Dela via

Konfigurera en webhook för att hämta aktivitetsloggaviseringar

Som en del av definitionen av en åtgärdsgrupp kan du konfigurera webhook-slutpunkter för att ta emot aktivitetsloggaviseringar. Med webhooks kan du dirigera dessa meddelanden till andra system för efterbearbetning eller anpassade åtgärder. Den här artikeln visar hur nyttolasten för HTTP POST till en webhook ser ut.

Mer information om aktivitetsloggaviseringar finns i skapa Azure-aktivitetsloggaviseringar.

Information om åtgärdsgrupper finns i skapa åtgärdsgrupper.

Kommentar

Du kan också använda det vanliga aviseringsschemat för dina webhook-integreringar. Det ger fördelen att ha en enda utökningsbar och enhetlig aviseringsnyttolast för alla aviseringstjänster i Azure Monitor. Läs mer om det vanliga aviseringsschemat.

Autentisera webhooken

Webhooken kan också använda tokenbaserad auktorisering för autentisering. Webhook-URI:n sparas med ett token-ID, https://mysamplealert/webcallback?tokenid=sometokenid&someparameter=somevaluetill exempel .

Nyttolastschema

JSON-nyttolasten i POST-åtgärden skiljer sig beroende på nyttolastens data.context.activityLog.eventSource fält.

Kommentar

För närvarande kopieras beskrivningen som är en del av aktivitetslogghändelsen till den aktiverade Alert Description egenskapen.

För att justera aktivitetsloggens nyttolast med andra aviseringstyper innehåller den utlösta aviseringsegenskapen Description i stället beskrivningen av aviseringsregeln från och med den 1 april 2021.

Inför ändringen skapade vi en ny egenskap, Activity Log Event Description, för den utlösta aviseringen i aktivitetsloggen. Den här nya egenskapen är fylld med den Description egenskap som redan är tillgänglig för användning. Det nya fältet Activity Log Event Description innehåller alltså beskrivningen som är en del av aktivitetslogghändelsen.

Granska dina aviseringsregler, åtgärdsregler, webhooks, logikapp eller andra konfigurationer där du kanske använder Description egenskapen från den utlösta aviseringen. Ersätt egenskapen Description med Activity Log Event Description egenskapen .

Om ditt villkor i dina åtgärdsregler, webhooks, logikapp eller andra konfigurationer för närvarande baseras på egenskapen Description för aktivitetsloggaviseringar, kan du behöva ändra det så att det i stället baseras på egenskapen Activity Log Event Description.

Om du vill fylla i den nya Description egenskapen kan du lägga till en beskrivning i aviseringsregeldefinitionen.

Skärmbild som visar utlösta aktivitetsloggaviseringar.

Vanlig

{
    "schemaId": "Microsoft.Insights/activityLogs",
    "data": {
        "status": "Activated",
        "context": {
            "activityLog": {
                "channels": "Operation",
                "correlationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
                "eventSource": "Administrative",
                "eventTimestamp": "2017-03-29T15:43:08.0019532+00:00",
                "eventDataId": "8195a56a-85de-4663-943e-1a2bf401ad94",
                "level": "Informational",
                "operationName": "Microsoft.Insights/actionGroups/write",
                "operationId": "aaaa0000-bb11-2222-33cc-444444dddddd",
                "status": "Started",
                "subStatus": "",
                "subscriptionId": "aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e",
                "submissionTimestamp": "2017-03-29T15:43:20.3863637+00:00",
                ...
            }
        },
        "properties": {}
    }
}

Administrativ

{
    "schemaId": "Microsoft.Insights/activityLogs",
    "data": {
        "status": "Activated",
        "context": {
            "activityLog": {
                "authorization": {
                    "action": "Microsoft.Insights/actionGroups/write",
                    "scope": "/subscriptions/bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f/resourceGroups/CONTOSO-TEST/providers/Microsoft.Insights/actionGroups/IncidentActions"
                },
                "claims": "{...}",
                "caller": "me@contoso.com",
                "description": "",
                "httpRequest": "{...}",
                "resourceId": "/subscriptions/bbbb1b1b-cc2c-dd3d-ee4e-ffffff5f5f5f/resourceGroups/CONTOSO-TEST/providers/Microsoft.Insights/actionGroups/IncidentActions",
                "resourceGroupName": "CONTOSO-TEST",
                "resourceProviderName": "Microsoft.Insights",
                "resourceType": "Microsoft.Insights/actionGroups"
            }
        },
        "properties": {}
    }
}

Säkerhet

{
  "schemaId":"Microsoft.Insights/activityLogs",
  "data":{"status":"Activated",
    "context":{
      "activityLog":{
        "channels":"Operation",
        "correlationId":"2518408115673929999",
        "description":"Failed SSH brute force attack. Failed brute force attacks were detected from the following attackers: [\"IP Address: 01.02.03.04\"].  Attackers were trying to access the host with the following user names: [\"root\"].",
        "eventSource":"Security",
        "eventTimestamp":"2017-06-25T19:00:32.607+00:00",
        "eventDataId":"Sec-07f2-4d74-aaf0-03d2f53d5a33",
        "level":"Informational",
        "operationName":"Microsoft.Security/locations/alerts/activate/action",
        "operationId":"Sec-07f2-4d74-aaf0-03d2f53d5a33",
        "properties":{
          "attackers":"[\"IP Address: 01.02.03.04\"]",
          "numberOfFailedAuthenticationAttemptsToHost":"456",
          "accountsUsedOnFailedSignInToHostAttempts":"[\"root\"]",
          "wasSSHSessionInitiated":"No","endTimeUTC":"06/25/2017 19:59:39",
          "actionTaken":"Detected",
          "resourceType":"Virtual Machine",
          "severity":"Medium",
          "compromisedEntity":"LinuxVM1",
          "remediationSteps":"[In case this is an Azure virtual machine, add the source IP to NSG block list for 24 hours (see https://azure.microsoft.com/documentation/articles/virtual-networks-nsg/)]",
          "attackedResourceType":"Virtual Machine"
        },
        "resourceId":"/subscriptions/12345-5645-123a-9867-123b45a6789/resourceGroups/contoso/providers/Microsoft.Security/locations/centralus/alerts/Sec-07f2-4d74-aaf0-03d2f53d5a33",
        "resourceGroupName":"contoso",
        "resourceProviderName":"Microsoft.Security",
        "status":"Active",
        "subscriptionId":"12345-5645-123a-9867-123b45a6789",
        "submissionTimestamp":"2017-06-25T20:23:04.9743772+00:00",
        "resourceType":"MICROSOFT.SECURITY/LOCATIONS/ALERTS"
      }
    },
    "properties":{}
  }
}

Rekommendation

{
  "schemaId":"Microsoft.Insights/activityLogs",
  "data":{
    "status":"Activated",
    "context":{
      "activityLog":{
        "channels":"Operation",
        "claims":"{\"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress\":\"Microsoft.Advisor\"}",
        "caller":"Microsoft.Advisor",
        "correlationId":"bbbb1111-cc22-3333-44dd-555555eeeeee",
        "description":"A new recommendation is available.",
        "eventSource":"Recommendation",
        "eventTimestamp":"2017-06-29T13:52:33.2742943+00:00",
        "httpRequest":"{\"clientIpAddress\":\"0.0.0.0\"}",
        "eventDataId":"1bf234ef-e45f-4567-8bba-fb9b0ee1dbcb",
        "level":"Informational",
        "operationName":"Microsoft.Advisor/recommendations/available/action",
        "properties":{
          "recommendationSchemaVersion":"1.0",
          "recommendationCategory":"HighAvailability",
          "recommendationImpact":"Medium",
          "recommendationName":"Enable Soft Delete to protect your blob data",
          "recommendationResourceLink":"https://portal.azure.com/#blade/Microsoft_Azure_Expert/RecommendationListBlade/recommendationTypeId/12dbf883-5e4b-4f56-7da8-123b45c4b6e6",
          "recommendationType":"12dbf883-5e4b-4f56-7da8-123b45c4b6e6"
        },
        "resourceId":"/subscriptions/12345-5645-123a-9867-123b45a6789/resourceGroups/contoso/providers/microsoft.storage/storageaccounts/contosoStore",
        "resourceGroupName":"CONTOSO",
        "resourceProviderName":"MICROSOFT.STORAGE",
        "status":"Active",
        "subStatus":"",
        "subscriptionId":"12345-5645-123a-9867-123b45a6789",
        "submissionTimestamp":"2017-06-29T13:52:33.2742943+00:00",
        "resourceType":"MICROSOFT.STORAGE/STORAGEACCOUNTS"
      }
    },
    "properties":{}
  }
}

Tjänstehälsa

{
    "schemaId": "Microsoft.Insights/activityLogs",
    "data": {
        "status": "Activated",
        "context": {
            "activityLog": {
            "channels": "Admin",
            "correlationId": "cccc2222-dd33-4444-55ee-666666ffffff",
            "description": "Active: Virtual Machines - Australia East",
            "eventSource": "ServiceHealth",
            "eventTimestamp": "2017-10-18T23:49:25.3736084+00:00",
            "eventDataId": "6fa98c0f-334a-b066-1934-1a4b3d929856",
            "level": "Informational",
            "operationName": "Microsoft.ServiceHealth/incident/action",
            "operationId": "cccc2222-dd33-4444-55ee-666666ffffff",
            "properties": {
                "title": "Virtual Machines - Australia East",
                "service": "Virtual Machines",
                "region": "Australia East",
                "communication": "Starting at 02:48 UTC on 18 Oct 2017 you have been identified as a customer using Virtual Machines in Australia East who may receive errors starting Dv2 Promo and DSv2 Promo Virtual Machines which are in a stopped "deallocated" or suspended state. Customers can still provision Dv1 and Dv2 series Virtual Machines or try deploying Virtual Machines in other regions, as a possible workaround. Engineers have identified a possible fix for the underlying cause, and are exploring implementation options. The next update will be provided as events warrant.",
                "incidentType": "Incident",
                "trackingId": "0NIH-U2O",
                "impactStartTime": "2017-10-18T02:48:00.0000000Z",
                "impactedServices": "[{\"ImpactedRegions\":[{\"RegionName\":\"Australia East\"}],\"ServiceName\":\"Virtual Machines\"}]",
                "defaultLanguageTitle": "Virtual Machines - Australia East",
                "defaultLanguageContent": "Starting at 02:48 UTC on 18 Oct 2017 you have been identified as a customer using Virtual Machines in Australia East who may receive errors starting Dv2 Promo and DSv2 Promo Virtual Machines which are in a stopped "deallocated" or suspended state. Customers can still provision Dv1 and Dv2 series Virtual Machines or try deploying Virtual Machines in other regions, as a possible workaround. Engineers have identified a possible fix for the underlying cause, and are exploring implementation options. The next update will be provided as events warrant.",
                "stage": "Active",
                "communicationId": "636439673646212912",
                "version": "0.1.1"
            },
            "status": "Active",
            "subscriptionId": "cccc2c2c-dd3d-ee4e-ff5f-aaaaaa6a6a6a",
            "submissionTimestamp": "2017-10-18T23:49:28.7864349+00:00"
        }
    },
    "properties": {}
    }
}

Specifik schemainformation om aktivitetsloggaviseringar för tjänsthälsa finns i Tjänststatus meddelanden. Du kan också lära dig hur du konfigurerar webhooksaviseringar för tjänsthälsa med dina befintliga lösningar för problemhantering.

Resurshälsa

{
    "schemaId": "Microsoft.Insights/activityLogs",
    "data": {
        "status": "Activated",
        "context": {
            "activityLog": {
                "channels": "Admin, Operation",
                "correlationId": "dddd3333-ee44-5555-66ff-777777aaaaaa",
                "eventSource": "ResourceHealth",
                "eventTimestamp": "2018-09-04T23:09:03.343+00:00",
                "eventDataId": "2b37e2d0-7bda-4de7-ur8c6-1447d02265b2",
                "level": "Informational",
                "operationName": "Microsoft.Resourcehealth/healthevent/Activated/action",
                "operationId": "2b37e2d0-7bda-489f-81c6-1447d02265b2",
                "properties": {
                    "title": "Virtual Machine health status changed to unavailable",
                    "details": "Virtual machine has experienced an unexpected event",
                    "currentHealthStatus": "Unavailable",
                    "previousHealthStatus": "Available",
                    "type": "Downtime",
                    "cause": "PlatformInitiated"
                },
                "resourceId": "/subscriptions/<subscription Id>/resourceGroups/<resource group>/providers/Microsoft.Compute/virtualMachines/<resource name>",
                "resourceGroupName": "<resource group>",
                "resourceProviderName": "Microsoft.Resourcehealth/healthevent/action",
                "status": "Active",
                "subscriptionId": "<subscription Id>",
                "submissionTimestamp": "2018-09-04T23:11:06.1607287+00:00",
                "resourceType": "Microsoft.Compute/virtualMachines"
            }
        }
    }
}
Elementnamn beskrivning
tillstånd Används för metriska aviseringar. Ange alltid till activated för aktivitetsloggaviseringar.
sammanhang Kontext för händelsen.
resursleverantörsnamn Resursprovidern för den berörda resursen.
villkorstyp Alltid Event.
namn Namnet på aviseringsregeln.
ID-nummer Resurs-ID för aviseringen.
beskrivning Aviseringsbeskrivning anges när aviseringen skapas.
abonnemangs-ID Prenumerations-ID för Azure.
tidsstämpel Tidpunkt då händelsen genererades av Azure-tjänsten som bearbetade begäran.
resursId Resurs-ID för den berörda resursen.
resursGruppNamn Namnet på resursgruppen för den berörda resursen.
egenskaper En mängd <Key, Value>-par (d.v.s. Dictionary<String, String>) som innehåller information om händelsen.
händelse Element som innehåller metadata om händelsen.
auktorisering De Azure-rollbaserade åtkomstkontrollegenskaperna för händelsen. Dessa egenskaper omfattar vanligtvis åtgärden, rollen och omfånget.
kategori Kategorin för händelsen. Värden som stöds är Administrative, Alert, Security, ServiceHealthoch Recommendation.
besökare E-postadress till den användare som utförde åtgärden, UPN-anspråket eller SPN-anspråket baserat på tillgänglighet. Kan vara null för vissa systemanrop.
correlationId Vanligtvis ett GUID i strängformat. Händelser med correlationId tillhör samma större åtgärd och delar vanligtvis en correlationId.
eventDescription Statisk textbeskrivning av händelsen.
eventDataId Unik identifierare för händelsen.
händelsekälla Namnet på Den Azure-tjänst eller infrastruktur som genererade händelsen.
HTTP-förfrågan Begäran innehåller vanligtvis clientRequestId, clientIpAddress och HTTP-metoden (till exempel PUT).
nivå Ett av följande värden: Critical, Error, Warningoch Informational.
operationId Vanligtvis delas ett GUID mellan de händelser som motsvarar en enda åtgärd.
operationens namn Namnet på åtgärden.
egenskaper Egenskaper för händelsen.
tillstånd Sträng. Status för åtgärden. Vanliga värden är Started, In Progress, Succeeded, Failed, Activeoch Resolved.
subStatus Innehåller vanligtvis HTTP-statuskoden för motsvarande REST-anrop. Den kan också innehålla andra strängar som beskriver en understatus. Vanliga understatusvärden är OK (HTTP-statuskod: 200), Created (HTTP-statuskod: 201), Accepted (HTTP-statuskod: 202), No Content (HTTP-statuskod: 204), Bad Request (HTTP-statuskod: 400), Not Found (HTTP-statuskod: 404), Conflict (HTTP-statuskod: 409), Internal Server Error (HTTP-statuskod: 500), Service Unavailable (HTTP-statuskod: 503) och Gateway Timeout (HTTP-statuskod: 504).

Specifik schemainformation om alla andra aktivitetsloggaviseringar finns i Översikt över Azure-aktivitetsloggen.

Nästa steg