Günlük araması uyarı kuralı oluşturma veya düzenleme
Bu makalede yeni bir günlük araması uyarı kuralı oluşturma veya mevcut günlük araması uyarı kuralını düzenleme gösterilmektedir. Uyarılar hakkında daha fazla bilgi edinmek için uyarılara genel bakış bölümüne bakın.
İzlenecek kaynakları, kaynaktan gelen izleme verilerini ve uyarıyı tetiklemesini istediğiniz koşulları birleştirerek bir uyarı kuralı oluşturursunuz. Ardından, bir uyarı tetiklendiğinde ne olacağını belirlemek için eylem grupları ve uyarı işleme kuralları tanımlayabilirsiniz.
Bu uyarı kuralları tarafından tetiklenen uyarılar, ortak uyarı şemasını kullanan bir yük içerir.
Azure portalında uyarı kuralı sihirbazına erişme
Yeni bir uyarı kuralı oluşturmanın veya düzenlemenin çeşitli yolları vardır.
Portal giriş sayfasından uyarı kuralı oluşturma veya düzenleme
Belirli bir kaynaktan uyarı kuralı oluşturma veya düzenleme
Mevcut uyarı kuralını düzenleme
Portalda, giriş sayfasından veya belirli bir kaynaktan sol bölmeden Uyarılar'ı seçin.
Uyarı kuralları'nı seçin.
Düzenlemek istediğiniz uyarı kuralını seçin ve ardından Düzenle'yi seçin.
Ayarları düzenlemek için uyarı kuralının sekmelerinden herhangi birini seçin.
Uyarı kuralının kapsamını yapılandırma
Kaynak seçin bölmesinde uyarı kuralınızın kapsamını ayarlayın. Aboneliğe, kaynak türüne veya kaynak konumuna göre filtreleyebilirsiniz.
Uygula’yı seçin.
Uyarı kuralı koşullarını yapılandırma
Koşul sekmesinde, Sinyal adı alanını seçtiğinizde Özel günlük araması'nı seçin veya koşul için farklı bir sinyal seçmek istiyorsanız Tüm sinyalleri gör'e tıklayın.
(İsteğe bağlı) Önceki adımda Tüm sinyalleri göster'i seçtiyseniz sinyal adını aramak veya sinyal listesini filtrelemek için Sinyal seçin bölmesini kullanın. Filtre ölçütü:
- Sinyal türü: Günlük araması'yı seçin.
- Sinyal kaynağı: "Özel günlük araması" ve "Günlük (kaydedilen sorgu)" sinyallerini gönderen hizmet. Sinyal adını ve Uygula'yı seçin.
Günlükler bölmesinde, uyarı oluşturmak istediğiniz günlük olaylarını döndüren bir sorgu yazın. Önceden tanımlanmış uyarı kuralı sorgularından birini kullanmak için Günlükler bölmesinin sol tarafındaki Şema ve filtre bölmesini genişletin. Ardından Sorgular sekmesini seçin ve sorgulardan birini seçin.
Günlük araması uyarı kuralı sorguları için sınırlamalar:
Günlük araması uyarı kuralı sorguları 'bag_unpack()', 'pivot()' ve 'narrow()' eklentilerini desteklemez.
"AggregatedValue" sözcüğü ayrılmış bir sözcük olduğundan Günlük araması Uyarıları kurallarındaki sorguda kullanılamaz.
Günlük uyarı kuralı özelliklerindeki tüm verilerin birleşik boyutu 64 KB'ı aşamaz.
(İsteğe bağlı) BIR ADX veya ARG kümesini sorgularsanız Log Analytics, olay zaman damgasıyla sütunu otomatik olarak tanımlayamaz. Sorguya bir zaman aralığı filtresi eklemenizi öneririz. Örneğin:
adx('https://help.kusto.windows.net/Samples').table | where MyTS >= ago(5m) and MyTS <= now()arg("").Resources | where type =~ 'Microsoft.Compute/virtualMachines' | project _ResourceId=tolower(id), tags
ARG veya ADX sorgulayan örnek günlük araması uyarı sorguları için bkz . Günlük araması uyarısı sorgu örnekleri.
Çapraz sorgu kullanımıyla ilgili sınırlamalar şunlardır:
- Hizmetler arası sorgu sınırlamaları
- Azure Kaynak Grafı tablolarını Log Analytics çalışma alanıyla birleştirme
- Kamu bulutlarında desteklenmez
Uyarıyı çalıştırmak için Çalıştır'ı seçin.
Önizleme bölümünde sorgu sonuçları gösterilir. Sorgunuzu düzenlemeyi bitirdiğinizde Uyarıyı Düzenlemeye Devam Et'i seçin.
Koşul sekmesi, günlük sorgunuzla doldurulmuş olarak açılır. Varsayılan olarak, kural son beş dakikadaki sonuç sayısını sayar. Sistem özetlenmiş sorgu sonuçlarını algılarsa, kural otomatik olarak bu bilgilerle güncelleştirilir.
Ölçüm bölümünde şu alanlar için değerleri seçin:
Alan Açıklama Ölçüm Günlük araması uyarıları, farklı izleme senaryoları için kullanılabilecek iki farklı şeyi ölçebilir:
Tablo satırları: Döndürülen satır sayısı, Windows olay günlükleri, Syslog ve uygulama özel durumları gibi olaylarla çalışmak için kullanılabilir.
Sayısal sütun hesaplaması: Herhangi bir sayısal sütunu temel alan hesaplamalar, herhangi bir sayıda kaynağı dahil etmek için kullanılabilir. Cpu yüzdesi örnek olarak gösteriliyor.Toplama türü Toplama ayrıntı düzeyini kullanarak bunları bir sayısal değere toplamak için birden çok kayıtta gerçekleştirilen hesaplama. Örnek olarak Total, Average, Minimum veya Maximum verilebilir. Toplama ayrıntı düzeyi Birden çok kaydı tek bir sayısal değere toplama aralığı. (İsteğe bağlı) Boyutlara göre böl bölümünde, tetiklenen uyarı için bağlam sağlamaya yardımcı olması için boyutları kullanabilirsiniz.
Boyutlar, sorgu sonuçlarınızdan ek veriler içeren sütunlardır. Boyutları kullandığınızda, uyarı kuralı sorgu sonuçlarını boyut değerlerine göre gruplandırıp her grubun sonuçlarını ayrı ayrı değerlendirir. Koşul karşılanırsa, kural bu grup için bir uyarı tetikler. Uyarı yükü, uyarıyı tetikleyen bileşimi içerir.
Uyarı kuralı başına en fazla altı boyut uygulayabilirsiniz. Boyutlar yalnızca dize veya sayısal sütunlar olabilir. Boyut olarak sayı veya dize türü olmayan bir sütun kullanmak istiyorsanız, bunu sorgunuzda bir dizeye veya sayısal değere dönüştürmeniz gerekir. Birden fazla boyut değeri seçerseniz, birleşimden elde edilen her zaman serisi kendi uyarısını tetikler ve ayrı olarak ücretlendirilir.
Örneğin:
- Web sitenizi veya uygulamanızı çalıştıran birden çok örnekte CPU kullanımını izlemek için boyutları kullanabilirsiniz. Her örnek ayrı ayrı izlenir ve CPU kullanımının yapılandırılan değeri aştığı her örnek için bildirimler gönderilir.
- Kapsamdaki birden çok kaynağa bir koşulun uygulanmasını istediğinizde boyutlara göre bölmemeye karar verebilirsiniz. Örneğin, kaynak grubu kapsamındaki en az beş makine yapılandırılmış değerin üzerinde CPU kullanımına sahipse bir uyarı tetiklemek istiyorsanız boyutları kullanamazsınız.
Bu alanlar için değerleri seçin:
- Kaynak Kimliği sütunu: Genel olarak, uyarı kuralı kapsamınız bir çalışma alanıysa, uyarılar çalışma alanında tetiklenir. Etkilenen her Azure kaynağı için ayrı bir uyarı istiyorsanız şunları yapabilirsiniz:
- ARM Azure Kaynak Kimliği sütununu boyut olarak kullanın (bu seçenek kullanıldığında uyarının çalışma alanında Azure Kaynak Kimliği sütunu boyut olarak tetiklendiğini göreceksiniz.
- azure kaynak kimliği özelliğinde bir boyut olarak belirtin; bu da sorgunuz tarafından döndürülen kaynağı uyarının hedefi yapar, böylece çalışma alanında değil, sanal makine veya depolama hesabı gibi sorgunuz tarafından döndürülen kaynakta uyarılar tetiklenir. Bu seçeneği kullandığınızda, çalışma alanı birden fazla abonelikteki kaynaklardan veri alıyorsa, uyarı kuralı aboneliğinden farklı bir abonelikteki kaynaklarda uyarılar tetiklenebilir.
Alan Açıklama Boyut adı Boyutlar sayı veya dize sütunları olabilir. Boyutlar belirli zaman serilerini izlemek ve tetiklenen uyarıya bağlam sağlamak için kullanılır. Operatör Boyut adında ve değerinde kullanılan işleç. Boyut değerleri Boyut değerleri son 48 saate ait verileri temel alır. Özel boyut değerleri eklemek için Özel değer ekle'yi seçin. Gelecekteki tüm değerleri dahil et Seçili boyuta gelecekteki değerleri eklemek için bu alanı seçin. Uyarı mantığı bölümünde şu alanlar için değerleri seçin:
Alan Açıklama İşleç Sorgu sonuçları bir sayıya dönüştürülür. Bu alanda, sayıyı eşikle karşılaştırmak için kullanılacak işleci seçin. Eşik değeri Eşik için bir sayı değeri. Değerlendirme sıklığı Sorgunun ne sıklıkta çalıştırılır? Bir dakikadan bir güne (24 saat) kadar her yerde ayarlanabilir. Not
Sıklığın, uyarının her gün çalıştırılacağı belirli bir saat olmadığını, ancak uyarı kuralının ne sıklıkta çalıştırılacağını unutmayın. Bir dakikalık uyarı kuralı sıklığı kullanmanın bazı sınırlamaları vardır. Uyarı kuralı sıklığını bir dakikaya ayarladığınızda, sorguyu iyileştirmek için bir iç düzenleme gerçekleştirilir. Bu düzenleme, desteklenmeyen işlemler içeriyorsa sorgunun başarısız olmasına neden olabilir. Bir sorgunun desteklenmeme nedenlerinin en yaygınları şunlardır:
- Sorgu arama, birleşim * veya alma (sınır) işlemlerini içerir
- Sorgu ingestion_time() işlevini içerir
- Sorgu adx desenini kullanır
- Sorgu, diğer tabloları çağıran bir işlevi çağırır
ARG veya ADX sorgulayan örnek günlük araması uyarı sorguları için bkz . Günlük araması uyarısı sorgu örnekleri
(İsteğe bağlı) Gelişmiş seçenekler bölümünde, hata sayısını ve uyarı tetikleme için gereken uyarı değerlendirme süresini belirtebilirsiniz. Örneğin, Toplama ayrıntı düzeyini 5 dakika olarak ayarlarsanız, yalnızca son bir saat içinde üç hata (15 dakika) olduğunda bir uyarı tetiklemesini istediğinizi belirtebilirsiniz. Bu ayarı uygulama iş ilkeniz belirler.
Uyarıyı tetikleyen ihlal sayısı altında bu alanların değerlerini seçin:
Alan Açıklama İhlal sayısı Uyarıyı tetikleyen ihlal sayısı. Değerlendirme dönemi İhlal sayısının oluştuğu zaman dilimi. Sorgu zaman aralığını geçersiz kıl Uyarı değerlendirme döneminin sorgu zaman aralığından farklı olmasını istiyorsanız, buraya bir zaman aralığı girin.
Uyarı zaman aralığı en fazla iki günle sınırlıdır. Sorgu iki günden uzun bir zaman aralığına sahip bir ago komutu içerse bile, iki günlük en fazla zaman aralığı uygulanır. Örneğin, sorgu metni ago(7d) içerse bile sorgu yalnızca iki güne kadar veri tarar. Sorgu uyarı değerlendirmesinden daha fazla veri gerektiriyorsa zaman aralığını el ile değiştirebilirsiniz. Sorgu bir ago komutu içeriyorsa, otomatik olarak 2 gün (48 saat) olarak değiştirilir.Not
Siz veya yöneticiniz Log Analytics çalışma alanları üzerinden Azure İlkesi Azure Günlük Arama Uyarıları'nı atadıysanız müşteri tarafından yönetilen anahtarları kullanmalısınız. Çalışma alanı bağlı depolama alanını denetle'yi seçmeniz gerekir. Bunu yapmazsanız, ilke gereksinimlerini karşılamadığı için kural oluşturma işlemi başarısız olur.
Önizleme grafiği, zaman içindeki sorgu değerlendirme sonuçlarını gösterir. Grafik dönemini değiştirebilir veya benzersiz bir uyarının boyutlara göre bölünmesinden kaynaklanan farklı zaman serisini seçebilirsiniz.
Bitti'yi seçin. Bu noktadan sonra, istediğiniz zaman Gözden Geçir + oluştur düğmesini seçebilirsiniz.
Uyarı kuralı eylemlerini yapılandırma
Eylemler sekmesinde, gerekli eylem gruplarını seçin veya oluşturun.
Uyarı kuralı ayrıntılarını yapılandırma
Ayrıntılar sekmesinde Proje ayrıntılarını tanımlayın.
- Aboneliği seçin.
- Kaynak grubunu seçin.
Uyarı kuralı ayrıntılarını tanımlayın.
Önem Derecesi'ni seçin.
Uyarı kuralı adı ve Uyarı kuralı açıklaması değerlerini girin.
Not
Kimlik kullanan kuralın Uyarı kuralı adında ";" karakterine sahip olamayacağına dikkat edin
Bölge'yi seçin.
Kimlik bölümünde, günlük sorgusu göndermek için günlük arama uyarı kuralı tarafından hangi kimliğin kullanılacağını seçin. Bu kimlik, uyarı kuralı günlük sorgusunu yürütürken kimlik doğrulaması için kullanılır.
Bir kimlik seçerken şu şeyleri aklınızda bulundurun:
- Azure Veri Gezgini'e (ADX) veya Azure Kaynak Grafı'e (ARG) sorgu gönderiyorsanız yönetilen kimlik gereklidir.
- Uyarı kuralıyla ilişkili izinleri görebilmek veya düzenleyebilmek istiyorsanız yönetilen kimlik kullanın.
- Yönetilen kimlik kullanmıyorsanız uyarı kuralı izinleri, kuralın son düzenlendiği sırada son kullanıcının kuralı düzenleme izinlerine dayanır.
- Kuralı en son düzenleyen kullanıcının kuralın kapsamına eklenen tüm kaynaklar için izinleri olmadığından kuralın beklendiği gibi çalışmadığı bir durumdan kaçınmanıza yardımcı olması için yönetilen kimlik kullanın.
Kuralla ilişkilendirilmiş kimlik şu rollere sahip olmalıdır:
- Sorgu bir Log Analytics çalışma alanına erişiyorsa, sorgu tarafından erişilen tüm çalışma alanları için kimliğe bir Okuyucu rolü atanmalıdır. Kaynak merkezli günlük araması uyarıları oluşturuyorsanız, uyarı kuralı birden çok çalışma alanına erişebilir ve kimliğin tüm çalışma alanlarında okuyucu rolü olmalıdır.
- Bir ADX veya ARG kümesini sorgularsanız, sorgu tarafından erişilen tüm veri kaynakları için Okuyucu rolü eklemeniz gerekir. Örneğin, sorgu kaynak odaklıysa, bu kaynaklarda bir okuyucu rolüne ihtiyacı vardır.
- Sorgu uzak bir Azure Veri Gezgini kümesine erişiyorsa, kimlik atanmalıdır:
- Sorgu tarafından erişilen tüm veri kaynakları için okuyucu rolü . Örneğin, sorgu adx() işlevini kullanarak uzak bir Azure Veri Gezgini kümesini çağırıyorsa, bu ADX kümesinde bir okuyucu rolüne ihtiyacı vardır.
- Sorgunun eriştiği tüm veritabanları için veritabanı görüntüleyicisi .
Yönetilen kimlikler hakkında ayrıntılı bilgi için bkz . Azure kaynakları için yönetilen kimlikler.
Uyarı kuralı tarafından kullanılan kimlik için aşağıdaki seçeneklerden birini belirleyin:
Kimlik Açıklama Hiçbiri Uyarı kuralı izinleri, kural düzenlendiği sırada kuralı düzenleyen son kullanıcının izinlerini temel alır. Sistem tarafından atanan yönetilen kimlik Azure, bu uyarı kuralı için yeni ve ayrılmış bir kimlik oluşturur. Bu kimliğin hiçbir izni yoktur ve kural silindiğinde otomatik olarak silinir. Kuralı oluşturduktan sonra, sorgu için gereken çalışma alanına ve veri kaynaklarına erişmek için bu kimliğe izinler atamanız gerekir. İzin atama hakkında daha fazla bilgi için bkz . Azure portalını kullanarak Azure rolleri atama. Kullanıcı tarafından atanan yönetilen kimlik Uyarı kuralını oluşturmadan önce bir kimlik oluşturur ve günlük sorgusu için uygun izinleri atarsınız. Bu normal bir Azure kimliğidir. Birden çok uyarı kuralında tek bir kimlik kullanabilirsiniz. Kural silindiğinde kimlik silinmez. Bu kimlik türünü seçtiğinizde, kural için ilişkili kimliği seçmeniz için bir bölme açılır.
(İsteğe bağlı) Gelişmiş seçenekler bölümünde çeşitli seçenekler ayarlayabilirsiniz:
Alan Açıklama Oluşturuldukten sonra etkinleştir Uyarı kuralını oluşturmayı tamamladıktan hemen sonra çalıştırmaya başlamayı seçin. Uyarıları otomatik olarak çözümleme (önizleme) Uyarının durum bilgisi olmasını sağlamak için öğesini seçin. Bir uyarı durum bilgisi olduğunda, koşul belirli bir zaman aralığı için karşılanmadığında uyarı çözümlenir. Zaman aralığı, uyarının sıklığına göre farklılık gösterir:
1 dakika: Uyarı koşulu 10 dakika boyunca karşılanmaz.
5-15 dakika: Uyarı koşulu üç sıklıkta karşılanmaz.
15 dakika - 11 saat: Uyarı koşulu iki sıklık dönemi için karşılanmaz.
11 ile 12 saat arasında: Uyarı koşulu bir sıklık süresi boyunca karşılanmaz.
Durum bilgisi olan günlük araması uyarılarının şu sınırlamalara sahip olduğunu unutmayın:
- Değerlendirme başına en fazla 300 uyarı tetikleyebilir.
- Uyarı koşuluyla en fazla 5000 uyarınızfiredolabilir.Eylemlerin sesini kapatma Uyarı eylemlerinin yeniden tetiklenebilmesi için beklenen süreyi ayarlamak için seçin. Bu onay kutusunu seçerseniz, eylemleri yeniden tetiklemeden önce uyarı tetikledikten sonra beklenmesi gereken süreyi seçmek için alanın Sessiz eylemleri görüntülenir. Çalışma alanı bağlı depolama alanını denetleme Uyarılar için çalışma alanı bağlantılı depolamayı günlüğe kaydedip kaydedemediğini seçin. Bağlantılı depolama yapılandırılmamışsa kural oluşturulmaz. -
(İsteğe bağlı) Özel özellikler bölümünde, bu uyarı kuralı eylem grupları içeriyorsa, uyarı bildirimi yüküne eklemek için kendi özelliklerinizi ekleyebilirsiniz. Bu özellikleri, bir web kancası, Azure işlevi veya mantıksal uygulama eylemleri gibi eylem grubu tarafından çağrılan eylemlerde kullanabilirsiniz.
Özel özellikler, statik metin, uyarı yükünden ayıklanan dinamik bir değer veya her ikisinin birleşimi kullanılarak anahtar:değer çiftleri olarak belirtilir.
Uyarı yükünden dinamik değer ayıklama biçimi:
${<path to schema field>}. Örneğin: ${data.essentials.monitorCondition}.Ortak uyarı şemasının biçimini kullanarak, uyarı kuralı için yapılandırılan eylem gruplarının ortak şemayı kullanıp kullanmadığını yükteki alanı belirtin.
Not
- Ortak şema özel yapılandırmaların üzerine yazar. Hem özel özellikleri hem de ortak şemayı kullanamazsınız.
- Özel özellikler uyarının yüküne eklenir, ancak e-posta şablonunda veya Azure portalındaki uyarı ayrıntılarında görünmez.
- Hizmet Durumu uyarıları özel özellikleri desteklemez.
Aşağıdaki örneklerde, özel özelliklerdeki değerler ortak uyarı şemasını kullanan bir yükteki verileri kullanmak için kullanılır:
Örnek 1
Bu örnek, "pencere başlangıç saati" ve "pencere bitiş saati" ile ilgili verileri içeren bir "Ek Ayrıntılar" etiketi oluşturur.
- Ad: "Ek Ayrıntılar"
- Değer: "Değerlendirme penceresiStartTime: ${data.alertContext.condition.windowStartTime}. windowEndTime: ${data.alertContext.condition.windowEndTime}"
- Sonuç: "AdditionalDetails:Evaluation windowStartTime: 2023-04-04T14:39:24.492Z. windowEndTime: 2023-04-04T14:44:24.492Z"
Örnek 2 Bu örnek, uyarıyı çözümleme veya tetikleme nedeni ile ilgili verileri ekler.
- Ad: "Uyarı ${data.essentials.monitorCondition} nedeni"
- Değer: "${data.alertContext.condition.allOf[0].metricName} ${data.alertContext.condition.allOf[0].operator} ${data.alertContext.condition.allOf[0].threshold} ${data.essentials.monitorCondition}. Değer: ${data.alertContext.condition.allOf[0].metricValue}"
- Sonuç: Örnek sonuçlar şöyle olabilir:
- "Uyarı Çözüldü nedeni: Cpu GreaterThan5 Çözüldü Yüzdesi. Değer 3,585"
- "Uyarı Tetiklenme nedeni": "CPU GreaterThan5 Tetiklenme Yüzdesi. Değer 10,585"
Uyarı kuralı etiketlerini yapılandırma
Etiketler sekmesinde, uyarı kuralı kaynağında gerekli etiketleri ayarlayın.
Uyarı kuralını gözden geçirme ve oluşturma
Gözden Geçir ve oluştur sekmesinde kural doğrulanır ve tüm sorunları size bildirir.
Doğrulama başarılı olduysa ve ayarları gözden geçirdiyseniz Oluştur düğmesini seçin.
