查詢以獲取 Azure 訂閱中資源（磁盤/虛擬機）的最后活動時間

Question

我一直在嘗試在 Azure 門戶上使用 Kusto 查詢語言獲取磁盤/VM 的最后活動時間。 有可能追蹤嗎？ 如果該資源未使用超過 14 天，我希望此信息能夠提醒用戶。

另外，誰能幫我看看是否有其他方法可以查詢訂閱中未使用資源的列表（比如 N 天）？

謝謝！

Answer 1

據我所知，您需要找到超過 14 天前的最大authenticationStepDateTime 。

要在 Azure 門戶上使用Kusto 查詢語言獲取訂閱中未使用資源的列表（比如 N=15 天），請嘗試使用如下示例查詢：

let SigninUsersWithin15Days = SigninLogs
| extend d = parse_json(AuthenticationDetails)
| extend LoginTimestamp = todatetime(d[0].authenticationStepDateTime)
| where AppDisplayName == "Azure Portal" and OperationName == "Sign-in activity" and isnotempty(AlternateSignInName)
| summarize max(LoginTimestamp) by AlternateSignInName, Identity
| where max_LoginTimestamp < ago(15d)
| distinct AlternateSignInName;

• 查詢以引用SigninLogs 開始。
• 然后數據通過extend子句傳輸，該子句通過計算每一行中的值來創建新列。
• pipe 用於將數據轉換運算符綁定在一起。 where子句和 pipe (|) 分隔符都是編寫 KQL 查詢的關鍵。
• 為此，將身份驗證詳細信息 json 文件作為輸入。
• 您可以使用extend為基於查詢的日期和時間計算 session 持續時間的時間戳提供別名。
• 這通過管道傳輸到 where 子句，該子句按給定列過濾 Azure 門戶中所有資源的登錄活動。
• 這里我們包含了顯示用戶登錄詳細信息的AlternateSignIn名稱。
• 最后，查詢顯示少於 15 天的未使用資源列表。

供您參考，請找到以下鏈接： Ref1 、 Ref2