Log de atividades no Azure Monitor

O menu do qual você abre o log de atividades determina seu filtro inicial. Se você abri-lo no menu Monitor , o único filtro selecionado por padrão será a assinatura. É o mesmo que abri-lo em Assinaturas> e selecionar o >Log de atividades da assinatura.

Use o comando az monitor activity-log list CLI do Azure para recuperar eventos de log de atividades para uma assinatura em um intervalo de tempo especificado. Por padrão, esse comando recupera eventos para a assinatura definida no momento em seu contexto de CLI do Azure. Para especificar explicitamente uma assinatura, use o --subscription parâmetro, conforme mostrado nos exemplos abaixo.

Intervalo de tempo explícito:

CLI do Azure dá suporte ao mesmo tipo de intervalo de tempo explícito que REST usando --start-time e --end-time:

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-14T23:59:59Z"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --start-time "$startTime" \
  --end-time "$endTime"

Intervalo de tempo relativo:

CLI do Azure também dá suporte a intervalos de tempo relativos usando --offset. Por exemplo, --offset 14d retorna eventos dos últimos 14 dias:

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
offset="14d"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --offset "$offset"

Azure PowerShell fornece o cmdlet Get-AzActivityLog para recuperar eventos de log de atividades para uma assinatura em um intervalo de tempo especificado.

Intervalo de tempo explícito:

Azure PowerShell dá suporte à especificação de um intervalo de tempo exato usando StartTime e EndTime, semelhante ao REST:

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$startTime = [datetime]"2026-04-01T00:00:00Z"
$endTime = [datetime]"2026-04-14T23:59:59Z"

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    StartTime = $startTime
    EndTime   = $endTime
}

Get-AzActivityLog @getAzActivityLogParams

Intervalo de tempo relativo:

Azure PowerShell também dá suporte à consulta de um intervalo de tempo relativo usando expressões Get-Date para StartTime e EndTime. O exemplo a seguir retorna eventos dos últimos 14 dias, terminando no momento em que o comando é executado:

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$lookbackDays = 14

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    StartTime = (Get-Date).AddDays(-$lookbackDays)
    EndTime   = Get-Date
}

Get-AzActivityLog @getAzActivityLogParams

Para listar os eventos do log de atividades, use esta solicitação GET da API REST do Log de Atividades.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'

O menu do qual você abre o log de atividades determina seu filtro inicial. Se você abri-lo no menu de um recurso, o filtro será definido para esse recurso. Selecione Adicionar Filtro para adicionar mais propriedades ao filtro. Aqui estão as outras propriedades pelas quais você pode filtrar no portal:

• Resource - Itens que fazem parte de sua solução de Azure, como um banco de dados ou uma máquina virtual.
• Tipo de recurso – a categoria à qual um recurso pertence, como máquinas virtuais, aplicativos Web ou bancos de dados.
• Operation - uma ação ou comando, como criar, excluir e gravar, que afeta Azure Resource Manager recursos.
• Evento iniciado por – Filtrar eventos pela identidade que iniciou o evento.
• Categoria de evento – Filtre os tipos de evento para determinadas operações.

Use o comando az monitor activity-log list para recuperar eventos de log de atividades relacionados a um grupo de recursos. Comandos CLI do Azure específicos reduzem a complexidade da chamada à API REST equivalente.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroup"
offset="30d"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --resource-group "$resourceGroupName" \
  --offset "$offset"

Azure PowerShell fornece o cmdlet Get-AzActivityLog para recuperar eventos de log de atividades com escopo para um grupo de recursos em um intervalo de tempo relativo.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$resourceGroupName = "myResourceGroup"
$lookbackDays = 30

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    ResourceGroupName = $resourceGroupName
    StartTime         = (Get-Date).AddDays(-$lookbackDays)
    EndTime           = Get-Date
}

Get-AzActivityLog @getAzActivityLogParams

Para listar eventos do log de atividades restritos a um grupo de recursos usando a API REST do Azure Resource Manager, utilize uma solicitação GET com $filter que inclua tanto o intervalo de tempo quanto a propriedade resourceGroupName. Opcionalmente, inclua o Prefer cabeçalho para especificar um tempo limite específico para a solicitação (tempo máximo 75 de espera em segundos).

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceGroupName eq '{resourceGroupName}'
Prefer: wait=75

O portal do Azure não fornece uma maneira de limitar diretamente as propriedades retornadas de eventos de log de atividades. Para reduzir a quantidade de dados exibidos, use a opção Editar colunas na folha Log de atividades para selecionar quais colunas são exibidas na exibição do portal.

Use o comando az monitor activity-log list com o parâmetro --select para especificar quais propriedades dos eventos de log de atividades devem ser retornadas.

Use o --max-events parâmetro de az monitor activity-log list para limitar o número de registros retornados.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
offset="30d"
maxEvents=100
selectFields=(
  eventName
  operationName
  status
  eventTimestamp
  correlationId
  submissionTimestamp
  level
)

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --offset "$offset" \
  --max-events "$maxEvents" \
  --select "${selectFields[@]}"

Limite as propriedades retornadas de eventos de log de atividades em Azure PowerShell canalizando os resultados de Get-AzActivityLog para Select-Object e especificando as propriedades desejadas retornadas. Isso não reduz o tamanho da resposta da API, pois Select-Object filtra apenas as propriedades na saída exibida pelo PowerShell.

Use o -MaxRecord parâmetro de Get-AzActivityLog para limitar o número de registros retornados.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$lookbackDays = 30
$maxRecord = 100
$selectProperties = @(
    "EventName"
    "OperationName"
    "Status"
    "EventTimestamp"
    "CorrelationId"
    "SubmissionTimestamp"
    "Level"
)

Set-AzContext -Subscription $subscriptionId

$activityLogParams = @{
    StartTime = (Get-Date).AddDays(-$lookbackDays)
    EndTime   = Get-Date
    MaxRecord = $maxRecord
}

Get-AzActivityLog @activityLogParams |
    Select-Object -Property $selectProperties

Para listar eventos de log de atividades com apenas propriedades específicas retornadas usando a API REST Azure Resource Manager, inclua o parâmetro de consulta $select na solicitação GET com uma lista separada por vírgulas das propriedades que você deseja retornar.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'&$select=eventName,operationName,status,eventTimestamp,correlationId,submissionTimestamp,level

Acesse Monitor>Registro de atividades no portal do Azure. Altere o menu suspenso Atividade e selecione Atividade do diretório.

Um comando CLI do Azure dedicado não está disponível para eventos de log de atividades no nível do locatário. O exemplo a seguir chama a API REST diretamente usando az rest:

apiVersion="2015-04-01"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-30T23:59:59Z"
providers="Microsoft.Insights/eventtypes/management/values"
resourceId="/providers/$providers"
filter="eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

az rest \
  --method get \
  --uri "$resourceId?api-version=$apiVersion&\$filter=$filter"

Não há um cmdlet dedicado do PowerShell disponível para eventos do log de atividades no nível do locatário. O exemplo a seguir chama a API REST diretamente usando Invoke-AzRestMethod:

$apiVersion = "2015-04-01"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-30T23:59:59Z"
$providers = "Microsoft.Insights/eventtypes/management/values"
$resourceId = "/providers/$providers"
$filter = "eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

$invokeAzRestMethodParams = @{
    Path   = "$resourceId?api-version=$apiVersion&`$filter=$filter"
    Method = "GET"
}

Invoke-AzRestMethod @invokeAzRestMethodParams

Para listar eventos do log de atividades no nível do assinante, use esta solicitação GET. Observe que esta solicitação se destina ao ponto de extremidade do log de atividades no nível do locatário, que é diferente da API do log de atividades no nível da assinatura.

GET https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{starTime}' and eventTimestamp le '{endTime}'

Para exibir eventos de log de atividades no nível do grupo de gerenciamento no portal do Azure, acesse Management groups> selecione um grupo de gerenciamento >Activity log.

Para listar eventos de log de atividades no nível do grupo de gerenciamento, use o comando az rest CLI do Azure. Esse comando chama diretamente a API REST do Azure Resource Manager para recuperar eventos do log de atividades no escopo do grupo de gerenciamento especificado.

apiVersion="2017-03-01-preview"
managementGroupId="myManagementGroup"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-30T23:59:59Z"
providers="Microsoft.Insights/eventtypes/management/values"
resourceId="/providers/Microsoft.Management/managementGroups/$managementGroupId/providers/$providers"
filter="eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

az rest \
  --method get \
  --url "$resourceId?api-version=$apiVersion&\$filter=$filter"

Um cmdlet dedicado do PowerShell não está disponível para eventos de log de atividades no nível do grupo de gerenciamento. O exemplo a seguir chama a API REST diretamente usando Invoke-AzRestMethod.

$apiVersion = "2017-03-01-preview"
$managementGroupId = "myManagementGroup"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-30T23:59:59Z"
$providers = "Microsoft.Insights/eventtypes/management/values"
$resourceId = "/providers/Microsoft.Management/managementGroups/$managementGroupId/providers/$providers"
$filter = "eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

$invokeAzRestMethodParams = @{
    Method = "GET"
    Path   = "$resourceId?api-version=$apiVersion&`$filter=$filter"
}

Invoke-AzRestMethod @invokeAzRestMethodParams

Para listar os eventos do log de atividades no nível do grupo de gerenciamento, utilize esta solicitação GET na API REST do Azure Resource Manager. Substitua {managementGroupId} pela ID do grupo de gerenciamento que você deseja consultar e especifique o intervalo de tempo no parâmetro de $filter consulta.

GET https://management.azure.com/providers/Microsoft.Management/managementGroups/{managementGroupId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'

Envie o log de atividades para um workspace Log Analytics para obter a seguinte funcionalidade:

• Correlacione logs de atividades com outros dados de log usando consultas de log.
• Crie alertas de log, que podem usar lógica mais complexa do que alertas de log de atividades.
• Acessar dados do log de atividades com Power BI.
• Retenha dados do log de atividades por mais de 90 dias.

Não há encargos de ingestão de dados para logs de atividades. As cobranças de retenção para logs de atividades se aplicam somente ao período estendido além do período de retenção padrão de 90 dias. Você pode aumentar o período de retenção para até 12 anos.

Os dados do log de atividades em um workspace Log Analytics são armazenados em uma tabela chamada AzureActivity. A estrutura dessa tabela varia dependendo da categoria da entrada de log.

Por exemplo, para exibir uma contagem de registros do log de atividades para cada categoria, use a consulta a seguir:

AzureActivity
| summarize count() by CategoryValue

Para recuperar todos os registros na categoria administrativa, use a seguinte consulta:

AzureActivity
| where CategoryValue == "Administrative"

Envie o log de atividades para o Hubs de Eventos do Azure para enviar entradas para fora do Azure, por exemplo, para um SIEM de terceiros ou outras soluções de análise de log. Os eventos do log de atividades de hubs de eventos são consumidos no formato JSON com um elemento records que contém os registros em cada carga. O esquema depende da categoria e é descrito em esquema de evento do log de atividades do Azure.

Os exemplos de dados de saída a seguir são de hubs de eventos para um log de atividades:

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "aaaa0000-bb11-2222-33cc-444444dddddd",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "1003BFFD8EC002D4",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "bbbb1111-cc22-3333-44dd-555555eeeeee,aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb,cccc2222-dd33-4444-55ee-666666ffffff",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "00001111-aaaa-2222-bbbb-3333cccc4444",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "bbbbbbbb-1111-2222-3333-cccccccccccc"
            }
        }
    ]
}

Envie o log de atividades para uma conta de Armazenamento do Azure se quiser manter seus dados de log por mais de 90 dias para auditoria, análise estática ou backup. Se você precisar reter seus eventos por 90 dias ou menos, não precisará configurar o arquivamento para uma conta de armazenamento.

Quando você envia o log de atividades para o armazenamento, um contêiner de armazenamento é criado na conta de armazenamento assim que ocorre um evento. Os blobs no contêiner usam esta convenção de nomenclatura:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

Por exemplo, um blob específico pode ter um nome semelhante a:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/y=2020/m=06/d=08/h=18/m=00/PT1H.json

Cada PT1H.json blob contém um objeto JSON com eventos de arquivos de log que foram recebidos durante a hora especificada na URL do blob. Durante a hora atual, os eventos são anexados ao arquivo PT1H.json conforme são recebidos, independentemente de quando foram gerados. O valor de minuto na URL, m=00, é sempre 00, pois os blobs são criados por hora.

Cada evento é armazenado no arquivo PT1H.json neste formato. Esse formato usa um esquema de nível superior comum, mas é exclusivo para cada categoria, conforme descrito no esquema de log de atividades.

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "bbbb1111-cc22-3333-44dd-555555eeeeee", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

Selecione Baixar como CSV para exportar o log de atividades para um arquivo CSV no portal do Azure.

Você pode exportar o log de atividades programaticamente usando CLI do Azure.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-14T23:59:59Z"
maxItems=1000
outputFile="./activity-log.json"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --start-time "$startTime" \
  --end-time "$endTime" \
  --max-items "$maxItems" \
  > "$outputFile"

Você pode exportar o log de atividades programaticamente usando Azure PowerShell.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-14T23:59:59Z"
$outputFile = "./activity-log.csv"

Set-AzContext -SubscriptionId $subscriptionId

$getAzActivityLogParams = @{
    StartTime = $startTime
    EndTime   = $endTime
}

Get-AzActivityLog @getAzActivityLogParams |
    Export-Csv -Path $outputFile -NoTypeInformation

O exemplo a seguir, o script do PowerShell exporta o log de atividades para arquivos CSV em intervalos de uma hora, cada um salvo em um arquivo separado.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."