2026年6月16日、MicrosoftはAzure TechCommunityのAzure Observability Blogで、Azure Monitorのログ検索アラートにおける動的しきい値（Dynamic thresholds）の一般提供開始（GA）を発表しました。2025年11月のパブリックプレビューから一般提供へ移行したことが、今回の中心的な変更点です。(TECHCOMMUNITY.MICROSOFT.COM)
動的しきい値を使うと、固定値を手作業で調整し続ける代わりに、Azure Monitorが過去のログクエリ結果から通常時のパターンを学習し、異常な変化を検知できます。機能自体の追加料金はありませんが、通常のログ検索アラート料金やディメンション、通知などの料金は引き続き確認が必要です。
なお、Azure TechCommunityの投稿画面やアカウント機能が変更されるわけではありません。TechCommunityは公式発表の掲載先であり、実際に変更される対象サービスはAzure Monitorです。
「Anomaly detection made easy with Dynamic thresholds for Log search alerts」の変更点
今回の発表で確認すべきポイントは、単に新しい設定項目が追加されたことではなく、ログ検索アラートの動的しきい値がプレビューからGAへ移行したことです。
主な変更内容は次のとおりです。
- Azure Monitorのログ検索アラートで動的しきい値が一般提供された
- ログクエリ結果の履歴から通常時の動作を自動学習できる
- 時間帯、曜日、日次・週次などの周期性を考慮できる
- 固定しきい値を手作業で調整する負担を減らせる
- プレビューグラフで、測定値、正常範囲、違反、発生したアラートを確認できる
- 動的しきい値機能そのものに追加料金は発生しない
Azure Monitorは、ログクエリ結果の履歴を機械学習で分析し、時間単位・日単位・週単位のパターンや通常状態からの逸脱を検出します。しきい値はデータの変化に応じて継続的に調整されます。(Microsoft Learn)
誰に影響する変更なのか
直接影響を受けるのは、Azure Monitorでログ検索アラートを作成・管理しているクラウド管理者、SRE、インフラ運用担当者、アプリケーション運用担当者です。
特に、次のような環境では導入効果が期待できます。
- 平日と休日でアクセス数が大きく変わる
- 夜間バッチによってログ件数が定期的に増える
- リソースやサブスクリプションごとに正常値が異なる
- 固定しきい値では誤検知が多く、頻繁に調整している
- 複数のディメンションやリソースをまとめて監視している
- エラー率や処理時間の「通常時からの急変」を検知したい
一方、Azure Monitorのアラートを管理していない一般利用者に必要な操作はありません。管理者が設定を変更した場合に、受信する通知の件数やタイミングが変わる可能性があります。
動的しきい値と静的しきい値の使い分け
動的しきい値は、すべてのログ検索アラートを置き換える機能ではありません。異常の判断に過去の傾向が役立つかどうかで選ぶことが重要です。
| 監視シナリオ | 適した方式 | 判断理由 |
|---|---|---|
| アクセス数や処理件数の急増・急減 | 動的しきい値 | 時間帯や曜日による通常変動を考慮できる |
| エラー率や応答時間の異常 | 動的しきい値 | 固定値を超えていなくても、普段との差を検知できる |
| リソースごとに正常値が異なる監視 | 動的しきい値 | 一律の固定値よりも個別の傾向に対応しやすい |
| 特定イベントが1件でも発生したら通知 | 静的しきい値 | 過去の傾向に関係なく即時検知すべき |
| 容量上限や契約上の制限値の監視 | 静的しきい値 | 超えてはいけない値が明確に決まっている |
| セキュリティ・コンプライアンス違反 | 静的しきい値またはイベント検知 | 発生件数が少なくても見逃せない |
| 1分間隔での検知が必須 | 静的しきい値など | ログ検索アラートの動的しきい値は1分間隔に非対応 |
例えば、「エラーが1件でも発生したら通知する」という監視に動的しきい値を使うと、一定数のエラーが通常状態として学習される可能性があります。反対に、昼休みや夜間にアクセス数が変動するサービスでは、固定しきい値よりも動的しきい値が適しています。
動的しきい値の設定手順
Azure portalでは、既存のログ検索アラートを編集するか、新しいアラートルールを作成して設定します。
- Azure portalで「モニター」を開く
- 「アラート」から「アラート ルール」を選択する
- 新規作成、または対象ルールの「編集」を選択する
- 「条件」で「カスタム ログ検索」を選択する
- KQLクエリ、測定方法、集計方法、ディメンションを設定する
- 「しきい値」で「動的」を選択する
- 感度、集計の粒度、アラート発生に必要な違反回数を設定する
- 「Preview Chart」で過去データと動的しきい値を確認する
- 設定を変更した場合は「Refresh Chart」でプレビューを更新する
- 評価頻度、重大度、アクショングループを確認して保存する
プレビューグラフでは、クエリ結果の測定値、動的に計算された正常範囲、しきい値違反、実際に発生するアラートを確認できます。ログ検索アラートの動的しきい値では1分間隔がサポートされないため、評価頻度も必ず確認してください。(Microsoft Learn)
設定できない場合は、対象リソースの読み取り権限、アラートルールを配置するリソースグループの書き込み権限、アクショングループの読み取り権限があるか確認します。(Microsoft Learn)
感度と違反回数の決め方
初回設定では、感度を高くしすぎないことが重要です。誤検知を抑えたい場合は、次の順番で調整します。
- 感度を「Medium」または「Low」から開始する
- 短時間の揺れを拾いすぎる場合は集計の粒度を長くする
- 1回の逸脱ではなく、複数回の違反で発報するように設定する
- プレビューで過去の正常なピークが違反扱いになっていないか確認する
Microsoftも、アラートが多すぎる場合は感度を下げる、集計時間を長くする、必要な違反回数を増やすといった調整方法を案内しています。(Microsoft Learn)
既存アラートを安全に移行する方法
2026年6月16日の発表には、既存の静的しきい値ルールが自動的に動的しきい値へ変更されるとの記載はありません。既存ルールを一括変更するのではなく、誤検知が多いルールから段階的に切り替えるのが安全です。
推奨する移行手順は次のとおりです。
- 誤検知や手動調整が多いログ検索アラートを1つ選ぶ
- 同じKQLクエリを使った検証用の動的しきい値ルールを作成する
- 本番とは別の通知先、または検証用アクショングループを設定する
- 既存の静的しきい値ルールは停止せずに残す
- 学習期間を確保し、プレビューとアラート履歴を比較する
- 見逃しと誤検知が許容範囲に入ったら静的ルールを無効化する
動的しきい値は、3日分かつ30サンプル以上のデータが集まるまでアラートを発生させません。また、週単位の周期性を認識するには、少なくとも3週間分の履歴が必要です。切り替え直後に静的ルールを削除すると、学習中の監視空白が生じる可能性があります。(Microsoft Learn)
ARMテンプレートからログ検索アラートの動的しきい値を構成することもできます。一方、Microsoft Learnでは、ログ検索アラートの動的しきい値についてPowerShellとAzure CLIは未対応と案内されています。Infrastructure as Codeで管理している場合は、利用中のAPIバージョンとデプロイ手段を事前に確認してください。(Microsoft Learn)
料金で確認すべきポイント
Microsoftの発表では、ログ検索アラートの動的しきい値に追加料金はなく、通常のログ検索アラート料金が適用されると説明されています。(TECHCOMMUNITY.MICROSOFT.COM)
ただし、「追加料金なし」はAzure Monitor全体を無料で利用できるという意味ではありません。次の費用は引き続き発生する可能性があります。
- ログ検索アラートルールの評価料金
- クエリの実行間隔に応じた料金
- ディメンション分割で生成される時系列の追加料金
- Log Analyticsへのデータ取り込み・保持料金
- メール、SMS、Webhookなどの通知料金
- Basic Logsなど、利用するログプランに応じたクエリ料金
ログ検索アラートは、クエリの評価間隔が短いほど料金が高くなる場合があります。ディメンションで複数の時系列を生成する構成では、最初の時系列を超えた分の料金にも注意が必要です。通知料金はアラートルール料金とは別に計算されます。(Microsoft Azure)
実際の金額はリージョン、契約形態、通貨、評価頻度によって異なるため、変更前後の見積もりはAzure料金計算ツールとCost Managementで確認します。
移行期限や対応期限はあるのか
2026年6月16日の公式発表には、静的しきい値から動的しきい値への移行期限や、既存機能の廃止期限は記載されていません。GAは動的しきい値を選択できるようになったという変更であり、静的しきい値の利用停止を求めるものではありません。(TECHCOMMUNITY.MICROSOFT.COM)
なお、GA発表より前に更新されたMicrosoft Learnのページでは、「プレビュー」と表示されている場合があります。提供状態を判断するときはページの更新日を確認し、最新の公式発表とAzure portal上の表示を優先してください。(Microsoft Learn)
導入前に注意したい制限
動的しきい値を設定する前に、次の点を確認してください。
- 新規リソースやログが少ない環境では、十分な学習データが集まるまで発報しない
- 週次パターンの学習には少なくとも3週間必要
- 1分間隔のログ検索アラートでは利用できない
- 複数条件を監視するアラートルールでは利用できない
- ゆっくり進行する性能劣化や容量増加は検知しにくい
- 値の変動が不規則すぎると正常範囲が広くなり、異常を検知しにくくなる
- 直近10日間に大規模障害があると、計算される上下限が一時的に広がる可能性がある
動的しきい値は、通常状態からの大きな逸脱を見つける用途に向いています。緩やかなディスク使用量の増加や、必ず守るべき上限値の監視は、静的しきい値と組み合わせるのが適切です。(Microsoft Learn)
まず実施すべき確認作業
最初に、現在運用しているログ検索アラートを一覧化し、誤検知の多いルールと、しきい値を頻繁に変更しているルールを抽出します。
その中から、曜日や時間帯によって値が変動するルールを1つ選び、検証用の動的しきい値ルールを作成してください。最低3日間は既存の静的ルールを併用し、週次変動がある場合は3週間程度の結果を比較します。
動的しきい値の導入目的は、単純にアラート件数を減らすことではありません。対応が必要な異常を維持したまま、不要な通知と手動調整を減らせたかを基準に、本番移行を判断することが重要です。
コメント