如何配置Azure Monitor在应用注册API权限变更时向管理员发警报？

可以配置Azure Monitor在应用注册的API权限被编辑时向管理员发送警报，具体步骤如下：

• 步骤1：将Azure AD审核日志接入Log Analytics工作区
  进入Azure门户的「Azure Active Directory」→「诊断设置」，新建诊断设置：勾选「AuditLogs」选项，选择发送到已创建的Log Analytics工作区，完成保存。这一步是让Azure Monitor能获取到API权限变更的事件数据。

• 步骤2：编写筛选API权限变更的日志查询
  进入目标Log Analytics工作区→「日志」，输入以下查询语句（筛选应用更新且涉及权限变更的审核事件）：

  AuditLogs
  | where OperationName has "Update application" and ResultDescription has "Permission"
  | where TargetResources has "Application"
  | project TimeGenerated, OperationName, InitiatedBy, TargetResources, ResultDescription
  

  测试查询确认能返回匹配的权限变更事件后，继续下一步。

• 步骤3：创建警报规则并设置通知
  在日志查询页面点击「+ 新建警报规则」：

  • 条件配置：保留当前查询结果，设置警报触发逻辑为「当查询返回行数大于0时触发」；
  • 操作组配置：新建或选择已有操作组，添加「电子邮件/短信」等通知方式，填入管理员的联系方式；
  • 完成警报名称、严重级别等基础配置后，保存规则。

完成以上配置后，当应用注册的API权限被添加、移除或修改时，Azure Monitor会自动触发警报并向指定管理员发送通知。

内容的提问来源于stack exchange，提问作者Rebekka Bratlie