Kommentar
Åtkomst till den här sidan kräver auktorisering. Du kan prova att logga in eller ändra kataloger.
Åtkomst till den här sidan kräver auktorisering. Du kan prova att ändra kataloger.
Ett sökjobb är en asynkron fråga som du kör på alla data i Log Analytics – både i analys och långsiktig kvarhållning – som gör frågeresultaten tillgängliga för interaktiva frågor i en ny söktabell på din arbetsyta. Sökjobbet använder parallell bearbetning och kan köras i flera timmar över stora datamängder. Den här artikeln beskriver hur du skapar ett sökjobb och hur du frågar efter dess resulterande data.
Den här videon förklarar när och hur du använder sökjobb:
Behörigheter som krävs
| Åtgärd | Behörigheter som krävs |
|---|---|
| Köra ett sökjobb |
Microsoft.OperationalInsights/workspaces/tables/write och Microsoft.OperationalInsights/workspaces/searchJobs/write behörigheter till Log Analytics-arbetsytan, som exempel är detta tillhandahållet av den inbyggda rollen Log Analytics Contributor. |
Kommentar
Sökjobb mellan klienter stöds inte. Azure Lighthouse-delegerad åtkomst stöds inte heller för sökjobb (eller återställning) även när en delegerad roll tilldelas som innehåller behörigheten searchJobs/write.
När man ska använda sökjobb
Använd sökjobb för att:
- Hämta poster från långsiktig kvarhållning och tabeller med basic- och tilläggsplanerna till en ny Analystabell där du kan dra nytta av Azure Monitor-loggens fullständiga analysfunktioner.
- Sök igenom stora mängder data om loggfrågans tidsgräns på 10 minuter inte räcker.
Vad gör ett sökjobb?
Ett sökjobb söker igenom data och skickar dess resultat till en ny tabell på samma arbetsyta som källdata. Resultattabellen är tillgänglig så snart sökjobbet börjar, men det kan ta tid innan resultaten börjar visas. En kostnad uppstår baserat på prismodellen för skannade data och storleken på de inmatade resultaten. Innan ett sökjobb körs finns en kostnadsuppskattning tillgänglig som hjälper dig att avgöra om jobbet ska köras.
Sökresultattabellen är en Analystabell som är tillgänglig för loggfrågor och andra Azure Monitor-funktioner som använder tabeller på en arbetsyta. Tabellen använder kvarhållningsvärdet som angetts för arbetsytan, men du kan ändra det här värdet när tabellen har skapats.
Schemat för sökresultattabellen baseras på källtabellschemat och den angivna frågan. Följande andra kolumner hjälper dig att spåra källposterna:
| Kolumn | Värde |
|---|---|
| _OriginalType | Skriv värde från källtabellen. |
| _OriginalItemId | _ItemID värde från källtabellen. |
| _OriginaltidGenererad | TimeGenerated-värde från källtabellen. |
| Tidpunkt för generering | Tidpunkt då sökjobbet kördes. |
Frågor i resultattabellen visas i loggfrågegranskning men inte det första sökjobbet.
Köra ett sökjobb
Kör ett sökjobb för att hämta poster från stora datamängder till en ny sökresultattabell på din arbetsyta.
Tips
Du debiteras för att köra ett sökjobb. Skriv och optimera frågan i interaktivt frågeläge innan du kör sökjobbet. Använd förhandsversionen av kostnadsuppskattningen för att förstå de potentiella kostnaderna.
Kör ett sökjobb i Azure Portal:
Från menyn i Log Analytics-arbetsytan väljer du Loggar.
Skriv en sökjobbsfråga eller välj bara den tabell som du vill använda.
Välj ellipsmenyn till höger på skärmen och välj Sökjobb.
Eller använd den nedrullningsfria menyn Kör och välj Kör som sökjobb.
Ange sökjobbets datumintervall med hjälp av tidsväljaren. Välj en period inom den totala kvarhållningsperioden.
Om Kusto-frågan också anger ett tidsintervall, används föreningen av tidsintervallen för sökjobbet.
Ange ett namn för resultattabellen för sökjobbet och välj Kör ett sökjobb.
Azure Monitor Logs kör sökjobbet och skapar en ny tabell på din arbetsyta för ditt sökjobbresultat.
När den nya tabellen är klar väljer du Visa "<searchtablename>_SRCH" för att visa tabellen i Log Analytics.
Sökresultaten är tillgängliga när de börjar flöda in i den nyligen skapade sökresultattabellen.
Azure Monitor-loggar visar att ett sökjobb är klart när det har slutförts. När du ser meddelandet eller när framstegsfältet visar 100%, är resultattabellen klar med alla poster som matchar sökfrågan.
Hämta status och information för sökjobb
Från menyn i Log Analytics-arbetsytan väljer du Loggar.
Hovra över sökresultattabellen från Sökresultat> för att visa förloppet.
Ikonen i resultattabellen för sökjobbet visar en uppdateringsindikatorikon tills sökjobbet har slutförts.
Ta bort en sökjobbstabell
Vi rekommenderar att du tar bort sökjobbstabellen när du är klar med att fråga tabellen. Den här bästa metoden minskar arbetsytans oreda och extra avgifter för datakvarhållning.
Överväganden
Följande överväganden gäller för sökjobb:
- Optimerad för att köra frågor mot en tabell i taget
- Datumintervallet för sökning är vilken period som helst inom den totala lagringstiden
- Stöder tidskrävande sökningar upp till en tidsgräns på 24 timmar
- Resultaten är begränsade till 100 miljoner poster i postuppsättningen – om gränsen överskrids avbryter Azure Monitor jobbet med statusen partiell framgång och tabellen innehåller endast poster som matas in fram till den punkten
- Samtidig körning är begränsad till tio sökningar per arbetsyta.
- Begränsat till 200 sökresultattabeller per arbetsyta
- Begränsat till 200 sökjobbsutföranden per dag per arbetsyta
- Sökjobb mellan klientorganisationer stöds inte
- Azure Lighthouse-delegerad åtkomst stöds inte för sökjobb även om delegeringen innehåller rätt sökjobb/skrivbehörighet – misslyckas med felmeddelandet:Användare<managing-tenant-userId>har inte åtkomst till åtgärden Microsoft.OperationalInsights/workspaces/searchJobs/write på omfattningen<delegated-workspace-resourceID>.
KQL-frågeöverväganden
Sökjobb är avsedda att genomsöka stora mängder data i en specifik tabell, så sökjobbsfrågor måste alltid börja med ett tabellnamn. För att aktivera asynkron körning med hjälp av distribution och segmentering stöder frågan en delmängd av KQL, inklusive följande tabelloperatorer:
Alla funktioner och binära operatorer inom dessa operatorer kan användas.
Strängoperatorn contains blockeras från att användas i sökjobb eftersom avancerade textmatchningar har stor inverkan på prestandan. Använd has i stället strängoperatorn. Mer information om prestandaöverväganden finns i Optimera loggfrågor i Azure Monitor.
Prismodell
Sökjobbsavgiften baseras på:
Utförande av sökjobb:
Analysplan – Den mängd data som sökjobbet genomsöker och som finns i långsiktig lagring. Det kostar inget att skanna data som lagras för analys i Analytics-tabeller.
Grundläggande planer eller tilläggsplaner – Alla data som sökjobbet genomsöker i långsiktig kvarhållning.
Data som genomsöks definieras som mängden data i tabellen som du kör sökjobbet på inom det angivna tidsintervallet. Mer information om analys och långsiktig kvarhållning finns i Hantera datakvarhållning på en Log Analytics-arbetsyta.
Sökresultat – Mängden data som sökjobbet hittar och matas in i resultattabellen, baserat på datainmatningshastigheten för Analytics-tabeller.
Om en sökning i en Basic-tabell till exempel sträcker sig över 30 dagar och tabellen innehåller 500 GB data per dag debiteras du för 15 000 GB genomsökt data. Om sökjobbet returnerar 1 000 poster debiteras du för att du matar in dessa 1 000 poster i resultattabellen.
Mer information finns i Prissättning för Azure Monitor.