El registro de actividad, quién cambió qué en Azure

El registro de actividad de Azure guarda operaciones de gestión sobre los recursos: crear una máquina virtual, cambiar una regla de red, asignar un rol. A eso se le llama plano de control. Se llena solo, sin configurar nada, quien administra no puede cambiarlo ni borrarlo y Azure lo conserva 90 días. Es además el único lugar donde queda quién creó un recurso.

Lo que no suele capturar son las lecturas: abrir un archivo guardado en una cuenta de almacenamiento o consultar una base de datos es plano de datos, y eso pertenece a otro tipo de registro que se verá en la sala siguiente.

Cada fila de la tabla AzureActivity trae la hora (TimeGenerated), la operación (OperationNameValue), su estado (ActivityStatusValue), quien la pidió (Caller), su dirección de origen (CallerIpAddress) y el recurso afectado. El nombre de la operación termina en WRITE cuando crea o modifica, en DELETE cuando borra y en ACTION cuando ejecuta algo, como arrancar una máquina.

Prueba AzureActivity para ver todo y luego filtra por el recurso con where Resource == "stsiachoquepedidos".

Una operación que falla también deja huella, y a veces dice más que una que sale bien. Un Failed en un borrado indica que alguien lo intentó y que el sistema no se lo permitió, normalmente por falta de permisos. Hay que mirar quién lo intentó, desde dónde y cuántas veces.

Algunas operaciones dejan una fila cuando empiezan (Started) y otra cuando terminan (Succeeded o Failed). Las dos comparten el mismo CorrelationId, que sirve para unirlas. Contar filas no es contar acciones.

La diferencia entre la hora de la fila Started y la de la fila Succeeded de una misma correlación es lo que tardó la operación. Es un dato que el analista usa para distinguir lo automático de lo manual, aunque aquí solo se calcula. Escribe el número de segundos sin unidades.