Köra sökjobb i Azure Monitor
Ett sökjobb är en asynkron fråga som du kör på alla data i Log Analytics – i både interaktiv och långsiktig kvarhållning – som gör frågeresultaten tillgängliga för interaktiva frågor i en ny söktabell på din arbetsyta. Sökjobbet använder parallell bearbetning och kan köras i flera timmar över stora datamängder. Den här artikeln beskriver hur du skapar ett sökjobb och hur du frågar efter dess resulterande data.
Den här videon förklarar när och hur du använder sökjobb:
Behörigheter som krävs
| Åtgärd | Behörigheter som krävs |
|---|---|
| Köra ett sökjobb | Microsoft.OperationalInsights/workspaces/tables/write och Microsoft.OperationalInsights/workspaces/searchJobs/write behörigheter till Log Analytics-arbetsytan, till exempel enligt den inbyggda rollen Log Analytics-deltagare. |
Kommentar
Sökjobb mellan klientorganisationer stöds inte för närvarande, även när Entra ID-klienter hanteras via Azure Lighthouse.
När Sök jobb ska användas
Använd sökjobb för att:
- Hämta poster från långsiktig kvarhållning och tabeller med basic- och tilläggsplanerna till en ny Analystabell där du kan dra nytta av Azure Monitor-loggens fullständiga analysfunktioner.
- Sök igenom stora mängder data om tidsgränsen för loggfrågan på 10 minuter inte räcker.
Vad gör ett sökjobb?
Ett sökjobb skickar resultaten till en ny tabell på samma arbetsyta som källinformationen. Resultattabellen är tillgänglig så snart sökjobbet börjar, men det kan ta tid innan resultaten börjar visas.
Sökresultattabellen är en Analystabell som är tillgänglig för loggfrågor och andra Azure Monitor-funktioner som använder tabeller på en arbetsyta. Tabellen använder kvarhållningsvärdet som angetts för arbetsytan, men du kan ändra det här värdet när tabellen har skapats.
Schemat för sökresultattabellen baseras på källtabellschemat och den angivna frågan. Följande andra kolumner hjälper dig att spåra källposterna:
| Column | Värde |
|---|---|
| _OriginalType | Skriv värde från källtabellen. |
| _OriginalItemId | _ItemID värde från källtabellen. |
| _OriginalTimeGenerated | TimeGenerated-värde från källtabellen. |
| TimeGenerated | Tidpunkt då sökjobbet kördes. |
Frågor i resultattabellen visas i loggfrågegranskning men inte det första sökjobbet.
Köra ett sökjobb
Kör ett sökjobb för att hämta poster från stora datamängder till en ny sökresultattabell på din arbetsyta.
Dricks
Du debiteras för att köra ett sökjobb. Skriv och optimera därför frågan i interaktivt frågeläge innan du kör sökjobbet.
Kör ett sökjobb i Azure Portal:
På log analytics-arbetsytans meny väljer du Loggar.
Välj ellipsmenyn till höger på skärmen och växla Sök jobbläge på.
Azure Monitor Logs intellisense stöder KQL-frågebegränsningar i sökjobbsläge för att hjälpa dig att skriva sökjobbsfrågan.
Ange sökjobbets datumintervall med hjälp av tidsväljaren.
Skriv sökjobbsfrågan och välj knappen Sökjobb .
Azure Monitor-loggar uppmanar dig att ange ett namn för resultatuppsättningstabellen och informerar dig om att sökjobbet är föremål för fakturering.
Ange ett namn för resultattabellen för sökjobbet och välj Kör ett sökjobb.
Azure Monitor-loggar kör sökjobbet och skapar en ny tabell på din arbetsyta för sökresultatet.
När den nya tabellen är klar väljer du Visa tablename_SRCH för att visa tabellen i Log Analytics.
Du kan se sökresultaten när de börjar flöda till den nyligen skapade sökresultattabellen.
Azure Monitor-loggar visar att ett sökjobb är klart i slutet av sökjobbet. Resultattabellen är nu klar med alla poster som matchar sökfrågan.
Hämta status och information för sökjobb
På log analytics-arbetsytans meny väljer du Loggar.
På fliken Tabeller väljer du Sökresultat för att visa alla sökresultattabeller.
Ikonen i resultattabellen för sökjobbet visar en uppdateringsindikator tills sökjobbet har slutförts.
Ta bort en sökjobbstabell
Vi rekommenderar att du tar bort sökjobbstabellen när du är klar med att fråga tabellen. Detta minskar arbetsytans oreda och extra avgifter för datakvarhållning.
Begränsningar
Sökjobb omfattas av följande begränsningar:
- Optimerad för att köra frågor mot en tabell i taget.
- Sökdatumintervallet är upp till ett år.
- Stöder tidskrävande sökningar upp till en tidsgräns på 24 timmar.
- Resultaten är begränsade till en miljon poster i postuppsättningen.
- Samtidig körning är begränsad till fem sökjobb per arbetsyta.
- Begränsat till 100 sökresultattabeller per arbetsyta.
- Begränsat till 100 körningar av sökjobb per dag per arbetsyta.
När du når postgränsen avbryter Azure jobbet med statusen partiell lyckad och tabellen innehåller endast poster som har matats in fram till den punkten.
KQL-frågebegränsningar
Sökjobb är avsedda att genomsöka stora mängder data i en specifik tabell. Därför måste sökjobbsfrågor alltid börja med ett tabellnamn. För att aktivera asynkron körning med distribution och segmentering stöder frågan en delmängd av KQL, inklusive operatorerna:
Du kan använda alla funktioner och binära operatorer inom dessa operatorer.
Prismodell
Sökjobbsavgiften baseras på:
Körning av sökjobb:
- Analysplan – Mängden data som sökjobbet genomsöker som finns i långsiktig kvarhållning. Det kostar inget att skanna data som finns i interaktiv kvarhållning i Analytics-tabeller.
- Grundläggande planer eller tilläggsplaner – Alla data som sökjobbet genomsöker i både interaktiv och långsiktig kvarhållning.
Mer information om interaktiv och långsiktig kvarhållning finns i Hantera datakvarhållning på en Log Analytics-arbetsyta.
Sökresultat – Mängden data som sökjobbet hittar och matas in i resultattabellen, baserat på datainmatningshastigheten för Analytics-tabeller.
Om en sökning i en Basic-tabell till exempel sträcker sig över 30 dagar och tabellen innehåller 500 GB data per dag debiteras du för 15 000 GB genomsökt data. Om sökjobbet returnerar 1 000 poster debiteras du för att du matar in dessa 1 000 poster i resultattabellen.
Mer information finns i Prissättning för Azure Monitor.