Grundlæggende om Log Analytics og KQL

Et Log Analytics-arbejdsområde er det centrale datalager i Azure Monitor til log- og telemetridata. Når du konfigurerer diagnosticeringsindstillinger på en Azure-ressource, flyder de strukturerede logge og målinger ind i arbejdsområdet. Derefter kan du forespørge dataene ved hjælp af Kusto Query Language (KQL). Et arbejdsområde har sin egen opbevaringspolitik (30 dage som standard, op til 730 dage) og adgangskontroller.

Alle Azure-ressourcer kan generere diagnosticeringslogge — detaljerede registreringer af handlinger som API-kald, godkendelseshændelser og udførelse af forespørgsler. Du aktiverer dem via Diagnostic Settings på ressourcen og angiver dit Log Analytics-arbejdsområde som destination. Almindelige logkategorier omfatter AuditEvent for Key Vault, AppServiceHTTPLogs for App Service og NetworkSecurityGroupFlowEvent for NSG'er.

Kusto Query Language (KQL) er et skrivebeskyttet forespørgselssprog til analyse af logdata. En KQL-forespørgsel læses fra venstre mod højre som en pipeline: Start med et tabelnavn, og send derefter dataene gennem operatorer med pipe-tegnet (|). Almindelige operatorer omfatter where til filtrering, project til valg af kolonner, summarize til aggregering og order by til sortering. KQL skelner mellem store og små bogstaver i kolonnenavne, men ikke i nøgleord.

Operatoren where filtrerer rækker ved hjælp af booleske udtryk. Du kan kombinere betingelser med and, or og not. Operatoren has udfører en søgning efter ordgrænser uden forskel på store og små bogstaver i strenge, mens contains søger efter en delstreng. Operatoren in tester, om en værdi findes på en liste. Brug ago() til at udtrykke relative tidsintervaller som ago(1h) eller ago(7d).

Operatoren summarize beregner aggregeringer på tværs af rækker. Almindelige aggregeringsfunktioner omfatter count(), sum(), avg(), max(), min() og dcount() til optælling af entydige værdier. Du kan gruppere efter én eller flere kolonner ved hjælp af by-sætningen. Funktionen bin() afrunder tidsstempler til intervaller for aggregering af tidsserier.

KQL understøtter join til at sammenkæde data fra flere tabeller. Den som standard anvendte sammenføjningstype er innerunique, men du kan angive inner, leftouter, rightouter eller fullouter. Et almindeligt mønster er at sammenføje AzureActivity med AzureMetrics for at sammenholde administrative ændringer med fald i ydeevnen. Operatoren lookup er et mindre omfattende alternativ til at berige rækker fra en lille referencetabel.

Når du har skrevet en forespørgsel i Log Analytics-portalen, kan du gengive resultaterne som et tidsdiagram, et søjlediagram, et cirkeldiagram eller en tabel ved hjælp af operatoren render. Du kan også fastgøre ethvert forespørgselsresultat til et Azure Dashboard eller gemme det som en projektmappe. Kommandoen render timechart omdanner en forespørgsel med aggregering af tidsserier til et direkte linjediagram til analyse af tendenser.

Alarmsøgninger i logge kører en KQL-forespørgsel efter en tidsplan og udløses, når resultatet opfylder en betingelse, f.eks. at antallet af resultater er større end nul, eller at en numerisk kolonne overskrider en tærskel. De er mere fleksible end metriske alarmer, fordi du kan forespørge alle logdata på tværs af flere tabeller. Evalueringsfrekvensen og tidsvinduet kan konfigureres uafhængigt — du kan f.eks. køre forespørgslen hvert 5. minut for de seneste 15 minutter.

Azure Monitor gemmer logge i velkendte tabeller. AzureActivity registrerer handlinger på abonnementsniveau. SecurityEvent indeholder Windows-sikkerhedslogge fra VM'er med Log Analytics-agenten. Heartbeat viser agentens forbindelse (én række pr. minut pr. tilsluttet VM). AppRequests, AppExceptions og AppDependencies kommer fra Application Insights. Det er afgørende at kende disse tabelnavne for at kunne skrive effektive driftsforespørgsler.

Prisen for Log Analytics består af to dele: dataindtagelse (pr. indtaget GB) og dataopbevaring (de første 30 dage er gratis, hvorefter du betaler pr. GB pr. måned for perioden ud over standarden). Du kan reducere omkostningerne ved at filtrere støjende logkategorier før indtagelse, bruge Basic Logs til datamængder med høj volumen og lav værdi til en reduceret pris samt arkivere ældre data i Azure Data Explorer eller kold lagring til langsigtet opbevaring af hensyn til overholdelse af regler.

Log Analytics-arbejdsområder understøtter to modeller for adgangskontrol. I tilstanden workspace-context kan en bruger med læseadgang til arbejdsområdet forespørge alle tabeller. I tilstanden resource-context kan en bruger kun forespørge de logge, der genereres af ressourcer, som brugeren har RBAC-tilladelse til at læse — også uden udtrykkelig adgang til arbejdsområdet. Tilstanden resource-context anbefales til store organisationer, hvor forskellige teams ejer forskellige ressourcer.

I denne lektion har du lært, at Log Analytics-arbejdsområder centraliserer diagnosticeringslogdata fra Azure-ressourcer, at KQL-operatorer som where, summarize og render lader dig filtrere, aggregere og visualisere logge, og at alarmer ved logsøgning udløser automatiserede svar, når resultatet af en KQL-forespørgsel opfylder en defineret betingelse. Herefter udforsker vi Application Insights til telemetri på programniveau.