Grunderna i Log Analytics och KQL

En Log Analytics-arbetsyta är det centrala datalagret i Azure Monitor för logg- och telemetridata. När du konfigurerar diagnostikinställningar för en Azure-resurs flödar strukturerade loggar och mått till arbetsytan. Du kan sedan fråga data med hjälp av Kusto Query Language (KQL). En arbetsyta har en egen kvarhållningsprincip (standardvärdet är 30 dagar, upp till 730 dagar) och åtkomstkontroller.

Alla Azure-resurser kan generera diagnostikloggar — detaljerade poster över åtgärder som API-anrop, autentiseringshändelser och frågekörning. Du aktiverar dem via Diagnostikinställningar för resursen och anger din Log Analytics-arbetsyta som mål. Vanliga loggkategorier är AuditEvent för Key Vault, AppServiceHTTPLogs för App Service och NetworkSecurityGroupFlowEvent för NSG:er.

Kusto Query Language (KQL) är ett skrivskyddat frågespråk för analys av loggdata. En KQL-fråga läses från vänster till höger som en pipeline: börja med ett tabellnamn och skicka sedan data genom operatorer med pipe-tecknet (|). Vanliga operatorer är where för filtrering, project för att välja kolumner, summarize för aggregering och order by för sortering. KQL är skiftlägeskänsligt för kolumnnamn men inte för nyckelord.

Operatorn where filtrerar rader med hjälp av booleska uttryck. Du kan kombinera villkor med and, or och not. Operatorn has utför en skiftlägesokänslig sökning efter hela ord i strängar, medan contains söker efter delsträngar. Operatorn in testar om ett värde finns i en lista. Använd ago() för att uttrycka relativa tidsintervall, till exempel ago(1h) eller ago(7d).

Operatorn summarize beräknar aggregat över rader. Vanliga aggregeringsfunktioner är count(), sum(), avg(), max(), min() och dcount() för antal unika värden. Du kan gruppera efter en eller flera kolumner med satsen by. Funktionen bin() avrundar tidsstämplar till intervall för aggregering av tidsserier.

KQL har stöd för join för att korrelera data från flera tabeller. Standardtypen för koppling är innerunique, men du kan ange inner, leftouter, rightouter eller fullouter. Ett vanligt mönster är att koppla samman AzureActivity med AzureMetrics för att korrelera administrativa ändringar med försämrad prestanda. Operatorn lookup är ett mindre resurskrävande alternativ för att berika rader från en liten referenstabell.

När du har skrivit en fråga i Log Analytics-portalen kan du återge resultaten som ett tidsdiagram, stapeldiagram, cirkeldiagram eller en tabell med operatorn render. Du kan också fästa valfritt frågeresultat på en Azure-instrumentpanel eller spara det som en Workbook. Kommandot render timechart omvandlar en fråga som aggregerar en tidsserie till ett linjediagram i realtid för trendanalys.

Loggsökningsaviseringar kör en KQL-fråga enligt ett schema och utlöses när resultatet uppfyller ett villkor, till exempel att antalet resultat är större än noll eller att en numerisk kolumn överskrider ett tröskelvärde. De är mer flexibla än metrikaviseringar eftersom du kan fråga valfria loggdata i flera tabeller. Utvärderingsfrekvensen och tidsfönstret kan konfigureras oberoende av varandra — du kan till exempel köra frågan var femte minut för de senaste 15 minuterna.

Azure Monitor lagrar loggar i välkända tabeller. AzureActivity registrerar åtgärder på prenumerationsnivå. SecurityEvent innehåller Windows-säkerhetsloggar från virtuella datorer med Log Analytics-agenten. Heartbeat visar agentanslutning (en rad per minut för varje ansluten virtuell dator). AppRequests, AppExceptions och AppDependencies kommer från Application Insights. Det är viktigt att känna till dessa tabellnamn för att kunna skriva effektiva driftfrågor.

Prissättningen för Log Analytics består av två delar: datainmatning (per inmatad GB) och datakvarhållning (de första 30 dagarna är kostnadsfria, därefter debiteras du per GB och månad för tiden utöver standardvärdet). Du kan minska kostnaderna genom att filtrera bort brusiga loggkategorier före inmatningen, använda Basic Logs för datamängder med hög volym och lågt värde till ett lägre pris samt arkivera äldre data till Azure Data Explorer eller kall lagring för långsiktig efterlevnadslagring.

Log Analytics-arbetsytor stöder två modeller för åtkomstkontroll. I läget workspace-context kan en användare med läsåtkomst till arbetsytan fråga alla tabeller. I läget resource-context kan en användare endast fråga de loggar som genereras av resurser som användaren har RBAC-behörighet att läsa — även utan uttrycklig åtkomst till arbetsytan. Läget resource-context rekommenderas för stora organisationer där olika team ansvarar för olika resurser.

I den här lektionen har du lärt dig att Log Analytics-arbetsytor centraliserar diagnostikloggdata från Azure-resurser, att KQL-operatorer som where, summarize och render låter dig filtrera, aggregera och visualisera loggar, samt att loggsökningsaviseringar utlöser automatiska åtgärder när resultatet från en KQL-fråga uppfyller ett angivet villkor. Härnäst utforskar vi Application Insights för telemetri på programnivå.