アクティビティログからVMの起動・停止のログを抽出するKQLを紹介します。

 

なお、本KQLは、アクティビティログをLogAnalyticsワークスペースに収集していることを前提としています。アクティビティログがLogAnalyticsに連係されていない場合、ここで紹介するKQLは利用できないのでご注意ください。

以下KQLをコピペで取得可能です。
KQLのコメント（ //部分 ）に記載したとおり、環境にあわせて適宜修正すれば使えると思います。

 

let LookbackPeriod = 90d;
AzureActivity
| where TimeGenerated >= ago(LookbackPeriod)
| where _ResourceId contains "test-VM001"  //絞り込みたい場合はVM名を指定
| where OperationNameValue in~ (
    "Microsoft.Compute/virtualMachines/start/action",
    "Microsoft.Compute/virtualMachines/deallocate/action",
    "Microsoft.Compute/virtualMachines/restart/action"
)
| where ActivityStatusValue == "Succeeded"  //ログは複数に分かれるのでSucceededステータスのものだけ抽出

実行例は以下です。最初は絞り込まずにログを把握して、そこから抽出範囲を狭めていくのが良いと思います。