如何找出哪个日志分析工作区具有订阅级别活动日志、Azure ADAudit日志和登录日志

如何找出哪个日志分析工作区具有订阅级别活动日志、Azure AD审核日志和登录日志。

---

是否有任何api或kql查询？

正如您所知，您可以将Azure广告日志转发到Azure日志分析，并在那里进行查询。但为了知道哪个日志分析工作区有此Azure广告日志或活动日志被移动，当前不可用。请对此进行调查。

我想了解您需求的原因或用例。然而，为了完成您的需求，您必须编写一个包含以下步骤的小型shell脚本

使用RESTAPI并获取订阅中的所有日志分析工作区

将输出存储在数组中

使用REST API分别查询“AzureActivity”、“AuditLogs”和“SigningLogs”表的计数，即在第一个REST API的{query}部分中给出“AzureActivity | count”，类似地给出第二个和第三个REST API的“AuditLogs | count”和“SigningLogs | count”

针对所有日志分析工作区（属于上述步骤2的输出的一部分），分别并连续查询上述步骤3中解释的3个REST API

存储日志分析工作区具有订阅级别活动日志（基于AzureActivity表的计数>0）、Azure AD审核日志（基于AuditLogs表的计数>0）、登录日志（基于SigninLogs表的计数>0）的输出

---

你真的不需要知道。从其中一个工作区进入日志分析UI，并将其范围更改为订阅范围。请参见此处的说明：

现在，您可以查询与此订阅关联的所有记录。 工作区ID BTW显示为“TenantId” 梅尔