Funciones en consultas de registro de Azure Monitor

Una función es una consulta de registro en Azure Monitor que se puede usar en otras consultas de registro como si fuera un comando. Puede utilizar funciones para proporcionar soluciones a distintos clientes, además de reutilizar la lógica de consulta en su propio entorno. En este artículo se describe cómo usar funciones y cómo crear las suyas propias.

Permisos necesarios

Acción	Permisos necesarios
Visualización o uso de funciones	Los permisos Microsoft.OperationalInsights/workspaces/query/*/read del área de trabajo de Log Analytics, como los que proporciona el rol integrado de lector de Log Analytics, por ejemplo.
Creación o edición de funciones	Los permisos microsoft.operationalinsights/workspaces/savedSearches/write del área de trabajo de Log Analytics, como los que proporciona el rol integrado de colaborador de Log Analytics, por ejemplo.

Tipos de funciones

Hay dos tipos de funciones en Azure Monitor:

• Solution functions: Las funciones precompiladas se incluyen con Azure Monitor. Estas funciones están disponibles en todas las áreas de trabajo de Log Analytics y no se pueden modificar.

• Workspace functions: Estas funciones se instalan en un área de trabajo de Log Analytics determinada. El usuario puede modificarlas y controlarlas.

Funciones de visualización

Para ver las funciones de solución y las funciones del área de trabajo en el área de trabajo actual, seleccione Funciones en el panel izquierdo de un área de trabajo de Log Analytics. Expanda una categoría o escriba una cadena en el cuadro Buscar para buscar una función determinada. Mantenga el puntero sobre una función para ver más detalles sobre ella, incluida una descripción y parámetros.

Uso de una función

Use una función en una consulta escribiendo su nombre con valores para cualquier parámetro igual que lo haría en un comando. La salida de la función se puede devolver como resultados o canalizarse a otro comando.

Ejecute una función desde el panel Funciones al mantener el puntero sobre su nombre y seleccione Ejecutar. IntelliSense incluye funciones en el espacio de trabajo al introducir una consulta.

Si una consulta requiere parámetros, puede proporcionarlos mediante la sintaxis function_name(param1,param2,...).

Creación de una función

Portal

Para crear una función a partir de la consulta actual del editor, seleccione Guardar>Guardar como función.

Cree una función con Log Analytics en el portal de Azure; para ello, seleccione Guardar y proporcione la información en la tabla siguiente:

Configuración	Descripción
Nombre de la función	El nombre de la función. El nombre no puede incluir ningún espacio o carácter especial. Tampoco puede comenzar con un carácter de subrayado (_), ya que este carácter está reservado para las funciones de solución.
Categoría obsoleta	Categoría definida por el usuario para ayudar a filtrar y agrupar funciones.
Guardar como grupo de equipos	Guarde la consulta como un grupo de equipos.
Parámetros	Agregue un parámetro para cada variable de la función que requiera un valor cuando se utilice. Para obtener más información, consulte Parámetros de función.

ARM (JSON)

En el ejemplo siguiente se usa la plantilla Microsoft.OperationalInsights workspaces/savedSearches para crear una función. Para obtener más información sobre las plantillas de Azure Resource Manager, consulte Componer la estructura y la sintaxis de las plantillas de ARM.

Para más información sobre cómo implementar recursos desde una plantilla personalizada, vaya a Amplementar recursos con plantillas de ARM y Azure portal.

Nota:

Consulte los ejemplos de Azure Resource Manager para Azure Monitor para obtener una lista de ejemplos disponibles y orientación sobre cómo implementarlos en su suscripción de Azure.

Archivo de plantilla

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.OperationalInsights/workspaces/savedSearches",
            "apiVersion": "2025-07-01",
            "name": "[concat(parameters('workspaceName'), '/', parameters('functionName'))]",
            "location": "[parameters('location')]",
            "properties": {
                "etag": "*",
                "displayName": "[parameters('functionDisplayName')]",
                "category": "[parameters('category')]",
                "query": "[parameters('query')]",
                "functionAlias": "[parameters('functionAlias')]",
                "version": 1
            }
        }
    ],
    "parameters": {
        "workspaceName": {
            "type": "string",
            "metadata": {
                "description": "Name of the Log Analytics workspace"
            }
        },
        "functionName": {
            "type": "string",
            "metadata": {
                "description": "Name of the function"
            }
        },
        "location": {
            "type": "string",
            "metadata": {
                "description": "Location of the Log Analytics workspace"
            }
        },
        "functionDisplayName": {
            "type": "string",
            "metadata": {
                "description": "Display name of the function"
            }
        },
        "category": {
            "type": "string",
            "metadata": {
                "description": "Category of the function"
            }
        },
        "query": {
            "type": "string",
            "metadata": {
                "description": "Kusto query for the function"
            }
        },
        "functionAlias": {
            "type": "string",
            "metadata": {
                "description": "Alias for the function"
            }
        }
    }
}

Bicep

En el ejemplo siguiente se usa la plantilla Microsoft.OperationalInsights workspaces/savedSearches para crear una función. Para obtener más información sobre las plantillas de Bicep, vea Bicep estructura y sintaxis de archivos.

@description('Name of the Log Analytics workspace')
param workspaceName string

@description('Name of the function')
param functionName string

@description('Location of the Log Analytics workspace')
param location string

@description('Display name of the function')
param functionDisplayName string

@description('Category of the function')
param category string

@description('Kusto query for the function')
param query string

@description('Alias for the function')
param functionAlias string

resource workspaceName_function 'Microsoft.OperationalInsights/workspaces/savedSearches@2025-07-01' = {
    name: '${workspaceName}/${functionName}'
    location: location
    properties: {
        etag: '*'
        displayName: functionDisplayName
        category: category
        query: query
        functionAlias: functionAlias
        version: 1
    }
}

Parámetros de función

Puede agregar parámetros a una función para que pueda proporcionar valores de determinadas variables al llamarla. Esto permite usar la misma función en consultas diferentes, cada una de las cuales proporciona valores diferentes para los parámetros. Los parámetros se definen mediante las siguientes propiedades:

Configuración	Descripción
Tipo	Tipo de datos para el valor.
Nombre	Nombre del parámetro. Este nombre debe usarse en la consulta para reemplazar el valor del parámetro.
Valor predeterminado	Valor que se usará para el parámetro si no se proporciona ningún valor.

Los parámetros se ordenan a medida que se crean. Primero aparecen los parámetros sin ningún valor predeterminado y, después, aquellos que sí lo tienen.

Trabajar con código de función

Vea el código de una función para comprender cómo funciona o reutilizarlo en otra función. Cambie el editor al modo KQL, mantenga el puntero sobre la función y seleccione Cargar en el editor.

El código de función se agrega a la pestaña de consulta actual.

Edición de una función

Para crear una versión modificada de una función, cree una nueva consulta en modo KQL. Mantenga el puntero sobre el nombre de la función y seleccione Cargar en el editor. Modifique el código y, a continuación, seleccione Guardar>como función. Proporcione un nombre de función único, modifique las propiedades y los parámetros y seleccione Guardar.

Ejemplo

La siguiente función de ejemplo devuelve todos los eventos del registro de actividad de Azure desde una fecha determinada y que coinciden con una categoría determinada.

Comience con la consulta siguiente mediante el uso de valores codificados de forma rígida para comprobar que la consulta funciona según lo previsto.

AzureActivity
| where CategoryValue == "Administrative"
| where TimeGenerated > todatetime("2021/04/05 5:40:01.032 PM")

A continuación, reemplace los valores codificados de forma rígida por nombres de parámetro. A continuación, guarde la función seleccionando Guardar>Guardar como función.

AzureActivity
| where CategoryValue == CategoryParam
| where TimeGenerated > DateParam

Proporcione los siguientes valores para las propiedades de función:

Propiedad	Importancia
Nombre de la función	ActividadDeAzurePorCategoría
Categoría obsoleta	Funciones de demostración

Defina los parámetros siguientes antes de guardar la función:

Tipo	Nombre	Valor predeterminado
cuerda / cadena	CategoryParam	"Administrativa"
fecha y hora	DateParam

Cree una nueva consulta y mantenga el puntero sobre ella para ver la nueva función. Examine el orden de los parámetros. Deben especificarse en este orden cuando se usa la función.

Llame a la nueva función desde una consulta y proporcione valores para sus parámetros necesarios. No es necesario especificar un valor para CategoryParam porque tiene un valor predeterminado.

Pasos siguientes

Consulte String operations para obtener más información sobre cómo escribir consultas de registro de Azure Monitor.