Grundlagen von Log Analytics und KQL

Ein Log Analytics-Arbeitsbereich ist der zentrale Datenspeicher in Azure Monitor für Protokoll- und Telemetriedaten. Wenn Sie Diagnoseeinstellungen für eine Azure-Ressource konfigurieren, fließen die strukturierten Protokolle und Metriken in den Arbeitsbereich. Anschließend können Sie die Daten mit der Kusto Query Language (KQL) abfragen. Ein Arbeitsbereich verfügt über eine eigene Aufbewahrungsrichtlinie (standardmäßig 30 Tage, bis zu 730 Tage) und eigene Zugriffssteuerungen.

Jede Azure-Ressource kann Diagnoseprotokolle ausgeben – detaillierte Aufzeichnungen von Vorgängen wie API-Aufrufen, Authentifizierungsereignissen und der Ausführung von Abfragen. Sie aktivieren diese über die Diagnoseeinstellungen der Ressource und geben dabei Ihren Log Analytics-Arbeitsbereich als Ziel an. Zu den gängigen Protokollkategorien gehören AuditEvent für Key Vault, AppServiceHTTPLogs für App Service und NetworkSecurityGroupFlowEvent für NSGs.

Kusto Query Language (KQL) ist eine schreibgeschützte Abfragesprache zur Analyse von Protokolldaten. Eine KQL-Abfrage wird von links nach rechts als Pipeline gelesen: Sie beginnt mit einem Tabellennamen und wird anschließend mit dem Pipe-Operator (|) durch Operatoren geleitet. Zu den gängigen Operatoren gehören where zum Filtern, project zum Auswählen von Spalten, summarize zur Aggregation und order by zum Sortieren. Bei KQL wird zwischen Groß- und Kleinschreibung von Spaltennamen unterschieden, bei Schlüsselwörtern jedoch nicht.

Der Operator where filtert Zeilen anhand boolescher Ausdrücke. Sie können Bedingungen mit and, or und not kombinieren. Der Operator has führt in Zeichenfolgen eine Suche nach Wörtern unter Beachtung von Wortgrenzen und unabhängig von der Groß- und Kleinschreibung durch, während contains nach einem Teilstring sucht. Der Operator in prüft, ob ein Wert in einer Liste enthalten ist. Verwenden Sie ago(), um relative Zeitbereiche wie ago(1h) oder ago(7d) auszudrücken.

Der Operator summarize berechnet Aggregationen über mehrere Zeilen hinweg. Zu den gängigen Aggregationsfunktionen gehören count(), sum(), avg(), max(), min() und dcount() für die Anzahl unterschiedlicher Werte. Sie können mit der by-Klausel nach einer oder mehreren Spalten gruppieren. Die Funktion bin() rundet Zeitstempel auf Intervalle, um Zeitreihen zu aggregieren.

KQL unterstützt join, um Daten aus mehreren Tabellen zu korrelieren. Die standardmäßige Join-Art ist innerunique, Sie können jedoch auch inner, leftouter, rightouter oder fullouter angeben. Ein gängiges Muster ist die Verknüpfung von AzureActivity und AzureMetrics, um administrative Änderungen mit Leistungseinbrüchen zu korrelieren. Der Operator lookup ist eine ressourcenschonendere Alternative, um Zeilen mit Daten aus einer kleinen Referenztabelle anzureichern.

Nachdem Sie im Log Analytics-Portal eine Abfrage geschrieben haben, können Sie die Ergebnisse mit dem Operator render als Zeitdiagramm, Balkendiagramm, Kreisdiagramm oder Tabelle darstellen. Sie können jedes Abfrageergebnis außerdem an ein Azure-Dashboard anheften oder als Workbook speichern. Der Befehl render timechart wandelt eine aggregierte Zeitreihenabfrage in ein direkt angezeigtes Liniendiagramm zur Trendanalyse um.

Warnungen bei der Protokollsuche führen nach einem Zeitplan eine KQL-Abfrage aus und werden ausgelöst, wenn das Ergebnis eine Bedingung erfüllt, beispielsweise wenn die Anzahl der Ergebnisse größer als null ist oder eine numerische Spalte einen Schwellenwert überschreitet. Sie sind flexibler als Metrikwarnungen, da Sie Protokolldaten aus beliebigen Tabellen abfragen können. Auswertungshäufigkeit und Zeitfenster lassen sich unabhängig voneinander konfigurieren – beispielsweise alle 5 Minuten für die letzten 15 Minuten.

Azure Monitor speichert Protokolle in bekannten Tabellen. AzureActivity zeichnet Vorgänge auf Abonnementebene auf. SecurityEvent enthält Windows-Sicherheitsprotokolle von VMs mit dem Log Analytics-Agent. Heartbeat zeigt die Agent-Konnektivität an (eine Zeile pro Minute und verbundener VM). AppRequests, AppExceptions und AppDependencies stammen aus Application Insights. Die Namen dieser Tabellen zu kennen, ist für das Schreiben effektiver Betriebsabfragen unverzichtbar.

Die Preise für Log Analytics bestehen aus zwei Komponenten: Datenerfassung (pro erfasstem GB) und Datenaufbewahrung (die ersten 30 Tage sind kostenlos, danach wird jeder GB pro Monat über den Standardzeitraum hinaus berechnet). Sie können Kosten senken, indem Sie störende Protokollkategorien vor der Erfassung filtern, Basic Logs für umfangreiche Daten mit geringem Wert zu einem reduzierten Preis verwenden und ältere Daten zur langfristigen Aufbewahrung aus Compliance-Gründen in Azure Data Explorer oder einen Cold Storage archivieren.

Log Analytics-Arbeitsbereiche unterstützen zwei Modelle für die Zugriffssteuerung. Im Modus workspace-context kann ein Benutzer mit Leseberechtigung für den Arbeitsbereich alle Tabellen abfragen. Im Modus resource-context kann ein Benutzer nur die von Ressourcen ausgegebenen Protokolle abfragen, für deren Lesen er über RBAC-Berechtigungen verfügt – auch ohne expliziten Zugriff auf den Arbeitsbereich. Der Modus resource-context wird für große Organisationen empfohlen, in denen verschiedene Teams für unterschiedliche Ressourcen verantwortlich sind.

In dieser Lektion haben Sie gelernt: Log Analytics-Arbeitsbereiche zentralisieren Diagnoseprotokolldaten aus Azure-Ressourcen, KQL-Operatoren wie where, summarize und render ermöglichen das Filtern, Aggregieren und Visualisieren von Protokollen, und Warnungen bei der Protokollsuche lösen automatisierte Reaktionen aus, wenn das Ergebnis einer KQL-Abfrage eine festgelegte Bedingung erfüllt. Als Nächstes betrachten wir Application Insights für Telemetriedaten auf Anwendungsebene.