Tworzenie lub edytowanie reguły alertu przeszukiwania dzienników

W tym artykule pokazano, jak utworzyć nową regułę alertu lub edytować istniejącą regułę alertu na potrzeby wyszukiwania dzienników w usłudze Azure Monitor. Aby dowiedzieć się więcej o alertach, zobacz omówienie alertów.

Regułę alertu można utworzyć, łącząc zasoby, które mają być monitorowane, dane monitorowania z zasobu oraz warunki, które mają zostać wyzwolone. Następnie można zdefiniować grupy akcji i reguły przetwarzania alertów, aby określić, co się stanie po wyzwoleniu alertu.

Alerty wyzwalane przez te reguły alertów zawierają ładunek korzystający ze wspólnego schematu alertów.

Uzyskiwanie dostępu do kreatora reguł alertów w witrynie Azure Portal

Istnieje wiele sposobów tworzenia lub edytowania reguły alertu.

Tworzenie lub edytowanie reguły alertu na stronie głównej portalu

1. W witrynie Azure Portal wybierz pozycję Monitoruj.
2. W okienku po lewej stronie wybierz pozycję Alerty.
3. Wybierz pozycję + Utwórz>regułę alertu.

Tworzenie lub edytowanie reguły alertu na podstawie określonego zasobu

1. W witrynie Azure Portal przejdź do zasobu.
2. W okienku po lewej stronie wybierz pozycję Alerty.
3. Wybierz pozycję + Utwórz>regułę alertu.

Edytowanie istniejącej reguły alertu

1. W witrynie Azure Portal na stronie głównej lub w określonym zasobie wybierz pozycję Alerty w okienku po lewej stronie.

2. Wybierz pozycję Reguły alertów.

3. Wybierz regułę alertu, którą chcesz edytować, a następnie wybierz pozycję Edytuj.

   

4. Wybierz dowolną kartę reguły alertu, aby edytować ustawienia.

Konfigurowanie zakresu reguły alertu

1. W okienku Wybierz zasób ustaw zakres reguły alertu. Możesz filtrować według subskrypcji, typu zasobu lub lokalizacji zasobu.

   

2. Wybierz Zastosuj.

Konfigurowanie warunków reguły alertu

1. Na karcie Warunek po wybraniu pola Nazwa sygnału wybierz pozycję Wyszukiwanie w dzienniku niestandardowym. Możesz też wybrać pozycję Zobacz wszystkie sygnały , jeśli chcesz wybrać inny sygnał dla warunku.

2. (Opcjonalnie) Jeśli wybrano pozycję Zobacz wszystkie sygnały w poprzednim kroku, użyj okienka Wybierz sygnał , aby wyszukać nazwę sygnału lub przefiltrować listę sygnałów. Filtruj według:

   • Typ sygnału: wybierz pozycję Wyszukiwanie w dzienniku.
   • Źródło sygnału: usługa, która wysyła sygnały niestandardowego wyszukiwania dzienników i dziennika (zapisane zapytanie). Wybierz nazwę sygnału, a następnie wybierz pozycję Zastosuj.

3. W okienku Dzienniki napisz zapytanie zwracające zdarzenia dziennika, dla których chcesz utworzyć alert. Aby użyć jednego ze wstępnie zdefiniowanych zapytań reguł alertów, rozwiń okienko Schemat i filtr obok okienka Dzienniki . Następnie wybierz kartę Zapytania i wybierz jedno z zapytań.

   Należy pamiętać o tych ograniczeniach dotyczących zapytań reguł alertów przeszukiwania dzienników:

   • Kwerendy reguł alertów przeszukiwania dzienników nie obsługują bag_unpack()parametrów , pivot()i narrow().
   • Zapytania reguły alertu przeszukiwania dzienników obsługują funkcję ago() tylko z literałami przedziału czasu.
   • AggregatedValue jest słowem zastrzeżonym. Nie można jej używać w zapytaniu w regułach alertów przeszukiwania dzienników.
   • Łączny rozmiar wszystkich danych we właściwościach reguł alertów przeszukiwania dzienników nie może przekraczać 64 KB.

   

4. (Opcjonalnie) Jeśli wysyłasz zapytania dotyczące usługi Azure Data Explorer lub klastra usługi Azure Resource Graph, obszar roboczy usługi Log Analytics nie może automatycznie identyfikować kolumny przy użyciu sygnatury czasowej zdarzenia. Zalecamy dodanie filtru zakresu czasu do zapytania. Na przykład:

       adx('https://help.kusto.windows.net/Samples').table    
       | where MyTS >= ago(5m) and MyTS <= now()
   

       arg("").Resources
       | where type =~ 'Microsoft.Compute/virtualMachines'
       | project _ResourceId=tolower(id), tags
   

   

   Przykładowe zapytania alertów przeszukiwania dzienników są dostępne dla usług Azure Data Explorer i Resource Graph.

   Zapytania między usługami nie są obsługiwane w chmurach dla instytucji rządowych. Aby uzyskać więcej informacji na temat ograniczeń, zobacz Ograniczenia zapytań między usługami i Łączenie tabel usługi Azure Resource Graph z obszarem roboczym usługi Log Analytics.

5. Wybierz pozycję Uruchom , aby uruchomić alert.

6. W sekcji Wersja zapoznawcza przedstawiono wyniki zapytania. Po zakończeniu edytowania zapytania wybierz pozycję Kontynuuj edytowanie alertu.

7. Zostanie otwarta karta Warunek i zostanie wypełniona zapytaniem dziennika. Domyślnie reguła zlicza liczbę wyników w ciągu ostatnich pięciu minut. Jeśli system wykryje podsumowane wyniki zapytania, reguła zostanie automatycznie zaktualizowana o te informacje.

8. W sekcji Miara wybierz wartości dla tych pól:

   Pole	opis
   Miara	Alerty przeszukiwania dzienników mogą mierzyć dwie elementy, których można użyć w różnych scenariuszach monitorowania: Wiersze tabeli: możesz użyć liczby zwracanych wierszy do pracy ze zdarzeniami, takimi jak dzienniki zdarzeń systemu Windows, dziennik syslog i wyjątki aplikacji. Obliczenie kolumny liczbowej: możesz użyć obliczeń opartych na dowolnej kolumnie liczbowej, aby uwzględnić dowolną liczbę zasobów. Przykładem jest procent procesora CPU.
   Typ agregacji	Obliczenia wykonywane na wielu rekordach w celu agregowania ich do jednej wartości liczbowej przy użyciu stopnia szczegółowości agregacji. Przykłady to Suma, Średnia, Minimum i Maksimum.
   Stopień szczegółowości agregacji	Interwał agregowania wielu rekordów na jedną wartość liczbową.

   

9. (Opcjonalnie) W sekcji Podział według wymiarów można użyć wymiarów , aby ułatwić zapewnienie kontekstu wyzwalanego alertu.

   Wymiary to kolumny z wyników zapytania, które zawierają dodatkowe dane. Gdy używasz wymiarów, reguła alertu grupuje wyniki zapytania według wartości wymiarów i ocenia wyniki każdej grupy oddzielnie. Jeśli warunek zostanie spełniony, reguła wyzwoli alert dla tej grupy. Ładunek alertu zawiera kombinację, która wyzwoliła alert.

   Można zastosować maksymalnie sześć wymiarów na regułę alertu. Wymiary mogą być tylko kolumnami ciągowymi lub liczbowymi. Jeśli chcesz użyć kolumny, która nie jest liczbą lub typem ciągu jako wymiaru, musisz przekonwertować ją na ciąg lub wartość liczbową w zapytaniu. Jeśli wybierzesz więcej niż jedną wartość wymiaru, każda seria czasowa, która wynika z kombinacji wyzwala własny alert i jest naliczana oddzielnie.

   Na przykład:

   • Można użyć wymiarów do monitorowania użycia procesora CPU w wielu wystąpieniach, które uruchamiają witrynę internetową lub aplikację. Każde wystąpienie jest monitorowane indywidualnie, a powiadomienia są wysyłane dla każdego wystąpienia, w którym użycie procesora CPU przekracza skonfigurowaną wartość.
   • Możesz zdecydować, że nie chcesz dzielić według wymiarów, jeśli chcesz, aby warunek został zastosowany do wielu zasobów w zakresie. Na przykład nie należy używać wymiarów, jeśli chcesz uruchomić alert, jeśli co najmniej pięć maszyn w zakresie grupy zasobów ma użycie procesora CPU powyżej skonfigurowanej wartości.

   Ogólnie rzecz biorąc, jeśli zakres reguły alertu jest obszarem roboczym, alerty są wyzwalane w obszarze roboczym. Jeśli chcesz mieć oddzielny alert dla każdego zasobu platformy Azure, którego dotyczy problem, możesz:

   • Użyj kolumny Identyfikator zasobu platformy Azure usługi Azure Resource Manager jako wymiaru. Jeśli używasz tej opcji, alert zostanie wyzwolony w obszarze roboczym z kolumną Identyfikator zasobu platformy Azure jako wymiar.

   • Określ alert jako wymiar we właściwości Identyfikator zasobu platformy Azure. Ta opcja powoduje, że zasób zwracany przez zapytanie element docelowy alertu. Alerty są następnie wyzwalane na zasobie zwracanym przez zapytanie, takim jak maszyna wirtualna lub konto magazynu, w przeciwieństwie do obszaru roboczego.

     Jeśli używasz tej opcji, jeśli obszar roboczy pobiera dane z zasobów w więcej niż jednej subskrypcji, alerty mogą być wyzwalane dla zasobów z subskrypcji innej niż subskrypcja reguły alertu.

   Wybierz wartości dla tych pól:

   Pole	opis
   Nazwa wymiaru	Wymiary mogą być kolumnami liczbowymi lub ciągowymi. Wymiary służą do monitorowania określonych szeregów czasowych i dostarczania kontekstu do wyzwolonego alertu.
   Operator	Operator używany w nazwie i wartości wymiaru.
   Wartości wymiarów	Wartości wymiarów są oparte na danych z ostatnich 48 godzin. Wybierz pozycję Dodaj wartość niestandardową, aby dodać niestandardowe wartości wymiarów.
   Uwzględnij wszystkie przyszłe wartości	Wybierz to pole, aby uwzględnić wszystkie przyszłe wartości dodane do wybranego wymiaru.

   

10. W sekcji Logika alertu wybierz wartości dla następujących pól:

    Pole	Opis
    Operator	Wyniki zapytania są przekształcane w liczbę. W tym polu wybierz operator, który ma być używany do porównywania liczby z progiem.
    Wartość progowa	Wartość liczbowa progu.
    Częstotliwość oceny	Jak często jest uruchamiane zapytanie. Można ustawić go w dowolnym miejscu od jednej minuty do jednego dnia (24 godziny).

    

    Uwaga

    Częstotliwość nie jest określoną godziną, o którą alert jest uruchamiany codziennie. Tak często jest uruchamiana reguła alertu.

    Istnieją pewne ograniczenia dotyczące używania częstotliwości reguły alertu w ciągu jednej minuty. Po ustawieniu częstotliwości reguły alertu na minutę wykonywana jest wewnętrzna manipulacja w celu zoptymalizowania zapytania. Ta manipulacja może spowodować niepowodzenie zapytania, jeśli zawiera nieobsługiwane operacje. Najczęstsze przyczyny, dla których zapytanie nie jest obsługiwane, to:

    • Zapytanie zawiera operację search, unionlub take (limit).
    • Zapytanie zawiera ingestion_time() funkcję .
    • Zapytanie używa adx wzorca.
    • Zapytanie wywołuje funkcję, która wywołuje inne tabele.

    Przykładowe zapytania alertów przeszukiwania dzienników są dostępne dla usług Azure Data Explorer i Resource Graph.

11. (Opcjonalnie) W sekcji Opcje zaawansowane można określić liczbę niepowodzeń i okres oceny alertu wymagany do wyzwolenia alertu. Jeśli na przykład ustawisz stopień szczegółowości agregacji na 5 minut, możesz określić, że chcesz wyzwolić alert tylko wtedy, gdy w ciągu ostatniej godziny wystąpiły trzy błędy (15 minut). Zasady biznesowe aplikacji określają to ustawienie.

    Wybierz wartości dla tych pól w obszarze Liczba naruszeń, aby wyzwolić alert:

    Pole	opis
    Liczba naruszeń	Liczba naruszeń wyzwalających alert.
    Okres oceny	Okres, w którym występuje liczba naruszeń.
    Zastąpij zakres czasu zapytania	Jeśli chcesz, aby okres oceny alertu różnił się od zakresu czasu zapytania, wprowadź tutaj zakres czasu. Zakres czasu alertu jest ograniczony do maksymalnie dwóch dni. Nawet jeśli zapytanie zawiera ago polecenie z zakresem czasu dłuższym niż dwa dni, zostanie zastosowany maksymalny zakres czasu dwudniowy. Na przykład, nawet jeśli tekst zapytania zawiera ago(7d), zapytanie skanuje tylko do dwóch dni danych. Jeśli zapytanie wymaga większej ilości danych niż ocena alertu, możesz ręcznie zmienić zakres czasu zapytania. Jeśli zapytanie zawiera ago polecenie, zmienia się automatycznie na dwa dni (48 godzin).

    

    Uwaga

    Jeśli ty lub administrator przypisał alerty usługi Azure Log Search w usłudze Azure Policy w obszarach roboczych usługi Log Analytics, musisz wybrać pozycję Sprawdź połączony magazyn obszaru roboczego. Jeśli tego nie zrobisz, tworzenie reguły zakończy się niepowodzeniem, ponieważ nie spełnia wymagań zasad.

12. Wykres Podgląd przedstawia wyniki oceny zapytań w czasie. Możesz zmienić okres wykresu lub wybrać inną serię czasową, która wynika z unikatowego podziału alertu według wymiarów.

    

13. Wybierz pozycję Gotowe. Od tego momentu możesz wybrać przycisk Przejrzyj i utwórz w dowolnym momencie.

Konfigurowanie akcji reguły alertu

Na karcie Akcje wybierz lub utwórz wymagane grupy akcji.

Konfigurowanie szczegółów reguły alertu

1. Na karcie Szczegóły w obszarze Szczegóły projektu wybierz wartości Subskrypcja i Grupa zasobów.

2. W obszarze Szczegóły reguły alertu:

   1. Wybierz wartość Ważność.

   2. Wprowadź wartości w polach Nazwa reguły alertu i Opis reguły alertu.

      Uwaga

      Reguła używająca tożsamości nie może mieć średnika (;) znaku w wartości nazwa reguły alertu.

   3. Wybierz wartość Region.

3. W sekcji Tożsamość wybierz tożsamość używaną przez regułę alertu przeszukiwania dzienników do uwierzytelniania podczas wysyłania zapytania dziennika.

   Podczas wybierania tożsamości należy pamiętać o następujących kwestiach:

   • Tożsamość zarządzana jest wymagana, jeśli wysyłasz zapytanie do usługi Azure Data Explorer lub Resource Graph.
   • Użyj tożsamości zarządzanej, jeśli chcesz mieć możliwość wyświetlania lub edytowania uprawnień skojarzonych z regułą alertu.
   • Jeśli nie używasz tożsamości zarządzanej, uprawnienia reguły alertu są oparte na uprawnieniach ostatniego użytkownika do edytowania reguły, w momencie ostatniej edycji reguły.
   • Użyj tożsamości zarządzanej, aby uniknąć przypadków, w których reguła nie działa zgodnie z oczekiwaniami, ponieważ użytkownik, który ostatnio edytował regułę, nie ma uprawnień do wszystkich zasobów dodanych do zakresu reguły.

   Tożsamość skojarzona z regułą musi mieć następujące role:

   • Jeśli zapytanie uzyskuje dostęp do obszaru roboczego usługi Log Analytics, tożsamość musi mieć przypisaną rolę czytelnika dla wszystkich obszarów roboczych, do których uzyskuje dostęp zapytanie. Jeśli tworzysz alerty wyszukiwania dzienników skoncentrowane na zasobach, reguła alertu może uzyskiwać dostęp do wielu obszarów roboczych, a tożsamość musi mieć rolę czytelnika dla wszystkich z nich.
   • Jeśli wysyłasz zapytanie do klastra usługi Azure Data Explorer lub usługi Resource Graph, musisz dodać rolę czytelnika dla wszystkich źródeł danych, do których uzyskuje dostęp zapytanie. Jeśli na przykład zapytanie jest skoncentrowane na zasobie, potrzebuje roli czytelnika w tym zasobie.
   • Jeśli zapytanie uzyskuje dostęp do zdalnego klastra usługi Azure Data Explorer, tożsamość musi być przypisana:
     • Rola czytelnika dla wszystkich źródeł danych, do których uzyskuje dostęp zapytanie. Jeśli na przykład zapytanie wywołuje zdalny klaster usługi Azure Data Explorer przy użyciu adx() funkcji, potrzebuje roli czytelnika w tym klastrze usługi Azure Data Explorer.
     • Rola przeglądarki bazy danych dla wszystkich baz danych, do których uzyskuje dostęp zapytanie.

   Aby uzyskać szczegółowe informacje na temat tożsamości zarządzanych, zobacz Tożsamości zarządzane dla zasobów platformy Azure.

   Wybierz jedną z następujących opcji dla tożsamości używanej przez regułę alertu:

   Opcja tożsamości	Opis
   Brak	Uprawnienia reguły alertu są oparte na uprawnieniach ostatniego użytkownika, który edytował regułę, w momencie edytowania reguły.
   Włączanie tożsamości zarządzanej przypisanej przez system	Platforma Azure tworzy nową dedykowaną tożsamość dla tej reguły alertu. Ta tożsamość nie ma uprawnień i jest automatycznie usuwana po usunięciu reguły. Po utworzeniu reguły należy przypisać uprawnienia do tej tożsamości, aby uzyskać dostęp do niezbędnego obszaru roboczego i źródeł danych dla zapytania. Aby uzyskać więcej informacji na temat przypisywania uprawnień, zobacz Przypisywanie ról platformy Azure przy użyciu witryny Azure Portal. Reguły alertów przeszukiwania dzienników korzystające z połączonego magazynu nie są obsługiwane.
   Włączanie tożsamości zarządzanej przypisanej przez użytkownika	Przed utworzeniem reguły alertu należy utworzyć tożsamość i przypisać jej odpowiednie uprawnienia dla zapytania dziennika. Jest to zwykła tożsamość platformy Azure. Możesz użyć jednej tożsamości w wielu regułach alertów. Tożsamość nie jest usuwana po usunięciu reguły. Po wybraniu tego typu tożsamości zostanie otwarte okienko w celu wybrania skojarzonej tożsamości dla reguły.

   

4. (Opcjonalnie) W sekcji Opcje zaawansowane można ustawić kilka opcji:

   Pole	opis
   Włącz po utworzeniu	Wybierz tę opcję, aby reguła alertu zaczęła działać natychmiast po zakończeniu jego tworzenia.
   Automatyczne rozwiązywanie alertów	Wybierz tę opcję, aby ustawić alert jako stanowy. Gdy alert jest stanowy, alert zostanie rozwiązany, gdy warunek nie zostanie już spełniony dla określonego zakresu czasu. Zakres czasu różni się w zależności od częstotliwości alertu: 1 minuta: Warunek alertu nie jest spełniony przez 10 minut. Od 5 do 15 minut: Warunek alertu nie jest spełniony przez trzy okresy częstotliwości. Od 15 minut do 11 godzin: warunek alertu nie jest spełniony przez dwa okresy częstotliwości. Od 11 do 12 godzin: warunek alertu nie jest spełniony przez jeden okres częstotliwości. Należy pamiętać, że alerty wyszukiwania dzienników stanowych mają te ograniczenia.
   Akcje wyciszenia	Wybierz tę opcję, aby ustawić okres oczekiwania przed ponownym wyzwoleniem akcji alertu. W wyświetlonym polu Akcje wyciszenia wybierz czas oczekiwania po wyzwoleniu alertu przed ponownym wyzwoleniem akcji.
   Sprawdzanie połączonego magazynu obszaru roboczego	Wybierz tę opcję, jeśli skonfigurowano połączony magazyn obszaru roboczego dla alertów. Jeśli nie skonfigurowano magazynu połączonego, reguła nie zostanie utworzona.

5. (Opcjonalnie) W sekcji Właściwości niestandardowe, jeśli ta reguła alertu zawiera grupy akcji, możesz dodać własne właściwości do uwzględnienia w ładunku powiadomienia alertu. Te właściwości można używać w akcjach wywoływanych przez grupę akcji, takich jak element webhook, funkcja platformy Azure lub akcja aplikacji logiki.

   Właściwości niestandardowe są określane jako pary klucz/wartość przy użyciu tekstu statycznego, wartości dynamicznej wyodrębnionej z ładunku alertu lub kombinacji obu tych elementów.

   Format wyodrębniania wartości dynamicznej z ładunku alertu to: ${<path to schema field>}. Na przykład: ${data.essentials.monitorCondition}.

   Użyj formatu wspólnego schematu alertu , aby określić pole w ładunku, niezależnie od tego, czy grupy akcji skonfigurowane dla reguły alertu używają wspólnego schematu.

   Uwaga

   • Typowy schemat alertu zastępuje konfiguracje niestandardowe. Nie można używać zarówno właściwości niestandardowych, jak i wspólnego schematu.
   • Właściwości niestandardowe są dodawane do ładunku alertu, ale nie są wyświetlane w szablonie wiadomości e-mail ani w szczegółach alertu w witrynie Azure Portal.
   • Alerty usługi Azure Service Health nie obsługują właściwości niestandardowych.

   

   Poniższe przykłady używają wartości we właściwościach niestandardowych do korzystania z danych z ładunku korzystającego ze wspólnego schematu alertu.

   W tym przykładzie zostanie utworzony tag Dodatkowe szczegóły z danymi dotyczącymi czasu rozpoczęcia okna i godziny zakończenia okna:

   • Nazwa: Additional Details
   • Wartość: Evaluation windowStartTime: \${data.alertContext.condition.windowStartTime}. windowEndTime: \${data.alertContext.condition.windowEndTime}
   • Wynik: AdditionalDetails:Evaluation windowStartTime: 2023-04-04T14:39:24.492Z. windowEndTime: 2023-04-04T14:44:24.492Z

   W tym przykładzie dodano dane dotyczące przyczyny rozwiązania lub wyzwolenia alertu:

   • Nazwa: Alert \${data.essentials.monitorCondition} reason
   • Wartość: \${data.alertContext.condition.allOf[0].metricName} \${data.alertContext.condition.allOf[0].operator} \${data.alertContext.condition.allOf[0].threshold} \${data.essentials.monitorCondition}. The value is \${data.alertContext.condition.allOf[0].metricValue}
   • Potencjalne wyniki:
     • Alert Resolved reason: Percentage CPU GreaterThan5 Resolved. The value is 3.585
     • Alert Fired reason": "Percentage CPU GreaterThan5 Fired. The value is 10.585

Konfigurowanie tagów reguł alertów

Na karcie Tagi ustaw wszystkie wymagane tagi w zasobie reguły alertu.

Przeglądanie i tworzenie reguły alertu

1. Na karcie Przeglądanie i tworzenie reguła jest weryfikowana. Jeśli występuje problem, wróć i rozwiąż go.

2. Po zakończeniu weryfikacji i zapoznaniu się z ustawieniami wybierz przycisk Utwórz.

   

Powiązana zawartość

• Pobieranie przykładów zapytań alertów przeszukiwania dzienników
• Wyświetlanie wystąpień alertów i zarządzanie nimi