Dasar-Dasar Log Analytics dan KQL

Ruang kerja Log Analytics adalah penyimpanan data pusat di Azure Monitor untuk data log dan telemetri. Saat Anda mengonfigurasi pengaturan diagnostik pada Resource Azure, log dan metrik terstruktur mengalir ke ruang kerja tersebut. Anda kemudian dapat membuat kueri data menggunakan Kusto Query Language (KQL). Ruang kerja memiliki kebijakan penyimpanan dan kontrol aksesnya sendiri (default 30 hari, hingga 730 hari).

Setiap Resource Azure dapat menghasilkan log diagnostik — catatan terperinci tentang operasi seperti panggilan API, peristiwa autentikasi, dan eksekusi kueri. Anda mengaktifkannya melalui Pengaturan Diagnostik pada Resource, dengan menentukan tujuan sebagai ruang kerja Log Analytics Anda. Kategori log umum mencakup AuditEvent untuk Key Vault, AppServiceHTTPLogs untuk App Service, dan NetworkSecurityGroupFlowEvent untuk NSG.

Kusto Query Language (KQL) adalah bahasa kueri hanya-baca untuk menganalisis data log. Kueri KQL dibaca dari kiri ke kanan sebagai alur: mulai dengan nama tabel, lalu teruskan melalui operator menggunakan pipe (|). Operator umum mencakup where untuk memfilter, project untuk memilih kolom, summarize untuk agregasi, dan order by untuk pengurutan. KQL peka huruf besar-kecil untuk nama kolom, tetapi tidak untuk kata kunci.

Operator where memfilter baris menggunakan ekspresi Boolean. Anda dapat menggabungkan kondisi dengan and, or, dan not. Operator has melakukan pencarian string yang tidak peka huruf besar-kecil berdasarkan batas kata, sedangkan contains melakukan pencarian substring. Operator in menguji keanggotaan dalam daftar. Gunakan ago() untuk menyatakan rentang waktu relatif seperti ago(1h) atau ago(7d).

Operator summarize menghitung agregasi di seluruh baris. Fungsi agregasi umum mencakup count(), sum(), avg(), max(), min(), dan dcount() untuk menghitung jumlah nilai unik. Anda dapat mengelompokkan berdasarkan satu atau beberapa kolom menggunakan klausa by. Fungsi bin() membulatkan stempel waktu ke interval tertentu untuk agregasi deret waktu.

KQL mendukung join untuk mengorelasikan data dari beberapa tabel. Jenis penggabungan default adalah innerunique, tetapi Anda dapat menentukan inner, leftouter, rightouter, atau fullouter. Pola umum adalah menggabungkan AzureActivity dengan AzureMetrics untuk mengorelasikan perubahan administratif dengan penurunan performa. Operator lookup adalah alternatif yang lebih ringan untuk memperkaya baris dari tabel referensi kecil.

Setelah menulis kueri di portal Log Analytics, Anda dapat merender hasil sebagai grafik waktu, grafik batang, diagram lingkaran, atau tabel menggunakan operator render. Anda juga dapat menyematkan hasil kueri apa pun ke Azure Dashboard atau menyimpannya sebagai Workbook. Perintah render timechart mengubah kueri summarize deret waktu menjadi grafik garis seketika untuk analisis tren.

Alert pencarian log menjalankan kueri KQL sesuai jadwal dan terpicu saat hasilnya memenuhi suatu kondisi, seperti jumlah hasil lebih besar dari nol atau kolom numerik melampaui ambang batas. Alert ini lebih fleksibel daripada alert metrik karena Anda dapat membuat kueri terhadap data log apa pun di beberapa tabel. Frekuensi evaluasi dan jendela waktu dapat dikonfigurasi secara terpisah — misalnya, jalankan setiap 5 menit untuk 15 menit terakhir.

Azure Monitor menyimpan log dalam tabel yang dikenal luas. AzureActivity mencatat operasi tingkat subscription. SecurityEvent berisi log Keamanan Windows dari VM dengan agen Log Analytics. Heartbeat menampilkan konektivitas agen (satu baris per menit untuk setiap VM yang terhubung). AppRequests, AppExceptions, dan AppDependencies berasal dari Application Insights. Mengetahui nama-nama tabel ini penting untuk menulis kueri operasional yang efektif.

Harga Log Analytics memiliki dua komponen: penyerapan data (per GB yang diserap) dan penyimpanan data (30 hari pertama gratis, kemudian dikenakan biaya per GB per bulan setelah default). Anda dapat mengurangi biaya dengan memfilter kategori log yang bising sebelum penyerapan, menggunakan Basic Logs untuk data bervolume tinggi dan bernilai rendah dengan harga yang lebih murah, serta mengarsipkan data lama ke Azure Data Explorer atau penyimpanan dingin untuk penyimpanan kepatuhan jangka panjang.

Ruang kerja Log Analytics mendukung dua model kontrol akses. Dalam mode workspace-context, pengguna dengan akses Baca ke ruang kerja dapat membuat kueri terhadap semua tabel. Dalam mode resource-context, pengguna hanya dapat membuat kueri terhadap log yang dihasilkan oleh Resource yang izinnya untuk dibaca diberikan melalui RBAC — bahkan tanpa akses eksplisit ke ruang kerja. Mode resource-context direkomendasikan untuk organisasi besar yang setiap timnya memiliki Resource yang berbeda.

Uji pemahaman Anda tentang konsep Microsoft Azure Fundamentals (AZ-900) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: ruang kerja Log Analytics memusatkan data log diagnostik dari Resource Azure, operator KQL seperti where, summarize, dan render memungkinkan Anda memfilter, mengagregasi, dan memvisualisasikan log, serta alert pencarian log memicu respons otomatis saat hasil kueri KQL memenuhi kondisi yang ditentukan. Selanjutnya, kita akan mempelajari Application Insights untuk telemetri tingkat aplikasi.