Asas Analitis Log dan KQL

Ruang kerja Log Analytics ialah stor data pusat dalam Azure Monitor untuk data log dan telemetri. Apabila anda mengkonfigurasi tetapan diagnostik pada sumber Azure, log dan metrik berstruktur mengalir ke dalam ruang kerja tersebut. Anda kemudiannya boleh membuat pertanyaan terhadap data menggunakan Kusto Query Language (KQL). Ruang kerja mempunyai dasar pengekalan tersendiri (lalai 30 hari, sehingga 730 hari) serta kawalan akses.

Setiap sumber Azure boleh menjana log diagnostik — rekod terperinci tentang operasi seperti panggilan API, kejadian pengesahan dan pelaksanaan pertanyaan. Anda mendayakannya melalui Tetapan Diagnostik pada sumber tersebut dengan menentukan ruang kerja Log Analytics sebagai destinasi. Kategori log yang biasa termasuk AuditEvent untuk Key Vault, AppServiceHTTPLogs untuk App Service dan NetworkSecurityGroupFlowEvent untuk NSG.

Kusto Query Language (KQL) ialah bahasa pertanyaan baca sahaja untuk menganalisis data log. Pertanyaan KQL dibaca dari kiri ke kanan sebagai saluran pemprosesan: mulakan dengan nama jadual, kemudian salurkan (|) melalui operator. Operator yang biasa termasuk where untuk menapis, project untuk memilih lajur, summarize untuk pengagregatan dan order by untuk mengisih. KQL peka huruf besar dan kecil untuk nama lajur tetapi tidak untuk kata kunci.

Operator where menapis baris menggunakan ungkapan Boolean. Anda boleh menggabungkan syarat dengan and, or dan not. Operator has melakukan carian sempadan perkataan yang tidak peka huruf besar dan kecil dalam rentetan, manakala contains melakukan carian subrentetan. Operator in menguji keahlian dalam senarai. Gunakan ago() untuk menyatakan julat masa relatif seperti ago(1h) atau ago(7d).

Operator summarize mengira pengagregatan merentas baris. Fungsi pengagregatan yang biasa termasuk count(), sum(), avg(), max(), min() dan dcount() untuk kiraan nilai unik. Anda boleh mengumpulkan data mengikut satu atau lebih lajur menggunakan klausa by. Fungsi bin() membundarkan cap masa kepada selang tertentu untuk pengagregatan siri masa.

KQL menyokong join untuk mengaitkan data daripada berbilang jadual. Jenis gabungan lalai ialah innerunique, tetapi anda boleh menentukan inner, leftouter, rightouter atau fullouter. Corak yang biasa ialah menggabungkan AzureActivity dengan AzureMetrics untuk mengaitkan perubahan pentadbiran dengan kemerosotan prestasi. Operator lookup ialah alternatif yang lebih ringan untuk memperkaya baris daripada jadual rujukan yang kecil.

Selepas menulis pertanyaan dalam portal Log Analytics, anda boleh memaparkan hasil sebagai carta masa, carta bar, carta pai atau jadual menggunakan operator render. Anda juga boleh menyematkan sebarang hasil pertanyaan pada Azure Dashboard atau menyimpannya sebagai Buku Kerja. Perintah render timechart menukar pertanyaan summarize siri masa kepada carta garis serta-merta untuk analisis trend.

Alert carian log menjalankan pertanyaan KQL mengikut jadual dan dicetuskan apabila hasilnya memenuhi syarat, seperti kiraan hasil melebihi sifar atau lajur berangka melebihi ambang. Alert ini lebih fleksibel daripada alert metrik kerana anda boleh membuat pertanyaan terhadap sebarang data log merentas berbilang jadual. Kekerapan penilaian dan tetingkap masa boleh dikonfigurasi secara berasingan — contohnya, jalankan setiap 5 minit untuk tempoh 15 minit yang lalu.

Azure Monitor menyimpan log dalam jadual yang diketahui umum. AzureActivity merekodkan operasi pada peringkat langganan. SecurityEvent mengandungi log Keselamatan Windows daripada VM yang mempunyai ejen Log Analytics. Heartbeat menunjukkan kesambungan ejen (satu baris seminit bagi setiap VM yang disambungkan). AppRequests, AppExceptions dan AppDependencies datang daripada Application Insights. Mengetahui nama jadual ini penting untuk menulis pertanyaan operasi yang berkesan.

Harga Log Analytics mempunyai dua komponen: pengingesan data (bagi setiap GB yang diinges) dan pengekalan data (30 hari pertama adalah percuma, kemudian dikenakan caj bagi setiap GB sebulan selepas lalai). Anda boleh mengurangkan kos dengan menapis kategori log yang bising sebelum pengingesan, menggunakan Basic Logs untuk data volum tinggi yang bernilai rendah pada harga yang dikurangkan, serta mengarkibkan data lama ke Azure Data Explorer atau storan sejuk untuk pengekalan pematuhan jangka panjang.

Ruang kerja Log Analytics menyokong dua model kawalan akses. Dalam mod konteks ruang kerja, pengguna yang mempunyai akses Baca kepada ruang kerja boleh membuat pertanyaan terhadap semua jadual. Dalam mod konteks sumber, pengguna hanya boleh membuat pertanyaan terhadap log yang dijana oleh sumber yang mereka mempunyai kebenaran RBAC untuk membacanya — walaupun tanpa akses ruang kerja yang jelas. Mod konteks sumber disyorkan untuk organisasi besar yang mempunyai pasukan berbeza bagi mengurus sumber yang berbeza.

Dalam pelajaran ini, anda telah mempelajari bahawa: ruang kerja Log Analytics memusatkan data log diagnostik daripada sumber Azure, operator KQL seperti where, summarize dan render membolehkan anda menapis, mengagregat dan memvisualisasikan log, manakala alert carian log mencetuskan respons automatik apabila hasil pertanyaan KQL memenuhi syarat yang ditentukan. Seterusnya, kita akan meneroka Application Insights untuk telemetri pada peringkat aplikasi.