Nozioni fondamentali di Log Analytics e KQL

Un'area di lavoro Log Analytics è l'archivio dati centrale di Azure Monitor per i dati dei log e di telemetria. Quando configura le impostazioni di diagnostica per una risorsa Azure, i log e le metriche strutturati confluiscono nell'area di lavoro. È quindi possibile eseguire query sui dati usando il Kusto Query Language (KQL). Un'area di lavoro dispone di un proprio criterio di conservazione (30 giorni per impostazione predefinita, fino a 730 giorni) e di propri controlli di accesso.

Ogni risorsa Azure può generare log di diagnostica, ovvero record dettagliati di operazioni come chiamate API, eventi di autenticazione ed esecuzione di query. È possibile abilitarli tramite le Impostazioni di diagnostica della risorsa, specificando l'area di lavoro Log Analytics come destinazione. Tra le categorie di log comuni figurano AuditEvent per Key Vault, AppServiceHTTPLogs per App Service e NetworkSecurityGroupFlowEvent per i gruppi NSG.

Il Kusto Query Language (KQL) è un linguaggio di query di sola lettura per l'analisi dei dati dei log. Una query KQL si legge da sinistra a destra come una pipeline: si inizia con un nome di tabella, quindi si passa attraverso gli operatori usando il simbolo pipe (|). Tra gli operatori comuni figurano where per il filtraggio, project per la selezione delle colonne, summarize per l'aggregazione e order by per l'ordinamento. KQL distingue tra maiuscole e minuscole nei nomi delle colonne, ma non nelle parole chiave.

L'operatore where filtra le righe usando espressioni booleane. È possibile combinare le condizioni con and, or e not. L'operatore has esegue una ricerca senza distinzione tra maiuscole e minuscole rispettando i confini delle parole nelle stringhe, mentre contains esegue una ricerca di sottostringhe. L'operatore in verifica l'appartenenza a un elenco. Usi ago() per esprimere intervalli di tempo relativi come ago(1h) o ago(7d).

L'operatore summarize calcola aggregazioni sulle righe. Tra le funzioni di aggregazione comuni figurano count(), sum(), avg(), max(), min() e dcount() per il conteggio dei valori distinti. È possibile raggruppare i dati in base a una o più colonne usando la clausola by. La funzione bin() arrotonda i timestamp a intervalli per l'aggregazione delle serie temporali.

KQL supporta join per correlare i dati di più tabelle. Il tipo di join predefinito è innerunique, ma è possibile specificare inner, leftouter, rightouter o fullouter. Un modello comune consiste nell'unire AzureActivity e AzureMetrics per correlare le modifiche amministrative con i cali delle prestazioni. L'operatore lookup è un'alternativa più leggera per arricchire le righe usando una piccola tabella di riferimento.

Dopo aver scritto una query nel portale Log Analytics, è possibile visualizzare i risultati come grafico temporale, grafico a barre, grafico a torta o tabella usando l'operatore render. È inoltre possibile aggiungere qualsiasi risultato di query a un dashboard Azure oppure salvarlo come Workbook. Il comando render timechart trasforma una query summarize di una serie temporale in un grafico a linee immediato per l'analisi delle tendenze.

Gli avvisi di ricerca nei log eseguono una query KQL secondo una pianificazione e si attivano quando il risultato soddisfa una condizione, ad esempio quando il conteggio dei risultati è maggiore di zero o una colonna numerica supera una soglia. Sono più flessibili degli avvisi sulle metriche perché consentono di eseguire query su qualsiasi dato dei log in più tabelle. La frequenza di valutazione e la finestra temporale sono configurabili indipendentemente: ad esempio, è possibile eseguire la query ogni 5 minuti considerando gli ultimi 15 minuti.

Azure Monitor archivia i log in tabelle note. AzureActivity registra le operazioni a livello di sottoscrizione. SecurityEvent contiene i log di sicurezza Windows delle VM con l'agente Log Analytics. Heartbeat mostra la connettività dell'agente, con una riga al minuto per ogni VM connessa. AppRequests, AppExceptions e AppDependencies provengono da Application Insights. Conoscere questi nomi di tabella è essenziale per scrivere query operative efficaci.

Il prezzo di Log Analytics comprende due componenti: inserimento dei dati (per ogni GB inserito) e conservazione dei dati (i primi 30 giorni sono gratuiti, dopodiché viene addebitato ogni GB al mese oltre il valore predefinito). È possibile ridurre i costi filtrando le categorie di log rumorose prima dell'inserimento, usando i Basic Logs per dati ad alto volume e basso valore a un prezzo ridotto e archiviando i dati meno recenti in Azure Data Explorer o in uno spazio di archiviazione ad accesso sporadico per la conservazione a lungo termine richiesta dalla conformità.

Le aree di lavoro Log Analytics supportano due modelli di controllo degli accessi. In modalità workspace-context, un utente con accesso di lettura all'area di lavoro può eseguire query su tutte le tabelle. In modalità resource-context, un utente può eseguire query solo sui log generati dalle risorse per le quali dispone dell'autorizzazione RBAC di lettura, anche senza un accesso esplicito all'area di lavoro. La modalità resource-context è consigliata per le organizzazioni di grandi dimensioni in cui team diversi gestiscono risorse diverse.

Verifichi la Sua comprensione dei concetti di Microsoft Azure Fundamentals (AZ-900) trattati in questa lezione.

In questa lezione ha appreso che le aree di lavoro Log Analytics centralizzano i dati dei log di diagnostica delle risorse Azure, che gli operatori KQL come where, summarize e render consentono di filtrare, aggregare e visualizzare i log e che gli avvisi di ricerca nei log attivano risposte automatizzate quando il risultato di una query KQL soddisfa una condizione definita. Ora esamineremo Application Insights per la telemetria a livello di applicazione.