在 Log Analytics 中查找已部署资源的 SKU - Azure 活动答案

【问题标题】：Find SKU of deployed resources in Log Analytics - Azure Activity在 Log Analytics 中查找已部署资源的 SKU - Azure 活动
【发布时间】：2021-12-29 14:10:31
【问题描述】：

我已配置以下 Kusto 查询来收集订阅中 Azure 部署的信息。

AzureActivity 
| where ResourceProviderValue startswith "Microsoft.resources" 
| where ActivitySubstatusValue contains "Created"

此查询将显示有关所有资源提供者的新部署的各种信息。这些是运行查询时包含的列：

TenantId, SourceSystem, CallerIpAddress, CategoryValue, CorrelationId, Authorization, Authorization_d, Claims, Claims_d, Level, OperationNameValue, Properties, Properties_d, Caller, EventDataId, EventSubmissionTimestamp, HTTPRequest, OperationId, ResourceGroup, ResourceProviderValue, ActivityStatusValue, ActivitySubstatusValue, Hierarchy, TimeGenerated, SubscriptionId, OperationName, ActivityStatus, ActivitySubstatus, Category, ResourceId, ResourceProvider, Resource, Type, _ResourceId

但不是已部署资源的 SKU。

我想监控订阅中部署的资源，包括 SKU。是否可以在来自 Azure 活动日志的 Log Analytics 查询中包含所有资源提供者的已部署资源的 SKU？

【问题讨论】：

能否帮助我们了解您希望使用日志分析查询提取 SKU 名称的资源提供商资源（如密钥库、VM 和存储）的类型，或者请帮助我们解释一些简短的你到底在找什么？
该查询收集有关所有资源提供者的已部署资源的信息。我正在寻找的是包含已部署资源的 SKU 类型。当用户部署假设负载均衡器时，如果它是基本或标准负载均衡器，我想包含在数据中。磁盘、计算和各种其他资源提供程序也是如此。

标签： azure azure-log-analytics

【解决方案1】：

我们在本地环境中对此进行了测试，以下分析基于我们的观察。

活动日志是 Azure 中的 platform log，提供对订阅级事件的深入了解。这包括诸如何时修改资源或何时启动虚拟机等信息。

是否可以包含所有已部署资源的 SKU Azure 活动日志中的 Log Analytics 查询中的资源提供程序？

不，这是不可能的，为了验证这一点，我们在订阅中创建了 NetworkSecurityGroup 和 DataDisk。

当我们尝试使用AzureActivity 表获取这些资源日志并应用ResourceProviderValue == "MICROSOFT.RESOURCES" 过滤器时，用户在创建时传递的这些资源的实际名称不会被填充，如下所示。

如果您使用正在部署的资源的特定于资源的资源提供程序，而不是使用 ResourceProviderValue == "MICROSOFT.RESOURCES"，那么您将能够提取该资源的 SKU。

这里磁盘属于Microsoft.Compute资源提供者，如果我们对上述AzureActivity日志应用一些额外的过滤器，我们可以拉取特定资源的sku。

【讨论】：