创建Azure AD组用户增减通知警报时Kusto查询失效求助

原查询无法工作的核心原因是选错了日志表：SecurityEvent存储的是Windows本地安全事件日志，完全不包含Azure Active Directory（AAD）的组操作记录。AAD的审计日志存在AuditLogs表中，以下是修正后的查询：

AuditLogs
| where Category == "GroupManagement"
  and OperationName == "Add member to group"
  and TargetResources[0].displayName contains "Admin" // 筛选目标组名称含Admin的操作
  and TimeGenerated > ago(24h)
| project 
  TimeGenerated,
  操作者 = InitiatedBy.user.userPrincipalName,
  目标组 = TargetResources[0].displayName,
  添加的用户 = TargetResources[1].displayName,
  操作详情 = ResultDescription
| sort by TimeGenerated desc

关键说明 #

• 用AuditLogs表获取AAD的所有审计操作记录
• Category == "GroupManagement"限定只看组管理相关操作
• OperationName == "Add member to group"精准匹配"添加用户到组"的动作
• project字段可以根据你的需求调整，保留告警里需要的关键信息

告警配置注意点 #

创建告警规则时，触发条件选择**"当查询结果数大于0"**，这样每有一次添加用户到指定组的操作，就会立即触发告警通知，而不是统计计数后再触发。

内容的提问来源于stack exchange，提问作者user770022