Registo de atividades no Azure Monitor

O menu de onde abre o registo de atividades determina o seu filtro inicial. Se o abrires no menu Monitor , o único filtro selecionado por defeito é a subscrição. Isto é o mesmo que abri-lo a partir de Subscrições>, selecionar subscrição >, e depois Registo de Atividade.

Use o comando az monitor activity-log list CLI do Azure para recuperar eventos de registo de atividade de uma subscrição num intervalo de tempo especificado. Por padrão, este comando recupera eventos para a subscrição que está atualmente definida no contexto do CLI do Azure. Para especificar explicitamente uma subscrição, use o --subscription parâmetro mostrado nos exemplos abaixo.

Intervalo de tempo explícito:

CLI do Azure suporta o mesmo tipo de intervalo de tempo explícito que o REST usando --start-time e --end-time:

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-14T23:59:59Z"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --start-time "$startTime" \
  --end-time "$endTime"

Intervalo temporal relativo:

CLI do Azure também suporta intervalos de tempo relativos usando --offset. Por exemplo, --offset 14d devolve eventos dos últimos 14 dias:

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
offset="14d"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --offset "$offset"

Azure PowerShell fornece o cmdlet Get-AzActivityLog para recuperar eventos do registo de atividade de uma subscrição num intervalo de tempo especificado.

Intervalo de tempo explícito:

Azure PowerShell suporta especificar um intervalo de tempo exato usando StartTime e EndTime, semelhante ao REST:

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$startTime = [datetime]"2026-04-01T00:00:00Z"
$endTime = [datetime]"2026-04-14T23:59:59Z"

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    StartTime = $startTime
    EndTime   = $endTime
}

Get-AzActivityLog @getAzActivityLogParams

Intervalo temporal relativo:

Azure PowerShell também suporta consultar um intervalo de tempo relativo usando expressões Get-Date para StartTime e EndTime. O exemplo seguinte devolve eventos dos últimos 14 dias, terminando no momento em que o comando é executado:

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$lookbackDays = 14

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    StartTime = (Get-Date).AddDays(-$lookbackDays)
    EndTime   = Get-Date
}

Get-AzActivityLog @getAzActivityLogParams

Para listar eventos do registo de atividade, use este GET pedido para a API REST do Registo de Atividades.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'

O menu de onde abre o registo de atividades determina o seu filtro inicial. Se você abri-lo no menu de um recurso, o filtro será definido como esse recurso. Selecione Adicionar Filtro para adicionar mais propriedades ao filtro. Aqui estão as outras propriedades que pode filtrar no portal:

• Resource - Itens que fazem parte da sua solução Azure, como uma base de dados ou máquina virtual.
• Tipo de recurso – A categoria a que um recurso pertence, como máquinas virtuais, aplicações web ou bases de dados.
• Operation - Uma ação ou comando, como criar, eliminar e escrever, que afeta Azure Resource Manager recursos.
• Evento iniciado por – Filtrar eventos pela identidade que iniciou o evento.
• Categoria de evento – Filtrar os tipos de eventos para certas operações.

Use o comando az-monitor activity-log list para recuperar eventos de activity log atribuídos a um grupo de recursos. Comandos específicos do CLI do Azure reduzem a complexidade da chamada REST API equivalente.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroup"
offset="30d"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --resource-group "$resourceGroupName" \
  --offset "$offset"

Azure PowerShell fornece o cmdlet Get-AzActivityLog para recuperar eventos do registo de atividade atribuídos a um grupo de recursos num intervalo de tempo relativo.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$resourceGroupName = "myResourceGroup"
$lookbackDays = 30

Set-AzContext -Subscription $subscriptionId

$getAzActivityLogParams = @{
    ResourceGroupName = $resourceGroupName
    StartTime         = (Get-Date).AddDays(-$lookbackDays)
    EndTime           = Get-Date
}

Get-AzActivityLog @getAzActivityLogParams

Para listar eventos do registo de atividade abrangidos por um grupo de recursos usando a API REST do Azure Resource Manager, use um pedido GET que inclua um $filter que inclua tanto o intervalo temporal como a propriedade resourceGroupName. Opcionalmente, inclua o Prefer cabeçalho para especificar um timeout específico para o pedido (tempo máximo 75 de espera em segundos).

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}' and resourceGroupName eq '{resourceGroupName}'
Prefer: wait=75

O portal do Azure não fornece uma forma de limitar diretamente as propriedades devolvidas pelos eventos do registo de atividade. Para reduzir a quantidade de dados visualizados, utilize a opção Editar colunas na lâmina de registo de Atividade para selecionar quais as colunas que são exibidas na vista do portal.

Use o comando az monitor activity-log list com o --select parâmetro para especificar quais propriedades devolver dos eventos do registo de atividades.

Use o parâmetro --max-events de az monitor activity-log list para limitar o número de registos devolvidos.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
offset="30d"
maxEvents=100
selectFields=(
  eventName
  operationName
  status
  eventTimestamp
  correlationId
  submissionTimestamp
  level
)

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --offset "$offset" \
  --max-events "$maxEvents" \
  --select "${selectFields[@]}"

Limite as propriedades devolvidas pelos eventos do registo de atividade no Azure PowerShell utilizando a canalização dos resultados de Get-AzActivityLog para Select-Object e especificando as propriedades que deseja devolver. Isto não reduz o tamanho da resposta da API, pois Select-Object apenas filtra as propriedades na saída que o PowerShell apresenta.

Use o parâmetro -MaxRecord de Get-AzActivityLog para limitar o número de registos devolvidos.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$lookbackDays = 30
$maxRecord = 100
$selectProperties = @(
    "EventName"
    "OperationName"
    "Status"
    "EventTimestamp"
    "CorrelationId"
    "SubmissionTimestamp"
    "Level"
)

Set-AzContext -Subscription $subscriptionId

$activityLogParams = @{
    StartTime = (Get-Date).AddDays(-$lookbackDays)
    EndTime   = Get-Date
    MaxRecord = $maxRecord
}

Get-AzActivityLog @activityLogParams |
    Select-Object -Property $selectProperties

Para listar eventos do registo de atividade com apenas propriedades específicas retornadas usando a API REST Azure Resource Manager, inclua o parâmetro de consulta $select no pedido GET com uma lista separada por vírgulas das propriedades que deseja devolver.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'&$select=eventName,operationName,status,eventTimestamp,correlationId,submissionTimestamp,level

Vai a Monitor>Registo de atividade no portal Azure. Mude o menu suspenso de Atividade e selecione Atividade de Diretório.

Um comando dedicado da CLI do Azure não está disponível para eventos de registo de atividade ao nível do inquilino. O exemplo seguinte chama diretamente a API REST usando az rest:

apiVersion="2015-04-01"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-30T23:59:59Z"
providers="Microsoft.Insights/eventtypes/management/values"
resourceId="/providers/$providers"
filter="eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

az rest \
  --method get \
  --uri "$resourceId?api-version=$apiVersion&\$filter=$filter"

Um cmdlet dedicado de PowerShell não está disponível para eventos de registo de atividade ao nível do tenant. O exemplo seguinte chama diretamente a API REST usando Invoke-AzRestMethod:

$apiVersion = "2015-04-01"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-30T23:59:59Z"
$providers = "Microsoft.Insights/eventtypes/management/values"
$resourceId = "/providers/$providers"
$filter = "eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

$invokeAzRestMethodParams = @{
    Path   = "$resourceId?api-version=$apiVersion&`$filter=$filter"
    Method = "GET"
}

Invoke-AzRestMethod @invokeAzRestMethodParams

Para listar os eventos do registo de atividades ao nível do inquilino, utilize este GET pedido. Note que este pedido tem como alvo o endpoint do registo de atividades ao nível do inquilino, que é diferente da API do registo de atividades ao nível da subscrição.

GET https://management.azure.com/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{starTime}' and eventTimestamp le '{endTime}'

Para visualizar os eventos do registo de atividades ao nível do grupo de gestão no portal Azure, dirija-se a Grupos de gestão> selecione um grupo de gestão >Registo de atividade.

Para listar os eventos do registo de atividade ao nível do grupo de gestão, use o comando az rest CLI do Azure. Este comando chama diretamente a API REST do Azure Resource Manager para recuperar os eventos do registo de atividade atribuídos ao grupo de gestão especificado.

apiVersion="2017-03-01-preview"
managementGroupId="myManagementGroup"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-30T23:59:59Z"
providers="Microsoft.Insights/eventtypes/management/values"
resourceId="/providers/Microsoft.Management/managementGroups/$managementGroupId/providers/$providers"
filter="eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

az rest \
  --method get \
  --url "$resourceId?api-version=$apiVersion&\$filter=$filter"

Um cmdlet PowerShell dedicado não está disponível para eventos de registo de atividades ao nível do grupo de gestão. O exemplo seguinte chama diretamente a API REST usando Invoke-AzRestMethod.

$apiVersion = "2017-03-01-preview"
$managementGroupId = "myManagementGroup"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-30T23:59:59Z"
$providers = "Microsoft.Insights/eventtypes/management/values"
$resourceId = "/providers/Microsoft.Management/managementGroups/$managementGroupId/providers/$providers"
$filter = "eventTimestamp ge '$startTime' and eventTimestamp le '$endTime'"

$invokeAzRestMethodParams = @{
    Method = "GET"
    Path   = "$resourceId?api-version=$apiVersion&`$filter=$filter"
}

Invoke-AzRestMethod @invokeAzRestMethodParams

Para listar eventos de registo de atividade ao nível do grupo de gestão, use este pedido GET contra a API REST da Azure Resource Manager. Substitua {managementGroupId} pelo ID do grupo de gestão que pretende consultar e especifique o intervalo de tempo no $filter parâmetro da consulta.

GET https://management.azure.com/providers/Microsoft.Management/managementGroups/{managementGroupId}/providers/Microsoft.Insights/eventtypes/management/values?api-version={apiVersion}&$filter=eventTimestamp ge '{startTime}' and eventTimestamp le '{endTime}'

Envie o registo de atividade para um espaço de trabalho Log Analytics para a seguinte funcionalidade:

• Correlaciona os registos de atividade com outros dados de registo usando consultas de registo.
• Crie alertas de registo, que podem usar uma lógica mais complexa do que os alertas de registo de atividade.
• Aceder aos dados do registo de atividade com Power BI.
• Retenha os dados do registro de atividades por mais de 90 dias.

Não existem custos de ingestão de dados para registos de atividade. As taxas de retenção pelos registos de atividade aplicam-se apenas ao período prolongado para além do período padrão de retenção de 90 dias. Pode aumentar o período de retenção para até 12 anos.

Os dados do registo de atividade num espaço de trabalho Log Analytics são armazenados numa tabela chamada AzureActivity. A estrutura desta tabela varia dependendo da categoria da entrada de log.

Por exemplo, para exibir uma contagem de registros de log de atividades para cada categoria, use a seguinte consulta:

AzureActivity
| summarize count() by CategoryValue

Para recuperar todos os registros na categoria administrativa, use a seguinte consulta:

AzureActivity
| where CategoryValue == "Administrative"

Envie o registo de atividades para o Hubs de Eventos do Azure para enviar entradas fora do Azure, por exemplo, para um SIEM de terceiros ou outras soluções de análise de registos. Os eventos do log de atividades dos hubs de eventos são consumidos no formato JSON com um elemento records que contém os registos dentro de cada carga útil. O esquema depende da categoria e é descrito em esquema de eventos do registo de atividade do Azure.

O seguinte exemplo de dados de saída é de centros de eventos para um registo de atividades:

{
    "records": [
        {
            "time": "2019-01-21T22:14:26.9792776Z",
            "resourceId": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
            "operationName": "microsoft.support/supporttickets/write",
            "category": "Write",
            "resultType": "Success",
            "resultSignature": "Succeeded.Created",
            "durationMs": 2826,
            "callerIpAddress": "111.111.111.11",
            "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
            "identity": {
                "authorization": {
                    "scope": "/subscriptions/s1/resourceGroups/MSSupportGroup/providers/microsoft.support/supporttickets/115012112305841",
                    "action": "microsoft.support/supporttickets/write",
                    "evidence": {
                        "role": "Subscription Admin"
                    }
                },
                "claims": {
                    "aud": "https://management.core.windows.net/",
                    "iss": "https://sts.windows.net/aaaabbbb-0000-cccc-1111-dddd2222eeee/",
                    "iat": "1421876371",
                    "nbf": "1421876371",
                    "exp": "1421880271",
                    "ver": "1.0",
                    "http://schemas.microsoft.com/identity/claims/tenantid": "aaaabbbb-0000-cccc-1111-dddd2222eeee",
                    "http://schemas.microsoft.com/claims/authnmethodsreferences": "pwd",
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "aaaa0000-bb11-2222-33cc-444444dddddd",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "admin@contoso.com",
                    "puid": "1003BFFD8EC002D4",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier": "9vckmEGF7zDKk1YzIY8k0t1_EAPaXoeHyPRn6f413zM",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname": "John",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname": "Smith",
                    "name": "John Smith",
                    "groups": "bbbb1111-cc22-3333-44dd-555555eeeeee,aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb,cccc2222-dd33-4444-55ee-666666ffffff",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": " admin@contoso.com",
                    "appid": "00001111-aaaa-2222-bbbb-3333cccc4444",
                    "appidacr": "2",
                    "http://schemas.microsoft.com/identity/claims/scope": "user_impersonation",
                    "http://schemas.microsoft.com/claims/authnclassreference": "1"
                }
            },
            "level": "Information",
            "location": "global",
            "properties": {
                "statusCode": "Created",
                "serviceRequestId": "bbbbbbbb-1111-2222-3333-cccccccccccc"
            }
        }
    ]
}

Envie o registo de atividade para uma conta Armazenamento do Azure se quiser manter os seus dados de registo por mais de 90 dias para auditoria, análise estática ou backup. Se precisares de guardar os teus eventos durante 90 dias ou menos, não precisas de configurar o arquivo numa conta de armazenamento.

Quando você envia o log de atividades para o armazenamento, um contêiner de armazenamento é criado na conta de armazenamento assim que ocorre um evento. Os blobs no contêiner usam a seguinte convenção de nomenclatura:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/{subscription ID}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

Por exemplo, um blob específico pode ter um nome semelhante a:

insights-activity-logs/resourceId=/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/y=2020/m=06/d=08/h=18/m=00/PT1H.json

Cada PT1H.json blob contém um objeto JSON com eventos de arquivos de log que foram recebidos durante a hora especificada na URL do blob. Durante a hora presente, os eventos são anexados ao arquivo PT1H.json à medida que são recebidos, independentemente de quando foram gerados. O valor de minuto na URL m=00 é sempre 00 porque os blobs são criados por hora.

Cada evento é armazenado no arquivo PT1H.json com o seguinte formato. Esse formato usa um esquema de nível superior comum, mas é exclusivo para cada categoria, conforme descrito no esquema do log de atividades.

{ "time": "2020-06-12T13:07:46.766Z", "resourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MY-RESOURCE-GROUP/PROVIDERS/MICROSOFT.COMPUTE/VIRTUALMACHINES/MV-VM-01", "correlationId": "bbbb1111-cc22-3333-44dd-555555eeeeee", "operationName": "Microsoft.Resourcehealth/healthevent/Updated/action", "level": "Information", "resultType": "Updated", "category": "ResourceHealth", "properties": {"eventCategory":"ResourceHealth","eventProperties":{"title":"This virtual machine is starting as requested by an authorized user or process. It will be online shortly.","details":"VirtualMachineStartInitiatedByControlPlane","currentHealthStatus":"Unknown","previousHealthStatus":"Unknown","type":"Downtime","cause":"UserInitiated"}}}

Selecione Download como CSV para exportar o registo de atividade para um ficheiro CSV no portal Azure.

Pode exportar o registo de atividade programaticamente usando o CLI do Azure.

subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
startTime="2026-04-01T00:00:00Z"
endTime="2026-04-14T23:59:59Z"
maxItems=1000
outputFile="./activity-log.json"

az monitor activity-log list \
  --subscription "$subscriptionId" \
  --start-time "$startTime" \
  --end-time "$endTime" \
  --max-items "$maxItems" \
  > "$outputFile"

Pode exportar o registo de atividades programaticamente usando o Azure PowerShell.

$subscriptionId = "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
$startTime = "2026-04-01T00:00:00Z"
$endTime = "2026-04-14T23:59:59Z"
$outputFile = "./activity-log.csv"

Set-AzContext -SubscriptionId $subscriptionId

$getAzActivityLogParams = @{
    StartTime = $startTime
    EndTime   = $endTime
}

Get-AzActivityLog @getAzActivityLogParams |
    Export-Csv -Path $outputFile -NoTypeInformation

O seguinte exemplo de script PowerShell exporta o registo de atividade para ficheiros CSV em intervalos de uma hora, cada um guardado num ficheiro separado.

# Parameters
$subscriptionId = "Subscription ID here"  # Replace with your subscription ID
$startTime = [datetime]"2025-05-08T00:00:00" # Adjust as needed
$endTime = [datetime]"2025-05-08T12:00:00"  # Adjust as needed
$outputFolder = "\Logs"    # Change path as needed
 
# Ensure output folder exists
if (-not (Test-Path $outputFolder)) {
    New-Item -Path $outputFolder -ItemType Directory
}
 
# Set subscription context
Set-AzContext -SubscriptionId $subscriptionId
 
# Loop through 1-hour intervals
$currentStart = $startTime
while ($currentStart -lt $endTime) {
    $currentEnd = $currentStart.AddHours(1)
    $timestamp = $currentStart.ToString("yyyyMMdd-HHmm")
    $csvFile = Join-Path $outputFolder "ActivityLog_$timestamp.csv"
 
    Write-Host "Fetching logs from $currentStart to $currentEnd..."
    Get-AzActivityLog -StartTime $currentStart -EndTime $currentEnd |
        Export-Csv -Path $csvFile -NoTypeInformation
 
    $currentStart = $currentEnd
}
 
Write-Host "Export completed. Files saved to $outputFolder."