Руководство: Создание оповещения поиска в журналах для ресурса Azure

2025-04-18

Оповещения Azure Monitor заблаговременно уведомляют вас при обнаружении важных условий в данных мониторинга. Правила генерации оповещений поиска журнала создают оповещение, когда запрос журнала возвращает определенный результат. Например, вы можете получить оповещение при создании определенного события на виртуальной машине или отправить предупреждение при чрезмерном числе анонимных запросов к учетной записи хранения.

В этом руководстве описано следующее:

Получить доступ к готовым запросам к журналу, предназначенным для поддержки правил генерации оповещений для различных типов ресурсов.
Создать правило оповещения при поиске по журналам
создать группу действий для определения сведений об уведомлениях.

Предварительные условия

Для работы с этим руководством вам нужно следующее:

Ресурс Azure для отслеживания. Вы можете использовать любой ресурс в подписке Azure, который поддерживает параметры диагностики. Чтобы определить, поддерживает ли ресурс параметры диагностики, перейдите в меню этого ресурса на портале Azure и убедитесь, что в разделе Мониторинг присутствует элемент Параметры диагностики.

Если вы используете какой-либо ресурс Azure, кроме виртуальной машины:

Параметр диагностики для отправки журналов ресурсов из ресурса Azure в рабочую область Log Analytics. См. статью Учебник. Создание рабочей области Log Analytics в Azure Monitor.

Если вы используете виртуальную машину Azure:

Правило сбора данных для отправки гостевых журналов и метрик в рабочую область Log Analytics. См. руководство Учебник: Сбор гостевых журналов и метрик с виртуальной машины Azure.

Выбор запроса к журналу и проверка результатов

Данные извлекаются из рабочей области Log Analytics с помощью журнального запроса, написанного на языке запросов Kusto (KQL). Аналитика и решения в Azure Monitor предоставляют запросы журнала для извлечения данных для определенной службы, но вы можете работать непосредственно с запросами журнала и их результатами в портале Azure с помощью Log Analytics.

Выберите Журналы в меню ресурса. Log Analytics откроется с окном Запросы, которое включает готовые запросы для вашего типа ресурса. Выберите оповещения, чтобы просмотреть запросы, предназначенные для правил оповещений.

Примечание.

Если окно Запросы не открылось, щелкните Запросы в правом верхнем углу.

Выберите запрос и щелкните Выполнить, чтобы загрузить его в редакторе запросов и получить результаты. Возможно, потребуется изменить запрос и выполнить его снова. Например, запрос "Показать анонимные запросы " для учетных записей хранения показан на следующем снимке экрана. Возможно, потребуется изменить AuthenticationType или задать фильтр по другому столбцу.

Создание правила генерации оповещений

После проверки запроса можно создать правило генерации оповещений. Выберите Создать правило генерации оповещений, чтобы создать новое правило генерации оповещений на основе текущего запроса к журналу. Область уже задана для текущего ресурса. Это значение не нужно изменять.

Настроить условие

На вкладке "Условие" запрос журнала уже заполнен. Раздел "Измерение" определяет, как измеряются записи из запроса журнала. Если запрос не выполняет сводку, единственным вариантом является подсчет количества строк таблицы. Если запрос содержит один или несколько сводных столбцов, можно использовать количество строк таблицы или вычисление на основе любого из суммированных столбцов. Степень детализации агрегирования определяет интервал времени, в течение которого выполняется статистическое вычисление собранных значений. Например, если для агрегирования задано значение 5 минут, правило генерации оповещений оценивает данные, агрегированные за последние 5 минут. Если гранулярность агрегирования установлена на 15 минут, правило оповещения оценивает данные, агрегированные за последние 15 минут. Важно выбрать правильную степень детализации агрегирования для правила генерации оповещений, так как это может повлиять на точность оповещения.

Примечание.

Объединенный размер всех данных в свойствах правила оповещения журнала не может превышать 64 КБ. Это может быть вызвано слишком большим количеством измерений, слишком большим запросом, слишком большим количеством групп действий или длинным описанием. При создании большого правила генерации оповещений не забудьте оптимизировать эти области.

Настройка измерений

Разделение по измерениям позволяет создавать отдельные оповещения для разных ресурсов. Этот параметр полезен при создании правила генерации оповещений, которое применяется к нескольким ресурсам. Если область задана для одного ресурса, обычно этот параметр не используется.

Если вам нужно включить определенные измерения в уведомление по электронной почте, вы можете указать измерение (например, "Компьютер"), и в уведомлении будет указано имя компьютера, вызвавшего оповещение. Механизм оповещения использует запрос оповещения для определения доступных измерений. Если в раскрывающемся списке для "Имя измерения" не отображается измерение, которое вы хотите, это связано с тем, что запрос оповещения не предоставляет этот столбец в результатах. Вы можете легко добавить нужные измерения, добавив строку "Проект" в запрос и указав столбцы, которые вы хотите использовать. Можно также использовать строку "Сводка" для добавления дополнительных столбцов в результаты запроса.

Настройка логики оповещений

В логике оповещений настройте параметры Оператор и Пороговое значение, чтобы сравнить его со значением, возвращаемым измерением. Оповещение генерируется, если значение является истинным. Выберите значение Частота оценки, которое определяет частоту выполнения и оценки запроса к журналу. Затраты на правило генерации оповещений увеличиваются при меньшей частоте. При выборе частоты предполагаемые ежемесячные затраты отображаются рядом с результатами запроса за период времени.

Например, если измерение — это строки таблицы, логика оповещения может заключаться в больше 0, указывающая на то, что возвращается по крайней мере одна запись. Если измерение является значением столбца, возможно, логике потребуется быть больше или меньше определенного порогового значения. В следующем примере запрос журнала ищет анонимные запросы к учетной записи хранения. Если выполняется анонимный запрос, мы должны активировать оповещение. В этом случае одна строка, которая возвращается, вызовет срабатывание оповещения, поэтому логика оповещения должна быть больше 0.

Настройка действий

Группы действий определяют набор действий, выполняемых при срабатывании оповещения, например при отправке сообщения электронной почты или SMS.

Чтобы настроить действия, выберите вкладку "Действия ".

Щелкните " Выбрать группы действий", чтобы добавить его в правило генерации оповещений.

Если у вас еще нет группы действий в подписке для выбора, щелкните Создать группу действий.

Выберите подписку и группу ресурсов для группы действий и присвойте ей имя, которое будет отображаться на портале, и отображаемое имя, которое будет отображаться в уведомлениях электронной почты и SMS.

Перейдите на вкладку Уведомления и добавьте один или несколько методов для информирования соответствующих пользователей при срабатывании оповещения.

Настройка сведений

Перейдите на вкладку "Сведения" и настройте различные параметры правила генерации оповещений.

Имя правила генерации оповещений, которое должно быть описательным (оно отображается при срабатывании оповещения).
При необходимости укажите описание правила генерации оповещений, которое включается в сведения об оповещении.
Подписка и группа ресурсов, в которой будет храниться правило генерации оповещений. Оно необязательно должно находиться в той же группе ресурсов, что и отслеживаемый ресурс.
Серьезность оповещения. Серьезность позволяет группировать оповещения с одинаковой относительной важностью. Уровень серьезности Ошибка подходит для виртуальной машины, которая не отвечает на запросы.
В разделе "Дополнительные параметры" установите флажок для включения при создании.
В разделе "Дополнительные параметры" установите флажок для автоматического разрешения оповещений. Это сделает оповещение сопровождаемым состоянием, то есть оповещение считается разрешённым, когда условие больше не выполняется.

Нажмите Создать правило генерации оповещений, чтобы создать правило.

Просмотр оповещения

Когда оповещение запускается, он отправляет все уведомления в своих группах действий. Кроме того, оповещение можно просмотреть на портале Azure.

Выберите Оповещения в меню ресурса. Если для ресурсов есть открытые оповещения, они отображаются в представлении.

Нажмите на степень серьезности, чтобы отобразить оповещения с этой степенью серьезности. Выберите ответ пользователя и отмените флажок "Закрытый", чтобы просмотреть только открытые оповещения.

Щелкните имя оповещения, чтобы просмотреть сведения о нем.

Следующие шаги

Теперь, когда вы узнали, как создать оповещение о поиске по журналам для ресурса Azure, ознакомьтесь с рабочими книгами для создания интерактивных визуализаций данных мониторинга.

Рабочие книги мониторинга Azure