Log Analytics ve KQL Temelleri

Bir Log Analytics çalışma alanı, günlük ve telemetri verileri için Azure Monitor'daki merkezi veri deposudur. Bir Azure kaynağında tanılama ayarlarını yapılandırdığınızda, yapılandırılmış günlükler ve ölçümler çalışma alanına akar. Ardından verileri Kusto Sorgu Dili (KQL) kullanarak sorgulayabilirsiniz. Bir çalışma alanının kendine ait bir saklama ilkesi (varsayılan olarak 30 gün, en fazla 730 gün) ve erişim denetimleri vardır.

Her Azure kaynağı, API çağrıları, kimlik doğrulama olayları ve sorgu yürütme gibi işlemlerin ayrıntılı kayıtları olan tanılama günlükleri oluşturabilir. Bunları kaynak üzerindeki Tanılama Ayarları aracılığıyla etkinleştirir ve hedef olarak Log Analytics çalışma alanınızı belirtirsiniz. Yaygın günlük kategorileri arasında Key Vault için AuditEvent, App Service için AppServiceHTTPLogs ve NSG'ler için NetworkSecurityGroupFlowEvent bulunur.

Kusto Sorgu Dili (KQL), günlük verilerini analiz etmeye yönelik salt okunur bir sorgu dilidir. KQL sorgusu bir işlem hattı olarak soldan sağa okunur: bir tablo adıyla başlayın, ardından işleçler üzerinden boru (|) kullanarak ilerleyin. Yaygın işleçler arasında filtreleme için where, sütunları seçmek için project, toplulaştırma için summarize ve sıralama için order by bulunur. KQL, sütun adlarında büyük-küçük harfe duyarlıdır; ancak anahtar sözcüklerde duyarlı değildir.

where işleci, boole ifadelerini kullanarak satırları filtreler. Koşulları and, or ve not ile birleştirebilirsiniz. has işleci dizelerde büyük-küçük harfe duyarsız sözcük sınırı araması yaparken contains alt dize araması yapar. in işleci, bir listedeki üyeliği sınar. ago() işlevini ago(1h) veya ago(7d) gibi göreli zaman aralıklarını ifade etmek için kullanın.

summarize işleci, satırlar genelinde toplulaştırmalar hesaplar. Yaygın toplulaştırma işlevleri arasında count(), sum(), avg(), max(), min() ve farklı değerlerin sayısını veren dcount() bulunur. by yan tümcesini kullanarak bir veya daha fazla sütuna göre gruplandırabilirsiniz. bin() işlevi, zaman serisi toplulaştırması için zaman damgalarını aralıklara yuvarlar.

KQL, birden çok tablodaki verileri ilişkilendirmek için join işleçini destekler. Varsayılan birleştirme türü innerunique değeridir; ancak inner, leftouter, rightouter veya fullouter belirtebilirsiniz. Yaygın bir model, yönetim değişikliklerini performans düşüşleriyle ilişkilendirmek için AzureActivity ile AzureMetrics tablolarını birleştirmektir. lookup işleci, küçük bir başvuru tablosundaki satırlarla zenginleştirme yapmak için daha hafif bir alternatiftir.

Log Analytics portalında bir sorgu yazdıktan sonra render işleçini kullanarak sonuçları zaman grafiği, çubuk grafik, pasta grafik veya tablo olarak oluşturabilirsiniz. Ayrıca herhangi bir sorgu sonucunu Azure Dashboard'a sabitleyebilir veya Çalışma Kitabı olarak kaydedebilirsiniz. render timechart komutu, eğilim analizi için zaman serisi summarize sorgusunu anında bir çizgi grafiğine dönüştürür.

Günlük arama uyarıları, bir KQL sorgusunu zamanlamaya göre çalıştırır ve sonuç, sıfırdan büyük sonuç sayısı veya bir sayısal sütunun eşiği aşması gibi bir koşulu karşıladığında tetiklenir. Birden çok tablo genelindeki herhangi bir günlük verisini sorgulayabildiğiniz için ölçüm uyarılarından daha esnektir. Değerlendirme sıklığı ve zaman penceresi birbirinden bağımsız olarak yapılandırılabilir; örneğin son 15 dakikayı kapsayacak şekilde her 5 dakikada bir çalıştırılabilir.

Azure Monitor, günlükleri iyi bilinen tablolarda depolar. AzureActivity, abonelik düzeyindeki işlemleri kaydeder. SecurityEvent, Log Analytics aracısının bulunduğu VM'lerden gelen Windows Güvenlik günlüklerini içerir. Heartbeat, aracı bağlantısını gösterir (bağlı her VM için dakikada bir satır). AppRequests, AppExceptions ve AppDependencies, Application Insights'tan gelir. Bu tablo adlarını bilmek, etkili operasyon sorguları yazmak için çok önemlidir.

Log Analytics fiyatlandırmasının iki bileşeni vardır: veri alımı (alınan GB başına) ve veri saklama (ilk 30 gün ücretsizdir; sonrasında varsayılan sürenin ötesindeki her GB için aylık ücret alınır). Alımdan önce gürültülü günlük kategorilerini filtreleyerek, yüksek hacimli ve düşük değerli veriler için daha düşük ücretli Basic Logs kullanarak ve eski verileri uzun süreli uyumluluk saklaması için Azure Data Explorer veya soğuk depolamaya arşivleyerek maliyetleri azaltabilirsiniz.

Log Analytics çalışma alanları iki erişim denetimi modelini destekler. workspace-context modunda çalışma alanına Okuma erişimi olan bir kullanıcı tüm tabluları sorgulayabilir. resource-context modunda kullanıcı, açık çalışma alanı erişimi olmasa bile yalnızca okumak için RBAC iznine sahip olduğu kaynaklar tarafından oluşturulan günlükleri sorgulayabilir. Resource-context modu, farklı ekiplerin farklı kaynakların sorumluluğunu üstlendiği büyük kuruluşlar için önerilir.

Bu dersteki Microsoft Azure Fundamentals (AZ-900) kavramlarını ne ölçüde anladığınızı test edin.

Bu derste şunları öğrendiniz: Log Analytics çalışma alanları, Azure kaynaklarındaki tanılama günlüklerini merkezileştirir; where, summarize ve render gibi KQL işleçleri günlükleri filtrelemenizi, toplamanızı ve görselleştirmenizi sağlar; günlük arama uyarıları ise bir KQL sorgusunun sonucu tanımlanmış bir koşulu karşıladığında otomatik yanıtları tetikler. Sırada uygulama düzeyindeki telemetri için Application Insights konusunu inceleyeceğiz.