Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
Uma tarefa de pesquisa é uma consulta assíncrona que você executa em quaisquer dados no seu Log Analytics - tanto na retenção interativa quanto na de longo prazo - que torna os resultados da consulta disponíveis para consultas interativas em uma nova tabela de pesquisa no seu espaço de trabalho. O trabalho de pesquisa usa processamento paralelo e pode ser executado por horas em grandes conjuntos de dados. Este artigo descreve como criar um trabalho de pesquisa e como consultar os dados resultantes.
Este vídeo explica quando e como usar trabalhos de pesquisa:
Permissões necessárias
| Ação | Permissões necessárias |
|---|---|
| Executar um trabalho de pesquisa | As permissões Microsoft.OperationalInsights/workspaces/tables/write e Microsoft.OperationalInsights/workspaces/searchJobs/write para os workspaces do Log Analytics, por exemplo, conforme fornecidas pela função integrada de colaborador do Log Analytics. |
Observação
Atualmente, não há suporte para tarefas de pesquisa entre locatários, mesmo quando os locatários do Entra ID são gerenciados por meio do Azure Lighthouse.
Quando usar trabalhos de pesquisa
Use a busca de empregos para:
- Recupere registros de retenção de longo prazo e tabelas com os planos Básico e Auxiliar em uma nova tabela do Analytics, onde você pode aproveitar todos os recursos analíticos do Azure Monitor Log.
- Examine grandes volumes de dados, se o tempo limite de 10 minutos da consulta de log não for suficiente.
O que um trabalho de pesquisa faz?
Um trabalho de pesquisa envia os resultados para uma nova tabela no mesmo workspace que os dados de origem. A tabela de resultados fica disponível assim que o trabalho de pesquisa é iniciado, mas pode demorar para que os resultados comecem a aparecer.
A tabela de resultados do trabalho de pesquisa é uma tabela do Analytics disponível para consultas de log ou outros recursos do Azure Monitor que usam tabelas em um workspace. A tabela usa o valor de retenção definido para o workspace, mas você pode modificar essa retenção depois que a tabela for criada.
O esquema de tabela de resultados da pesquisa é baseado no esquema de tabela de origem e na consulta especificada. As seguintes colunas adicionais ajudam a acompanhar os registros de origem:
| Coluna | Valor |
|---|---|
| _OriginalType | Valor Type na tabela de origem. |
| _OriginalItemId | Valor _ItemID na tabela de origem. |
| _OriginalTimeGenerated | Valor TimeGenerated na tabela de origem. |
| TimeGenerated | Hora em que o trabalho de pesquisa foi executado. |
As consultas na tabela de resultados são exibidas na auditoria de consulta de log, mas não no trabalho de pesquisa inicial.
Executar um trabalho de pesquisa
Execute um trabalho de pesquisa para buscar registros em grandes conjuntos de dados em uma nova tabela de resultados de pesquisa no workspace.
Dica
Você incorre em encargos para executar um trabalho de pesquisa. Portanto, escreva e otimize a consulta no modo de consulta interativa antes de executar o trabalho de pesquisa.
Para executar um trabalho de pesquisa, no portal do Azure:
No menu do workspace do Log Analytics, selecione Logs.
Digite uma consulta de trabalho de pesquisa ou selecione apenas a tabela desejada.
Selecione o menu de reticências no lado direito da tela e selecione Pesquisar trabalho.
Especifique o intervalo de datas do trabalho de pesquisa usando o seletor de hora. O intervalo máximo é de um ano, mas pode ser qualquer período de um ano que o período de retenção de dados permitir.
Se a consulta Kusto também especificar um intervalo de tempo, a união dos intervalos de tempo será usada para o trabalho de pesquisa.
Insira um nome para a tabela de resultados do trabalho de pesquisa e selecione Executar um trabalho de pesquisa.
Os Logs do Azure Monitor executam o trabalho de pesquisa e criam uma tabela em seu workspace para os resultados do trabalho de pesquisa.
Quando a nova tabela estiver pronta, selecione Exibir '<searchtablename>_SRCH' para exibir a tabela no Log Analytics.
Os resultados da pesquisa de trabalho estão disponíveis à medida que começam a fluir para a tabela de resultados de pesquisa de trabalho recém-criada.
O Azure Monitor Logs mostra uma mensagem de trabalho de pesquisa foi concluído quando ele é finalizado. Quando você vê essa mensagem ou o progresso mostra 100%, a tabela de resultados agora está pronta com todos os registros que correspondem à consulta de pesquisa.
Obter detalhes e status do trabalho de pesquisa
No menu do workspace do Log Analytics, selecione Logs.
Em Tabelas>Resultados da pesquisa, passe o mouse sobre a tabela de resultados da pesquisa para exibir o progresso.
O ícone na tabela de resultados do trabalho de pesquisa exibe um ícone de indicador de atualização até que o trabalho de pesquisa seja concluído.
Excluir uma tabela de trabalhos de pesquisa
É recomendável excluir a tabela de trabalhos de pesquisa quando você terminar a consulta da tabela. Essa prática recomendada reduz a bagunça da área de trabalho e cobranças extras para armazenamento de dados.
Limitações
Os trabalhos de pesquisa estão sujeitos às seguintes limitações:
- Otimizado para consultar uma tabela de cada vez.
- O intervalo de datas da pesquisa é de até um ano.
- Dá suporte a pesquisas de execução prolongada com um tempo limite de até 24 horas.
- Os resultados são limitados a 1 milhão de registros no conjunto de registros.
- A execução simultânea é limitada a cinco trabalhos de pesquisa por workspace.
- Limite de 100 tabelas de resultados de pesquisa por workspace.
- Limite de 100 execuções de trabalhos de pesquisa por dia por workspace.
Quando você atinge o limite de registros, o Azure aborta o trabalho com um status de sucesso parcial, e a tabela contém apenas os registros ingeridos até aquele ponto.
Limitações da consulta KQL
Os trabalhos de pesquisa destinam-se a examinar grandes volumes de dados em uma tabela específica. Portanto, consultas de trabalho de pesquisa sempre devem começar com um nome de tabela. Para habilitar a execução assíncrona usando distribuição e segmentação, a consulta dá suporte a um subconjunto de KQL, incluindo os operadores:
[where](/azure/data-explorer/kusto/query/whereoperator)[extend](/azure/data-explorer/kusto/query/extendoperator)[project](/azure/data-explorer/kusto/query/projectoperator)[project-away](/azure/data-explorer/kusto/query/projectawayoperator)[project-keep](/azure/data-explorer/kusto/query/project-keep-operator)[project-rename](/azure/data-explorer/kusto/query/projectrenameoperator)[project-reorder](/azure/data-explorer/kusto/query/projectreorderoperator)[parse](/azure/data-explorer/kusto/query/parse-operator)[parse-where](/azure/data-explorer/kusto/query/parse-where-operator)
Você pode usar todas as funções e operadores binários nesses operadores.
Modelo de preços
A taxa de busca de emprego é baseada em:
Pesquisar execução de trabalho:
Plano de análise - A quantidade de dados que o trabalho de pesquisa verifica e que estão em retenção de longo prazo. Não há cobrança pela digitalização de dados que estão em retenção interativa nas tabelas do Analytics.
Planos Básico ou Auxiliar- Todos os dados que o trabalho de pesquisa verifica tanto na retenção interativa quanto na de longo prazo.
Os dados verificados são definidos como o volume de dados na tabela em que você executa o trabalho de pesquisa, dentro do intervalo de tempo especificado. Para obter mais informações sobre retenção interativa e de longo prazo, veja Gerenciar retenção de dados em um espaço de trabalho do Log Analytics.
Resultados da tarefa de pesquisa - A quantidade de dados que a tarefa de pesquisa encontra e é ingerida na tabela de resultados, com base na taxa de ingestão de dados para tabelas do Analytics.
Por exemplo, se uma pesquisa em uma tabela básica durar 30 dias e a tabela contiver 500 GB de dados por dia, você será cobrado por 15.000 GB de dados digitalizados. Se a tarefa de pesquisa retornar 1.000 registros, você será cobrado pela ingestão desses 1.000 registros na tabela de resultados.
Para saber mais, confira Preço do Azure Monitor.