Quickstart: Waarschuwingen maken met Azure Resource Graph en Log Analytics
Artikel
In deze quickstart leert u hoe u Azure Log Analytics kunt gebruiken om waarschuwingen te maken voor Azure Resource Graph-query's. U kunt waarschuwingen maken met Azure Resource Graph-query, Log Analytics-werkruimte en beheerde identiteiten. De voorwaarden van de waarschuwing verzenden meldingen met een bepaald interval.
U kunt query's gebruiken om waarschuwingen in te stellen voor uw geïmplementeerde Azure-resources. U kunt query's maken met behulp van Azure Resource Graph-tabellen of u kunt Azure Resource Graph-tabellen en Log Analytics-gegevens uit Azure Monitor-logboeken combineren.
In de voorbeelden van dit artikel maakt u resources in dezelfde resourcegroep en gebruikt u dezelfde regio, zoals VS - west 3. In de voorbeelden in dit artikel worden query's uitgevoerd en waarschuwingen voor Azure-resources in één Azure-tenant gemaakt. Azure Data Explorer-clusters vallen buiten het bereik van dit artikel.
Dit artikel bevat twee voorbeelden van waarschuwingen:
Azure Resource Graph: maakt gebruik van de Azure Resource Graph-tabelResources om een query te maken die gegevens ophaalt voor uw geïmplementeerde Azure-resources en een waarschuwing maakt.
Azure Resource Graph en Log Analytics: maakt gebruik van de Azure Resource Graph-tabel Resources en Log Analytics-gegevens uit de tabel Azure Monitor-logboeken Heartbeat . In dit voorbeeld wordt een virtuele machine gebruikt om te laten zien hoe u de query en waarschuwing instelt.
Notitie
Integratie van Azure Resource Graph-waarschuwingen met Log Analytics is in openbare preview.
Vereisten
Als u geen Azure-account hebt, maak dan een gratis account aan voordat u begint.
Resources die zijn geïmplementeerd in Azure, zoals virtuele machines of opslagaccounts.
Als u het voorbeeld voor de Azure Resource Graph- en Log Analytics-query wilt gebruiken, hebt u ten minste één virtuele Azure-machine met de Azure Monitor-agent nodig.
Werkruimte maken
Maak een Log Analytics-werkruimte in het abonnement dat wordt bewaakt.
U hoeft geen virtuele machine te maken voor het voorbeeld dat gebruikmaakt van de Azure Resource Graph-tabel.
Notitie
Deze sectie is optioneel als u bestaande virtuele machines hebt of weet hoe u een virtuele machine maakt. In dit voorbeeld wordt een virtuele machine gebruikt om te laten zien hoe u een query maakt met behulp van een Azure Resource Graph-tabel en Log Analytics-gegevens.
Als u logboekgegevens wilt ophalen, wordt de Azure Monitor-agent op de virtuele machine geïnstalleerd wanneer u uw virtuele machine verbindt met de Log Analytics-werkruimte. Als u geen virtuele machine hebt, kunt u er een maken voor dit voorbeeld. Als u onnodige kosten wilt voorkomen, verwijdert u de virtuele machine wanneer u klaar bent met het voorbeeld.
De volgende instructies zijn basisinstellingen voor een virtuele Linux-machine. Gedetailleerde stappen voor het maken van een virtuele machine vallen buiten het bereik van dit artikel. Uw organisatie vereist mogelijk andere beveiligings- of netwerkinstellingen voor virtuele machines.
Selecteer NIC verwijderen wanneer de VIRTUELE machine wordt verwijderd.
Beheer
Selecteer Automatisch afsluiten inschakelen.
Selecteer een afsluittijd in uw tijdzone.
Voeg uw e-mailadres toe als u een afsluitmelding wilt ontvangen.
Bewaking, geavanceerd en tags
Er zijn geen wijzigingen nodig voor dit voorbeeld.
Selecteer Controleren en maken en vervolgens Maken.
U wordt gevraagd om een nieuw sleutelpaar te genereren. Selecteer Persoonlijke sleutel downloaden en resource maken. Wanneer u klaar bent met de virtuele machine, verwijdert u het bestand met de persoonlijke sleutel van uw computer.
Selecteer Naar de resource gaan nadat de virtuele machine is geïmplementeerd.
Notitie
Deze sectie is optioneel als u weet hoe u een virtuele machine verbindt met een Log Analytics-werkruimte en Azure Monitor Agent.
Stel een regel voor gegevensverzameling in voor het bewaken van de virtuele machine.
Voer in het azure-zoekveld regels voor gegevensverzameling in en selecteer regels voor gegevensverzameling.
Selecteer Maken:
Regelnaam: Voer een naam in, zoals demo-data-collection-rule.
Abonnement: selecteer uw abonnement.
Resourcegroep: Selecteer demo-arg-alert-rg.
Regio: VS - west 3.
Platformtype: Alles selecteren.
Selecteer Volgende: Resources:
Selecteer Resources toevoegen.
Abonnement: selecteer uw abonnement.
Bereik: Selecteer uw resourcegroep en de naam van de virtuele machine.
Selecteer Toepassen.
Selecteer Volgende: Verzamelen en leveren:
Selecteer Gegevensbron toevoegen.
Gegevensbrontype: Prestatiemeteritems selecteren.
Selecteer Volgende: Bestemming en Bestemming toevoegen:
Doeltype: Azure Monitor-logboeken.
Abonnement: selecteer uw abonnement.
Account of naamruimte: Selecteer uw Log Analytics-werkruimte, demo-arg-alert-workspace.
Selecteer Gegevensbron toevoegen.
Selecteer Beoordelen en maken en vervolgens Maken.
Selecteer Ga naar de resource wanneer de implementatie is voltooid.
Controleer of bewaking is geconfigureerd voor de virtuele machine:
Ga naar de regel voor het verzamelen van gegevens en controleer de configuratie:
Gegevensbronnen: toont de prestatiemeteritems van de gegevensbron en doellogboeken van Azure Monitor.
Resources: Toont de virtuele machine, resourcegroep en het abonnement.
Ga naar de demo-arg-alert-workspace van uw Log Analytics-werkruimte. Selecteer Instellingenagents>>Linux-servers en uw Linux-computer is verbonden met de Azure Monitor Linux-agent. Het kan enkele minuten duren voordat de agent wordt weergegeven.
Ga naar uw virtuele machine en selecteer Instellingenextensies>en toepassingen en controleer of de AzureMonitorLinuxAgentinrichting is geslaagd.
Maak vanuit de Log Analytics-werkruimte een Azure Resource Graph-query om een telling van uw Azure-resources op te halen. In dit voorbeeld wordt de Azure Resource Graph-tabel Resources gebruikt.
Selecteer Logboeken aan de linkerkant van de Log Analytics-werkruimtepagina . Sluit het venster Query's als dit wordt weergegeven.
Gebruik de volgende code in de nieuwe query:
arg("").Resources
| count
Tabelnamen in Log Analytics moeten kameel zijn met de eerste letter van elk woord met hoofdletters, zoals Resources of ResourceContainers. U kunt ook kleine letters gebruiken, zoals resources of resourcecontainers.
Selecteer Uitvoeren.
In de resultaten wordt het aantal resources in uw Azure-abonnement weergegeven. Noteer dat getal omdat u dit nodig hebt voor de voorwaarde van de waarschuwingsregel. Wanneer u de query handmatig uitvoert, is het aantal gebaseerd op de gebruikersidentiteit en maakt een geactiveerde waarschuwing gebruik van een beheerde identiteit. Het is mogelijk dat het aantal kan variëren tussen een handmatige uitvoering of geactiveerde waarschuwing.
Verwijder het aantal uit uw query.
arg("").Resources
Maak vanuit de Log Analytics-werkruimte een Azure Resource Graph-query om de laatste heartbeatgegevens van uw virtuele machine op te halen. In dit voorbeeld worden de Azure Resource Graph-tabel Resources - en Log Analytics-gegevens uit de tabel Azure Monitor-logboeken Heartbeat gebruikt.
Ga naar uw Log Analytics-werkruimte met demo-arg-alert-workspace .
Selecteer Logboeken aan de linkerkant van de Log Analytics-werkruimtepagina . Sluit het venster Query's als dit wordt weergegeven.
Gebruik de volgende code in de nieuwe query:
arg("").Resources
| where type == 'microsoft.compute/virtualmachines'
| project ResourceId = id, name, PowerState = tostring(properties.extended.instanceView.powerState.code)
| join (Heartbeat
| where TimeGenerated > ago(15m)
| summarize lastHeartBeat = max(TimeGenerated) by ResourceId)
on ResourceId
| project lastHeartBeat, PowerState, name, ResourceId
Tabelnamen in Log Analytics moeten kameel zijn met de eerste letter van elk woord met hoofdletters, zoals Resources of ResourceContainers. U kunt ook kleine letters gebruiken, zoals resources of resourcecontainers.
U kunt andere tijdsbestekken voor de TimeGenerated. Bijvoorbeeld, in plaats van minuten zoals 15m gebruiksuren zoals 12h, 24h, . 48h
Selecteer Uitvoeren.
De query moet de laatste heartbeat, de energiestatus, de naam en de resource-id van de virtuele machine retourneren. Als er geen resultaten worden weergegeven, gaat u verder met de volgende stappen. Het kan 30 minuten duren voordat er nieuwe configuraties beschikbaar zijn voor de query en waarschuwingen.
Selecteer nieuwe waarschuwingsregel in de Log Analytics-werkruimte. De query uit uw Log Analytics-werkruimte wordt gekopieerd naar de waarschuwingsregel. Een waarschuwingsregel maken heeft verschillende tabbladen die moeten worden bijgewerkt om de waarschuwing te maken.
Bereik
Controleer of het bereik standaard is ingesteld op uw Log Analytics-werkruimte met de naam demo-arg-alert-workspace.
Voer alleen de volgende stappen uit als uw bereik niet is ingesteld op de standaardinstelling:
Ga naar het tabblad Bereik en selecteer Bereik selecteren.
Verwijder onder aan het scherm Geselecteerde resources het huidige bereik.
Selecteer de optie om het bereik te selecteren.
Vouw de demo-arg-alert-rg uit in de lijst met resources en selecteer demo-arg-alert-workspace.
Selecteer Toepassen.
Selecteer Volgende: Voorwaarde.
Conditie
Het formulier heeft verschillende velden die moeten worden ingevuld:
Signaalnaam: Aangepast zoeken in logboeken
Zoekquery: Geeft de querycode weer
Als u het bereik hebt gewijzigd, moet u de query toevoegen vanuit de sectie Query maken .
Afmeting
Meting: Tabelrijen
Aggregatietype: Aantal
Aggregatiegranulariteit: 5 minuten
Waarschuwingslogica
Operator: Groter dan
Drempelwaarde: gebruik een getal dat kleiner is dan het getal dat wordt geretourneerd uit het aantal resources.
Als uw aantal resources bijvoorbeeld 50 was, gebruikt u 45. Met deze waarde wordt de waarschuwing geactiveerd wanneer deze uw resources evalueert omdat uw aantal resources groter is dan de drempelwaarde.
Frequentie van evaluatie: 5 minuten
Selecteer Volgende: Acties.
Acties
Selecteer Actiegroep maken:
Abonnement: selecteer uw Azure-abonnement.
Resourcegroep: demo-arg-alert-rg
Regio: Globaal staat de service actiegroepen toe om de locatie te selecteren.
Schakel het selectievakje E-mail in en typ uw e-mailadres.
Selecteer OK.
Selecteer Controleren en maken, controleer of de samenvatting juist is en selecteer Maken. U keert terug naar het tabblad Acties van de pagina Een waarschuwingsregel maken. De naam van de actiegroep toont de actiegroep die u hebt gemaakt. U ontvangt een e-mailmelding om te bevestigen dat u bent toegevoegd aan de actiegroep.
Selecteer Volgende: Details.
DETAILS
Gebruik de volgende informatie op het tabblad Details :
Abonnement: selecteer uw Azure-abonnement.
Resourcegroep: demo-arg-alert-rg
Ernst: Accepteer de standaardwaarde 3 - Informatief.
Naam van waarschuwingsregel: demo-arg-alert-rule
Beschrijving van waarschuwingsregel: e-mailwaarschuwing voor het aantal Azure-resources
Regio: VS - west 3
Identiteit: Selecteer door het systeem toegewezen beheerde identiteit.
Selecteer Controleren en maken, controleer of de samenvatting juist is en selecteer Maken. U keert terug naar de pagina Logboeken van uw Log Analytics-werkruimte.
Rol toewijzen
Wijs de Log Analytics-lezer toe aan de door het systeem toegewezen beheerde identiteit, zodat waarschuwingen worden geactiveerd die e-mailmeldingen verzenden.
Selecteer Bewakingswaarschuwingen> in de Log Analytics-werkruimte. Selecteer OK als u wordt gevraagd of uw niet-opgeslagen bewerkingen worden verwijderd.
Object-id: Toont de GUID voor uw bedrijfstoepassing (service-principal) in Microsoft Entra-id.
Machtiging: Azure-roltoewijzingen selecteren:
Controleer of uw abonnement is geselecteerd.
Selecteer Roltoewijzing toevoegen:
Bereik: Abonnement
Abonnement: selecteer de naam van uw Azure-abonnement.
Rol: Log Analytics Reader
Selecteer Opslaan.
Het duurt enkele minuten voordat de Log Analytics-lezer wordt weergegeven op de pagina Azure-roltoewijzingen . Selecteer Vernieuwen om de pagina bij te werken.
Gebruik de knop Terug van uw browser om terug te keren naar de identiteit en selecteer vervolgens Overzicht om terug te keren naar de waarschuwingsregel. Selecteer de koppeling naar uw resourcegroep met de naam demo-arg-alert-rg.
Hoewel dit artikel buiten het bereik valt, voegt u voor een Azure Data Explorer-cluster de rol Lezer toe aan de door het systeem toegewezen beheerde identiteit. Selecteer aan het einde van dit artikel de koppeling roltoewijzingen voor Azure Data Explorer-clusters voor meer informatie.
Selecteer nieuwe waarschuwingsregel in de Log Analytics-werkruimte. De query uit uw Log Analytics-werkruimte wordt gekopieerd naar de waarschuwingsregel. De waarschuwingsregel maken heeft verschillende tabbladen die moeten worden bijgewerkt.
Bereik
Controleer of het bereik standaard is ingesteld op uw Log Analytics-werkruimte met de naam demo-arg-alert-workspace.
Voer alleen de volgende stappen uit als uw bereik niet is ingesteld op de standaardinstelling:
Ga naar het tabblad Bereik en selecteer Bereik selecteren.
Verwijder onder aan het scherm Geselecteerde resources het huidige bereik.
Vouw de demo-arg-alert-rg uit in de lijst met resources en selecteer demo-arg-alert-workspace.
Selecteer Toepassen.
Selecteer Volgende: Voorwaarde.
Conditie
Het formulier heeft verschillende velden die moeten worden ingevuld:
Signaalnaam: Aangepast zoeken in logboeken
Zoekquery: Geeft de querycode weer
Als u het bereik hebt gewijzigd, moet u de query toevoegen vanuit de sectie Query maken .
Afmeting
Meting: Tabelrijen
Aggregatietype: Aantal
Aggregatiegranulariteit: 5 minuten
Waarschuwingslogica
Operator: kleiner dan
Drempelwaarde: 2
Frequentie van evaluatie: 5 minuten
Selecteer Volgende: Acties.
Acties
Selecteer Actiegroep maken:
Abonnement: selecteer uw Azure-abonnement.
Resourcegroep: demo-arg-alert-rg
Regio: Globaal staat de service actiegroepen toe om de locatie te selecteren.
Naam van actiegroep: demo-arg-la-alert-action-group
Schakel het selectievakje E-mail in en typ uw e-mailadres
Selecteer OK
Selecteer Controleren en maken, controleer of de samenvatting juist is en selecteer Maken. U keert terug naar het tabblad Acties van de pagina Een waarschuwingsregel maken. De naam van de actiegroep toont de actiegroep die u hebt gemaakt. U ontvangt een e-mailmelding om te bevestigen dat u bent toegevoegd aan de actiegroep.
Selecteer Volgende: Details.
DETAILS
Gebruik de volgende informatie op het tabblad Details :
Abonnement: selecteer uw Azure-abonnement.
Resourcegroep: demo-arg-alert-rg
Ernst: selecteer 2 - Waarschuwing.
Naam van waarschuwingsregel: demo-arg-la-alert-rule
Beschrijving van waarschuwingsregel: E-mailwaarschuwing voor ARG-LA-query van virtuele Azure-machine
Regio: VS - west 3
Identiteit: Door het systeem toegewezen beheerde identiteit selecteren
Selecteer Controleren en maken, controleer of de samenvatting juist is en selecteer Maken. U keert terug naar de pagina Logboeken van uw Log Analytics-werkruimte.
Rol toewijzen
Wijs de Log Analytics-lezer toe aan de door het systeem toegewezen beheerde identiteit, zodat waarschuwingen worden geactiveerd die e-mailmeldingen verzenden.
Selecteer Bewakingswaarschuwingen> in de Log Analytics-werkruimte. Selecteer OK als u wordt gevraagd of uw niet-opgeslagen bewerkingen worden verwijderd.
Object-id: Toont de GUID voor uw bedrijfstoepassing (service-principal) in Microsoft Entra-id.
Machtiging: Azure-roltoewijzingen selecteren
Controleren of uw abonnement is geselecteerd
Selecteer Roltoewijzing toevoegen:
Bereik: Abonnement
Abonnement: Selecteer de naam van uw Azure-abonnement
Rol: Log Analytics Reader
Selecteer Opslaan.
Het duurt enkele minuten voordat de Log Analytics-lezer wordt weergegeven op de pagina Azure-roltoewijzingen . Selecteer Vernieuwen om de pagina bij te werken.
Gebruik de knop Terug van uw browser om terug te keren naar de identiteit en selecteer Overzicht om terug te keren naar de waarschuwingsregel. Selecteer de koppeling naar uw resourcegroep met de naam demo-arg-alert-rg.
Hoewel dit artikel buiten het bereik valt, voegt u voor een Azure Data Explorer-cluster de rol Lezer toe aan de door het systeem toegewezen beheerde identiteit. Selecteer aan het einde van dit artikel de koppeling roltoewijzingen voor Azure Data Explorer-clusters voor meer informatie.
Nadat de rol is toegewezen aan uw waarschuwingsregel, begint u e-mail te ontvangen voor waarschuwingsberichten. De regel is elke vijf minuten gemaakt om waarschuwingen te verzenden en het duurt enkele minuten om de eerste waarschuwing op te halen.
U kunt de waarschuwingen ook bekijken in Azure Portal:
Ga naar de demo-arg-alert-rg van de resourcegroep.
Selecteer demo-arg-alert-workspace in uw lijst met resources.
Selecteer Bewakingswaarschuwingen>.
Er wordt een lijst met waarschuwingen weergegeven.
Nadat de rol is toegewezen aan uw waarschuwingsregel, begint u e-mail te ontvangen voor waarschuwingsberichten. De regel is elke vijf minuten gemaakt om waarschuwingen te verzenden en het duurt enkele minuten om de eerste waarschuwing op te halen.
U kunt de waarschuwingen ook bekijken in Azure Portal:
Ga naar de demo-arg-alert-rg van de resourcegroep.
Selecteer uw virtuele machine.
Selecteer Bewakingswaarschuwingen>.
Er wordt een lijst met waarschuwingen weergegeven.
Voor een nieuwe configuratie kan het 30 minuten duren voordat logboekgegevens beschikbaar zijn en waarschuwingen worden gemaakt. Gedurende die tijd ziet u mogelijk dat de waarschuwingsregel van de virtuele machine waarschuwingen weergeeft in de bewakingswaarschuwingen van de werkruimte. Wanneer de logboekgegevens van de virtuele machine beschikbaar komen, worden de waarschuwingen weergegeven in de bewakingswaarschuwingen van de virtuele machine.
Resources opschonen
Als u de waarschuwingsconfiguratie wilt behouden, maar wilt voorkomen dat de waarschuwing wordt geactiveerd en e-mailmeldingen worden verzonden, kunt u deze uitschakelen. Ga naar de demo-arg-alert-rule of demo-arg-la-alert-rule en selecteer Uitschakelen.
Als u deze waarschuwing of de resources die u in dit voorbeeld hebt gemaakt niet nodig hebt, verwijdert u de resourcegroep met de volgende stappen:
Ga naar de demo-arg-alert-rg van uw resourcegroep.
Selecteer Resourcegroep verwijderen.
Typ de naam van de resourcegroep om te bevestigen.
Selecteer Verwijderen.
Als u een virtuele machine hebt gemaakt, verwijdert u de persoonlijke sleutel die u tijdens de implementatie naar uw computer hebt gedownload. De bestandsnaam heeft een .pem extensie.
Gerelateerde inhoud
Ga naar de volgende artikelen voor meer informatie over de querytaal of het verkennen van resources.
