anzuzeigen, wechseln Sie zu Management-Gruppen> wählen Sie eine Verwaltungsgruppe >Activity log aus.

Listen Sie Aktivitätsprotokollereignissen auf Gruppenebene mit dem Azure CLI-Befehl az rest auf. Dieser Befehl ruft die Azure Resource Manager REST-API direkt auf, um Aktivitätsprotokollereignisse abzurufen, die auf die angegebene Verwaltungsgruppe festgelegt sind.

apiVersion="2017-03-01-preview"
managementGroupId="myManagementGroup"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-30T23:59:59Z"
providers="Microsoft.Insights/eventtypes/management/values"
resourceId="/providers/Microsoft.Management/managementGroups/$managementGroupId/providers/$providers"
filter="eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

az rest \
  --method get \
  --url "$resourceId?api-version=$apiVersion&\$filter=$filter"

Ein dediziertes PowerShell-Cmdlet ist für Aktivitätsprotokollereignisse auf Verwaltungsebene nicht verfügbar. Im folgenden Beispiel wird die REST-API direkt mithilfe von Invoke-AzRestMethod aufgerufen.

$apiVersion = "2017-03-01-preview"
$managementGroupId = "myManagementGroup"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-30T23:59:59Z"
$providers = "Microsoft.Insights/eventtypes/management/values"
$resourceId = "/providers/Microsoft.Management/managementGroups/$managementGroupId/providers/$providers"
$filter = "eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

$invokeAzRestMethodParams = @{
    Method = "GET"
    Path   = "$resourceId?api-version=$apiVersion&`$filter=$filter"
}

Invoke-AzRestMethod @invokeAzRestMethodParams

Verwenden Sie diese GET-Anforderung für die Azure Resource Manager-REST-API, um Aktivitätsprotokollereignisse auf Managementgruppenebene aufzulisten. Ersetzen Sie sie durch {managementGroupId} die ID der Verwaltungsgruppe, die Sie abfragen möchten, und geben Sie den Zeitraum im $filter Abfrageparameter an.

GET https://management.azure.com/providers/Microsoft.Management/managementGroups/{managementGroupId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'

Senden Sie das Aktivitätsprotokoll an einen Log Analytics-Arbeitsbereich für die folgenden Funktionen:

• Korrelieren Sie Aktivitätsprotokolle mit anderen Protokolldaten mithilfe von Protokollabfragen.
• Erstellen Sie Protokollwarnungen, die komplexere Logik als Aktivitätsprotokollwarnungen verwenden können.
• Zugreifen auf Aktivitätsprotokolldaten mit Power BI.
• Bewahren Sie Aktivitätsprotokolldaten länger als 90 Tage auf.

Es gibt keine Datenaufnahmegebühren für Aktivitätsprotokolle. Aufbewahrungsgebühren für Aktivitätsprotokolle gelten nur für den Zeitraum, der über den Standardaufbewahrungszeitraum von 90 Tagen verlängert wurde. Sie können den Aufbewahrungszeitraum auf bis zu 12 Jahre erhöhen.

Aktivitätsprotokolldaten in einem Log Analytics Arbeitsbereich werden in einer Tabelle mit dem Namen AzureActivity gespeichert. Die Struktur dieser Tabelle variiert je nach Kategorie des Protokolleintrags.

Zeigen Sie z. B. mit der folgenden Abfrage die Anzahl der Aktivitätsprotokoll-Datensätze für jede Kategorie an:

AzureActivity
| summarize count() by CategoryValue

Verwenden Sie die folgende Abfrage, um alle Datensätze in der Kategorie „Administrativ“ abzurufen:

AzureActivity
| where CategoryValue == "Administrative"

Senden Sie das Aktivitätsprotokoll an Azure Event Hubs, um Einträge außerhalb Azure zu senden, z. B. an ein SIEM eines Drittanbieters oder an andere Protokollanalyselösungen. Aktivitätsprotokollereignisse von Event Hubs-Instanzen werden im JSON-Format mit einem records-Element genutzt, das die Datensätze in den den einzelnen Nutzdaten enthält. Das Schema hängt von der Kategorie ab und wird in Azure Aktivitätsprotokoll-Ereignisschema beschrieben.

Es folgt ein Beispiel für eine Datenausgabe aus Event Hubs-Instanzen für ein Aktivitätsprotokoll:

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "aaaa0000-bb11-2222-33cc-444444dddddd",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "1003BFFD8EC002D4",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "bbbb1111-cc22-3333-44dd-555555eeeeee,aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb,cccc2222-dd33-4444-55ee-666666ffffff",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "00001111-aaaa-2222-bbbb-3333cccc4444",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "bbbbbbbb-1111-2222-3333-cccccccccccc"
            }
        }
    ]
}

Senden Sie das Aktivitätsprotokoll an ein Azure Storage-Konto, wenn Sie Ihre Protokolldaten länger als 90 Tage für Die Überwachung, statische Analyse oder Sicherung aufbewahren möchten. Wenn Sie Ihre Ereignisse für 90 Tage oder weniger aufbewahren müssen, müssen Sie keine Archivierung für ein Speicherkonto einrichten.

Wenn Sie das Aktivitätsprotokoll an den Speicher senden, wird ein Speichercontainer im Speicherkonto erstellt, sobald ein Ereignis eintritt. Für die Blobs im Container gilt die folgende Benennungskonvention:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

Ein bestimmtes Blob kann beispielsweise einen Namen aufweisen, der dem Folgenden ähnelt:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/y=2020/m=06/d=08/h=18/m=00/PT1H.json

Jedes PT1H.json Blob enthält ein JSON-Objekt mit Ereignissen aus Protokolldateien, die während der in der BLOB-URL angegebenen Stunde empfangen wurden. Während der aktuellen Stunde werden die Ereignisse, sobald sie empfangen werden, an die Datei PT1H.json angehängt, unabhängig davon, wann sie erzeugt wurden. Der Minutenwert in der URL, m=00, ist immer 00, da Blobs pro Stunde erstellt werden.

In der Datei „PT1H.json“ wird jedes Ereignis im folgenden Format gespeichert. Dieses Format verwendet ein allgemeines Schema auf oberster Ebene, ist aber ansonsten für jede Kategorie eindeutig, wie im Aktivitätsprotokollschema beschrieben.

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "bbbb1111-cc22-3333-44dd-555555eeeeee", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

Wählen Sie "Als CSV herunterladen" aus, um das Aktivitätsprotokoll in eine CSV-Datei im Azure-Portal zu exportieren.

Sie können das Aktivitätsprotokoll programmgesteuert mithilfe von Azure CLI exportieren.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-14T23:59:59Z"
maxItems=1000
outputFile="./activity-log.json"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --start-time "$startTime" \
  --end-time "$endTime" \
  --max-items "$maxItems" \
  > "$outputFile"

Sie können das Aktivitätsprotokoll programmgesteuert mithilfe von Azure PowerShell exportieren.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-14T23:59:59Z"
$outputFile = "./activity-log.csv"

Set-AzContext -SubscriptionId $subscriptionId

$getAzActivityLogParams = @{
    StartTime = $startTime
    EndTime   = $endTime
}

Get-AzActivityLog @getAzActivityLogParams |
    Export-Csv -Path $outputFile -NoTypeInformation

Das folgende PowerShell-Skript exportiert das Aktivitätsprotokoll in CSV-Dateien in Intervalle von einer Stunde, die jeweils in einer separaten Datei gespeichert wurden.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."