Azure

Azure Resource Graph

Overview

Azure Resource Graph ergänzt Azure Resource Manager um einen Index, der die vollständigen Eigenschaften aller Ressourcen enthält. Statt jeden Ressourcenanbieter einzeln abzufragen, liefert eine einzige Abfrage zum Beispiel alle VMs mit Größe, Region und Tags aus allen Subscriptions, auf die Du Leserechte hast.

Die Abfragesprache ist ein Ausschnitt der Kusto Query Language (KQL), die auch Log Analytics und Microsoft Sentinel nutzen. Resource Graph treibt die Suche im Azure-Portal, die Ansicht Alle Ressourcen und die Änderungsansicht von Azure Policy an.

Abgrenzung: Resource Graph enthält Konfigurations- und Zustandsdaten, keine Metriken oder Protokolle. Für Leistungsdaten und Logs ist Azure Monitor beziehungsweise Log Analytics zuständig.

How it works

So arbeitest Du mit Resource Graph:

  1. Abfrage in KQL formulieren, etwa auf der Tabelle Resources oder ResourceContainers für Subscriptions und Resource Groups.
  2. Ausführen im Resource Graph Explorer im Portal, per az graph query (Erweiterung resource-graph), mit Search-AzGraph (Modul Az.ResourceGraph), über die REST API oder den Power-BI-Connector.
  3. Ergebnisse als Tabelle, Diagramm oder Export weiterverwenden oder an ein Dashboard heften.

Resource Graph wird von ARM über Änderungen benachrichtigt und führt zusätzlich regelmäßige Vollscans durch. Die Daten sind daher nicht streng konsistent, sondern mit kurzer Verzögerung indiziert. Änderungen an Ressourcen der letzten 14 Tage sind mit geänderten Eigenschaften abrufbar.

Benefits

  • Vollständiges Inventar über alle Subscriptions in Sekunden, ohne Skripte über jede Subscription laufen zu lassen
  • Schnelle Antworten auf Audit-Fragen, etwa welche Storage-Konten öffentlichen Zugriff erlauben
  • KQL-Wissen ist in Log Analytics, Sentinel und Defender wiederverwendbar
  • Änderungshistorie der letzten 14 Tage hilft bei der Ursachenanalyse

Practical example

Für einen NIS2-Nachweis soll die IT eines Fertigungsbetriebs belegen, welche Azure-VMs ohne Backup laufen und welche öffentlichen IP-Adressen existieren. Statt Listen aus mehreren Subscriptions zusammenzutragen, schreibt der Administrator zwei KQL-Abfragen im Resource Graph Explorer, speichert sie als geteilte Abfragen und heftet sie an ein Dashboard. Die Liste aktualisiert sich bei jedem Aufruf und dient als Anlage für die Dokumentation.

Things to keep in mind

  • Ergebnisse zeigen nur Ressourcen, auf die der Abfragende mindestens Leserechte hat, für Gesamtinventare ein Konto mit Reader auf Management-Group-Ebene verwenden
  • Abfragen werden pro Benutzer gedrosselt, große Automatisierungen mit Paging und Pausen bauen
  • Frisch geänderte Ressourcen erscheinen mit kurzer Verzögerung im Index
  • Bewährte Abfragen versioniert ablegen, etwa als gespeicherte Abfrage oder im Git-Repository

Licensing & availability

Kostenlos, Abfragen werden jedoch pro Benutzer gedrosselt. Stand: Oktober 2026.

Conclusion

Resource Graph ist das Inventarwerkzeug für Azure. Ein Dutzend gut gepflegter KQL-Abfragen beantwortet die meisten Audit- und Governance-Fragen.

Further reading

Related articles