创建M365租户新组的Azure Activity Alert遇阻，求解决方案

一、先确认事件日志的有效性 #

• 直接在Azure Monitor日志中运行查询，验证是否能捕获到测试组的创建事件：

  AuditLogs
  | where OperationName has "Add group" or OperationName has "Create group"
  | where TargetResources[0].type == "Group"
  | where TargetResources[0].displayName == "你的测试组名称"
  | project TimeGenerated, OperationName, TargetResources[0].displayName, InitiatedBy.user.userPrincipalName
  

  如果查询无结果，说明日志未同步或事件分类错误——M365组的创建事件有时会归类在Office 365 Audit Logs而非Azure Activity Log，切换日志源后再查询：

  OfficeActivity
  | where Operation == "GroupCreated"
  | where GroupDisplayName == "你的测试组名称"
  

二、调整警报规则的查询与配置 #

• 放弃默认的「Create or Modify group」模板，直接创建自定义日志警报：
  1. 选择对应日志工作区，指定日志源为AuditLogs或OfficeActivity
  2. 将验证通过的Kusto查询作为警报规则的查询语句
  3. 设置触发条件（例如每5分钟运行一次，返回结果数>0时触发）

三、精准过滤目标组类型 #

• 若仅需监控安全组和用户组，在查询中添加组类型过滤逻辑：
  针对AuditLogs：

  AuditLogs
  | where OperationName == "Add group"
  | extend groupType = TargetResources[0].properties.groupTypes
  | where array_length(groupType) == 0 or groupType has "Security" // 匹配安全组和普通用户组
  

  针对OfficeActivity：

  OfficeActivity
  | where Operation == "GroupCreated"
  | where GroupType in ("Security", "Distribution") // 根据需求调整组类型
  

四、验证自动化触发链路 #

• 警报配置完成后，检查警报历史是否有触发记录：
  • 若有触发但自动化未执行，确认自动化账户具备读取组信息、触发运行簿的权限
  • 检查动作组配置是否正确关联到目标自动化运行簿

内容的提问来源于stack exchange，提问作者JT 19