使用Azure AD凭据登录Azure VM的登录日志位置查询

• 确认VM的Azure AD登录配置有效性
  • 检查VM是否已成功部署AzureADLoginForWindows（Windows）或AzureADLoginForLinux（Linux）扩展
  • 核实登录用户已被分配Virtual Machine Administrator Login或Virtual Machine User Login角色
• 调整Sign-In Logs筛选条件
  • 将活动类型选为非交互式用户（Azure AD登录VM默认走非交互式流程）
  • 扩大时间范围至登录发生时段，避免因筛选范围过窄遗漏日志
  • 通过应用程序筛选框，选择名称含Azure Virtual Machine Login的应用条目
• 从其他日志源查询
  • 在Azure Monitor日志中执行KQL查询：

    SigninLogs
    | where AppDisplayName contains "Azure Virtual Machine Login"
    | where ResourceDisplayName == "<你的VM名称>"
    | project TimeGenerated, UserPrincipalName, IPAddress, ResultType
    

  • 查看VM本地日志：Windows看事件查看器 > 应用程序和服务日志 > Microsoft > Windows > AADLoginForWindows；Linux查看/var/log/azure/AADLoginForLinux/*路径下的日志
• 工单推进要点
  • 在工单中明确提供VM资源ID、登录用户UPN、具体登录时间、已完成的排查动作及结果
  • 同步客户成功经理，请求协助将工单定向派至负责Azure AD VM登录日志的专项团队

内容的提问来源于stack exchange，提问作者Per Austreng