Ukázkové dotazy na upozornění prohledávání protokolů, které zahrnují ADX a ARG

  • Článek

Pravidlo upozornění prohledávání protokolu monitoruje prostředek pomocí dotazu Log Analytics k vyhodnocení protokolů s nastavenou frekvencí. Data z Azure Data Exploreru a Azure Resource Graphu můžete zahrnout do dotazů na pravidla upozornění prohledávání protokolu.

Tento článek obsahuje příklady dotazů na pravidla upozornění prohledávání protokolů, které používají Azure Data Explorer a Azure Resource Graph. Další informace o vytvoření pravidla upozornění prohledávání protokolu naleznete v tématu Vytvoření pravidla upozornění prohledávání protokolu.

Dotazy, které kontrolují stav virtuálního počítače

Tento dotaz vyhledá virtuální počítače označené jako kritické, které během posledních 2 minut neměly prezenčních signálů.

    arg("").Resources
    | where type == "microsoft.compute/virtualmachines"
    | summarize LastCall = max(case(isnull(TimeGenerated), make_datetime(1970, 1, 1), TimeGenerated)) by name, id
    | extend SystemDown = case(LastCall < ago(2m), 1, 0)
    | where SystemDown == 1

Tento dotaz najde virtuální počítače označené jako kritické, které měly prezenčních signálů před více než 24 hodinami, ale za posledních 2 minut se nezobrazily prezenčních signálů.

{
    arg("").Resources
    | where type == "microsoft.compute/virtualmachines"
    | where tags.BusinessCriticality =~ 'critical' and subscriptionId == '123-456-123-456'
    | join kind=leftouter (
    Heartbeat
    | where TimeGenerated > ago(24h)
    )
    on $left.name == $right.Resource
    | summarize LastCall = max(case(isnull(TimeGenerated), make_datetime(1970, 1, 1), TimeGenerated)) by name, id
    | extend SystemDown = case(LastCall < ago(2m), 1, 0)
    | where SystemDown == 1
}

Dotaz, který filtruje virtuální počítače, které je potřeba monitorovat

   {
    let RuleGroupTags = dynamic(['Linux']);
    Perf | where ObjectName == 'Processor' and CounterName == '% Idle Time' and (InstanceName in ('_Total,'total'))
    | extend CpuUtilisation = (100 - CounterValue)   
    | join kind=inner hint.remote=left (arg("").Resources
        | where type =~ 'Microsoft.Compute/virtualMachines'
    | project _ResourceId=tolower(id), tags) on _ResourceId
    | project-away _ResourceId1
    | where  (tostring(tags.monitorRuleGroup) in (RuleGroupTags)) 
}

Dotaz, který najde prostředky s certifikáty, jejichž platnost vyprší do 30 dnů

{
    arg("").Resources
    | where type == "microsoft.web/certificates"
    | extend ExpirationDate = todatetime(properties.expirationDate)
    | project ExpirationDate, name, resourceGroup, properties.expirationDate
    | where ExpirationDate < now() + 30d
    | order by ExpirationDate asc
}

Dotaz na upozornění při vytvoření nového prostředku v předplatném

{
    arg("").resourcechanges
    | extend changeTime = todatetime(properties.changeAttributes.timestamp), 
    changeType = tostring(properties.changeType),targetResourceType = tostring(properties.targetResourceType),
    changedBy = tostring(properties.changeAttributes.changedBy),
    createdResource = tostring(properties.targetResourceId)
    | where changeType == "Create" and changeTime <ago(1h)
    | project changeTime,createdResource,changedBy

}

Další kroky