Podstawy Log Analytics i KQL

Obszar roboczy usługi Log Analytics to centralny magazyn danych w usłudze Azure Monitor, przeznaczony na dane dzienników i dane telemetryczne. Po skonfigurowaniu ustawień diagnostycznych zasobu platformy Azure ustrukturyzowane dzienniki i metryki są przesyłane do obszaru roboczego. Następnie można wykonywać zapytania dotyczące tych danych za pomocą języka zapytań Kusto (KQL). Obszar roboczy ma własne zasady przechowywania danych (domyślnie 30 dni, maksymalnie 730 dni) oraz mechanizmy kontroli dostępu.

Każdy zasób platformy Azure może generować dzienniki diagnostyczne — szczegółowe rekordy operacji, takich jak wywołania interfejsu API, zdarzenia uwierzytelniania i wykonywanie zapytań. Włącza się je za pomocą opcji Diagnostic Settings dostępnej dla zasobu, wskazując obszar roboczy usługi Log Analytics jako miejsce docelowe. Typowe kategorie dzienników to między innymi AuditEvent dla usługi Key Vault, AppServiceHTTPLogs dla usługi App Service oraz NetworkSecurityGroupFlowEvent dla grup zabezpieczeń sieci (NSG).

Język zapytań Kusto (KQL) to język zapytań tylko do odczytu, służący do analizowania danych dzienników. Zapytanie KQL odczytuje się od lewej do prawej jako potok: zaczyna się od nazwy tabeli, a następnie przekazuje dane operatorem potoku (|) przez kolejne operatory. Typowe operatory to where do filtrowania, project do wybierania kolumn, summarize do agregowania oraz order by do sortowania. W języku KQL nazwy kolumn uwzględniają wielkość liter, natomiast słowa kluczowe — nie.

Operator where filtruje wiersze za pomocą wyrażeń logicznych. Warunki można łączyć za pomocą operatorów and, or i not. Operator has wykonuje w ciągach znaków wyszukiwanie niewrażliwe na wielkość liter, uwzględniające granice słów, natomiast contains wyszukuje podciąg. Operator in sprawdza przynależność do listy. Funkcja ago() służy do wyrażania względnych przedziałów czasu, takich jak ago(1h) lub ago(7d).

Operator summarize oblicza agregacje dla wierszy. Typowe funkcje agregujące to count(), sum(), avg(), max(), min() oraz dcount(), służąca do zliczania wartości unikatowych. Grupowanie można wykonywać według jednej lub większej liczby kolumn za pomocą klauzuli by. Funkcja bin() zaokrągla znaczniki czasu do określonych przedziałów na potrzeby agregowania szeregów czasowych.

Język KQL obsługuje operator join, który umożliwia korelowanie danych z wielu tabel. Domyślny rodzaj złączenia to innerunique, ale można określić także inner, leftouter, rightouter lub fullouter. Typowym wzorcem jest łączenie tabel AzureActivity i AzureMetrics w celu skorelowania zmian administracyjnych ze spadkami wydajności. Operator lookup jest lżejszą alternatywą, używaną do wzbogacania wierszy danymi z małej tabeli referencyjnej.

Po napisaniu zapytania w portalu Log Analytics można wyświetlić wyniki jako wykres czasowy, wykres słupkowy, wykres kołowy lub tabelę, używając operatora render. Wynik dowolnego zapytania można także przypiąć do pulpitu nawigacyjnego platformy Azure lub zapisać jako skoroszyt. Polecenie render timechart przekształca zapytanie agregujące szereg czasowy w gotowy wykres liniowy do analizy trendów.

Alerty wyszukiwania w dziennikach wykonują zapytanie KQL zgodnie z harmonogramem i uruchamiają się, gdy wynik spełnia określony warunek, na przykład gdy liczba wyników jest większa od zera lub kolumna liczbowa przekracza próg. Są bardziej elastyczne niż alerty metryk, ponieważ umożliwiają wykonywanie zapytań dotyczących dowolnych danych dzienników z wielu tabel. Częstotliwość oceny i okno czasowe można konfigurować niezależnie — na przykład uruchamiać zapytanie co 5 minut dla ostatnich 15 minut.

Azure Monitor przechowuje dzienniki w dobrze znanych tabelach. Tabela AzureActivity rejestruje operacje na poziomie subskrypcji. Tabela SecurityEvent zawiera dzienniki zabezpieczeń systemu Windows z maszyn wirtualnych wyposażonych w agenta Log Analytics. Tabela Heartbeat pokazuje łączność agenta (jeden wiersz na minutę dla każdej połączonej maszyny wirtualnej). Tabele AppRequests, AppExceptions i AppDependencies pochodzą z usługi Application Insights. Znajomość tych nazw tabel jest niezbędna do tworzenia skutecznych zapytań operacyjnych.

Cennik usługi Log Analytics obejmuje dwa elementy: pozyskiwanie danych (opłata za każdy pozyskany GB) oraz przechowywanie danych (pierwsze 30 dni jest bezpłatne, a następnie naliczana jest opłata za każdy GB miesięcznie powyżej domyślnego okresu). Koszty można ograniczyć, filtrując zaszumione kategorie dzienników przed pozyskaniem, używając Basic Logs dla dużych ilości danych o niewielkiej wartości po obniżonej cenie oraz archiwizując starsze dane w usłudze Azure Data Explorer lub w magazynie zimnym na potrzeby długoterminowego przechowywania zgodnego z wymaganiami.

Obszary robocze usługi Log Analytics obsługują dwa modele kontroli dostępu. W trybie workspace-context użytkownik mający uprawnienie Read do obszaru roboczego może wykonywać zapytania dotyczące wszystkich tabel. W trybie resource-context użytkownik może wykonywać zapytania tylko dotyczące dzienników generowanych przez zasoby, do których odczytu ma uprawnienia RBAC — nawet bez jawnego dostępu do obszaru roboczego. Tryb resource-context jest zalecany w dużych organizacjach, w których różne zespoły są właścicielami różnych zasobów.

Sprawdź swoją wiedzę na temat zagadnień Microsoft Azure Fundamentals (AZ-900) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: obszary robocze usługi Log Analytics centralizują dane dzienników diagnostycznych z zasobów platformy Azure, operatory KQL, takie jak where, summarize i render, umożliwiają filtrowanie, agregowanie i wizualizowanie dzienników, a alerty wyszukiwania w dziennikach uruchamiają automatyczne reakcje, gdy wynik zapytania KQL spełnia określony warunek. W następnej części omówimy usługę Application Insights i dane telemetryczne na poziomie aplikacji.