AzureDiagnostics

Artikel
07/03/2024

Slaat resourcelogboeken op voor Azure-services die gebruikmaken van de diagnostische modus van Azure. Resourcelogboeken beschrijven de interne werking van Azure-resources.

Het resourcelogboek voor elke Azure-service heeft een unieke set kolommen. De tabel AzureDiagnostics bevat de meest voorkomende kolommen die worden gebruikt door Azure-services. Als een resourcelogboek een kolom bevat die nog niet bestaat in de tabel AzureDiagnostics, wordt die kolom toegevoegd wanneer er voor de eerste keer gegevens worden verzameld. Als het maximumaantal van 500 kolommen is bereikt, worden gegevens voor eventuele extra kolommen toegevoegd aan een dynamische kolom.

Azure-services die gebruikmaken van de resourcespecifieke modus slaan gegevens op in een tabel die specifiek is voor die service en die de tabel AzureDiagnostics niet gebruiken. Zie de onderstaande resourcetypen voor de services die elke methode gebruiken. Zie Azure-resourcelogboeken voor meer informatie over de verschillen.

Kolom AdditionalFields

In tegenstelling tot andere tabellen is AzureDiagnostics veel gevoeliger voor het overschrijden van de limiet van 500 kolommen voor elke tabel in een Log Analytics-werkruimte vanwege het brede assortiment Azure-resources dat gegevens naar deze tabel kan verzenden. Om ervoor te zorgen dat er geen gegevens verloren gaan als gevolg van het aantal actieve kolommen dat deze limiet van 500 kolommen overschrijdt, wordt het maken van azureDiagnostics-kolommen op een andere manier verwerkt voor andere tabellen.

De tabel AzureDiagnostics in elke werkruimte bevat minimaal 200 kolommen. Voor werkruimten die vóór 19 januari 2021 zijn gemaakt, bevat de tabel ook kolommen die al vóór deze datum aanwezig waren. Wanneer gegevens naar een kolom worden verzonden die nog niet aanwezig zijn:

Als het totale aantal kolommen in AzureDiagnostics in de huidige werkruimte niet groter is dan 500, wordt er een nieuwe kolom gemaakt, net als bij een andere tabel.
Als het totale aantal kolommen zich op of boven de 500 bevindt, worden de overtollige gegevens toegevoegd aan een kolom met dynamische eigenschappenverzamelingen met de naam AdditionalFields als eigenschap.

Opmerking

Om dit gedrag te illustreren, stelt u zich voor dat de tabel AzureDiagnostics op basis van (implementatiedatum) in onze workpsace er als volgt uitziet:

Kolom 1	Kolom 2	Kolom 3	...	Kolom 498
abc	def	123	...	456
...	...	...	...	...

Een resource die gegevens naar AzureDiagnostics verzendt, voegt vervolgens een nieuwe dimensie toe aan de gegevens die ze NewInfo1 noemen. Omdat de tabel nog steeds minder dan 500 kolommen bevat, wordt voor het eerst een gebeurtenis met gegevens voor deze nieuwe dimensie toegevoegd aan de tabel:

Kolom 1	Kolom 2	Kolom 3	...	Kolom 498	NewInfo1_s
abc	def	123	...	456	xyz
...	...	...	...	...	...

U kunt deze nieuwe gegevens retourneren in een eenvoudige query:

AzureDiagnostics | where NewInfo1_s == "xyz"

Op een latere datum verzendt een andere resource gegevens naar AzureDiagnostics waarmee nieuwe dimensies met de naam NewInfo2 en NewInfo3 worden toegevoegd. Omdat de tabel 500 kolommen in deze werkruimte heeft bereikt, gaan de nieuwe gegevens naar de kolom AdditionalFields :

Kolom 1	Kolom 2	Kolom 3	...	Kolom 498	NewInfo1_s	AdditionalFields
abc	def	123	...	456	xyz	{"NewInfo2":"789","NewInfo3":"qwerty"}
...	...	...	...	...	...	...

U kunt nog steeds query's uitvoeren op deze gegevens, maar u moet deze extraheren uit de eigenschappentas met behulp van een van de dynamische eigenschapsoperators in KQL:

AzureDiagnostics
| where AdditionalFields.NewInfo2 == "789" and AdditionalFields.NewInfo3 == "qwerty"

Tips voor het gebruik van de kolom AdditionalFields

Hoewel algemene best practices voor query's, zoals altijd filteren op tijd als de eerste component in de query, moeten worden gevolgd, zijn er enkele andere aanbevelingen die u moet overwegen bij het werken met AdditionalFields:

U moet gegevens typen voordat u er verdere bewerkingen op uitvoert. Als er bijvoorbeeld een kolom bestaat met de naam Perf1Sec_i en een eigenschap in AdditionalFields met de naam Perf2Sec en u het totaal perf wilt berekenen door beide waarden toe te voegen, gebruikt u bijvoorbeeld: AzureDiagnostics | extend TotalPerfSec = Perf1Sec_i + toint(AdditionalFields.Perf2Sec) | ....
Gebruik where-componenten om het gegevensvolume zo klein mogelijk te verminderen voordat u complexe logica schrijft om de prestaties aanzienlijk te verbeteren. TimeGenerated is één kolom die altijd moet worden teruggebracht tot het kleinste mogelijke venster. In het geval van AzureDiagnostics moet er altijd een extra filter worden opgenomen boven aan de query rond de resourcetypen waarop een query wordt uitgevoerd met behulp van de kolom ResourceType .
Bij het uitvoeren van query's op zeer grote hoeveelheden gegevens is het soms efficiënter om een filter uit te voeren op AdditionalFields als geheel in plaats van deze te parseren. Voor grote hoeveelheden gegevens AzureDiagnostics | where AdditionalFields has "Perf2Sec" is bijvoorbeeld vaak efficiënter dan AzureDiagnostics | where isnotnull(toint(AdditionalFields.Perf2Sec)).