Ejecución de trabajos de búsqueda en Azure Monitor
Buscar trabajos son consultas asincrónicas que recuperan registros en una nueva tabla de búsqueda dentro del área de trabajo para realizar análisis posteriores. Los trabajos de búsqueda usan el procesamiento paralelo y pueden ejecutarse durante horas en conjuntos de datos grandes. En este artículo se describe cómo crear un trabajo de búsqueda y cómo consultar los datos resultantes.
Nota
La característica de trabajo de búsqueda actualmente no se admite para áreas de trabajo con claves administradas por el cliente.
Permisos
Para ejecutar un trabajo de búsqueda, necesita permisos Microsoft.OperationalInsights/workspaces/tables/write y Microsoft.OperationalInsights/workspaces/searchJobs/write en el área de trabajo de Log Analytics, por ejemplo, los que proporciona el rol integrado Colaborador de Log Analytics.
Cuándo usar trabajos de búsqueda
Use un trabajo de búsqueda cuando el tiempo de espera de la consulta de registro de 10 minutos no sea suficiente para buscar en grandes volúmenes de datos o si se ejecuta una consulta lenta.
Los trabajos de búsqueda también permiten recuperar registros de las tablas Registros archivados y Registros básicos en una nueva tabla de registro que puede usar para consultas. De esta manera, la ejecución de un trabajo de búsqueda puede ser una alternativa a:
Restaurar datos de registros archivados para un intervalo de tiempo específico.
Use la restauración cuando tenga una necesidad temporal de ejecutar muchas consultas en un gran volumen de datos.Consultar los registros básicos directamente y pagar por cada consulta.
Para determinar qué alternativa es más rentable, compare el costo de consultar los registros básicos con el costo de ejecutar un trabajo de búsqueda y almacenar los resultados del trabajo de búsqueda.
¿Qué hace un trabajo de búsqueda?
Un trabajo de búsqueda envía los resultados a una nueva tabla en la misma área de trabajo que los datos de origen. La tabla de resultados está disponible en cuanto comienza el trabajo de búsqueda, pero los resultados pueden tardar un tiempo en empezar a aparecer.
La tabla de resultados del trabajo de búsqueda es una tabla de Analytics que está disponible para realizar consultas de registros o para cualquier otra característica de Azure Monitor que use tablas en un área de trabajo. La tabla usa el valor de retención establecido para el área de trabajo, pero este valor se puede modificar una vez creada la tabla.
El esquema de la tabla de resultados de búsqueda se basa en el esquema de la tabla de origen y la consulta especificada. Las siguientes columnas adicionales ayudan a realizar un seguimiento de los registros de origen:
| Columna | Valor |
|---|---|
| _OriginalType | Valor Type de la tabla de origen. |
| _OriginalItemId | Valor _ItemID de la tabla de origen. |
| _OriginalTimeGenerated | Valor TimeGenerated de la tabla de origen. |
| TimeGenerated | Hora en la que se ejecutó el trabajo de búsqueda. |
Las consultas de la tabla de resultados aparecen en la auditoría de consultas de registros, pero no en el trabajo de búsqueda inicial.
Ejecución de un trabajo de búsqueda
Ejecute un trabajo de búsqueda para capturar registros de conjuntos de datos grandes en una nueva tabla de resultados de búsqueda que se encuentre en el área de trabajo.
Sugerencia
Se incurre en cargos por ejecutar un trabajo de búsqueda. Por consiguiente, escriba y optimice la consulta en modo de consulta interactiva antes de ejecutar el trabajo de búsqueda.
Para ejecutar un trabajo de búsqueda, en Azure Portal:
En el menú Área de trabajo de Log Analytics, seleccione Registros.
Seleccione el menú de puntos suspensivos en el lado derecho de la pantalla y active Modo de trabajo de búsqueda.
Azure Monitor Logs intellisense admite limitaciones de consultas KQL en el modo de trabajo de búsqueda para ayudarle a escribir la consulta del trabajo de búsqueda.
Especifique el intervalo de fechas del trabajo de búsqueda mediante el selector de hora.
Escriba la consulta del trabajo de búsqueda y seleccione el botón Trabajo de búsqueda.
Azure Monitor Logs le pide que especifique un nombre para la tabla del conjunto de resultados y le informa de que el trabajo de búsqueda está sujeto a facturación.
Escriba un nombre para la tabla de resultados del trabajo de búsqueda y seleccione Ejecutar un trabajo de búsqueda.
Azure Monitor Logs ejecuta el trabajo de búsqueda y crea en el área de trabajo una tabla para los resultados del trabajo de búsqueda.
Cuando la nueva tabla esté lista, seleccione Ver tablename_SRCH para ver la tabla en Log Analytics.
Puede ver los resultados del trabajo de búsqueda a medida que comienzan a fluir en la tabla de resultados del trabajo de búsqueda recién creada.
Azure Monitor Logs muestra un mensaje que indica que se ha realizado el trabajo de búsqueda al final del trabajo de búsqueda. La tabla de resultados ya está lista con todos los registros que coinciden con la consulta de búsqueda.
Obtener el estado y los detalles del trabajo de búsqueda
En el menú Área de trabajo de Log Analytics, seleccione Registros.
En la pestaña Tablas, seleccione Resultados de la búsqueda para ver todas las tablas de resultados del trabajo de búsqueda.
El icono de la tabla de resultados del trabajo de búsqueda muestra una indicación de actualización hasta que se completa el trabajo de búsqueda.
Eliminación de una tabla de trabajo de búsqueda
Se recomienda eliminar la tabla del trabajo de búsqueda cuando haya terminado de consultar la tabla. Esto proporciona un área de trabajo más clara y reduce los cargos adicionales por la retención de datos.
Limitaciones
Los trabajos de búsqueda están sujetos a las siguientes limitaciones:
- Optimizado para consultar una tabla a la vez.
- El intervalo de fechas de búsqueda es de hasta un año.
- Admite búsquedas de larga duración hasta un tiempo de espera de 24 horas.
- Los resultados se limitan a un millón de registros en el conjunto de registros.
- La ejecución simultánea se limita a cinco trabajos de búsqueda por área de trabajo.
- Limitado a 100 tablas de resultados de búsqueda por área de trabajo.
- Limitado a 100 ejecuciones de trabajos de búsqueda al día por área de trabajo.
Cuando se alcanza el límite de registros, Azure anula el trabajo con un estado de éxito parcial y la tabla solo contendrá registros ingeridos hasta ese momento.
Limitaciones de las consultas de KQL
Los trabajos de búsqueda están diseñados para examinar grandes volúmenes de datos en una tabla específica. Por consiguiente, las consultas del trabajo de búsqueda siempre deben comenzar con un nombre de tabla. Para habilitar la ejecución asincrónica mediante distribución y segmentación, la consulta admite un subconjunto de KQL, incluidos los operadores:
Puede usar todas las funciones y los operadores binarios dentro de estos operadores.
Modelo de precios
El cargo por un trabajo de búsqueda se basa en:
- Ejecución del trabajo de búsqueda: la cantidad de datos que el trabajo de búsqueda necesita examinar.
- Resultados del trabajo de búsqueda: la cantidad de datos que encuentra el trabajo de búsqueda y se ingiere en la tabla de resultados, basado en los precios de ingestión de datos de registro habituales.
Por ejemplo, si su tabla contiene 500 GB al día, para una búsqueda de más de 30 días, se le cobrarán 15.000 GB de datos escaneados. Si el trabajo de búsqueda encuentra 1.000 registros que coinciden con la consulta de búsqueda, se le cobrará por la ingesta de estos 1.000 registros en la tabla de resultados.
Para obtener más información, consulte Precios de Azure Monitor.