Azure İzleyici'de arama işlerini çalıştırma
Arama işleri, daha fazla analiz için kayıtları çalışma alanınızdaki yeni bir arama tablosuna getiren zaman uyumsuz sorgulardır. Arama işi, paralel işleme yaklaşımını kullanır ve büyük veri kümelerinde saatlerce çalışabilir. Bu makalede arama işinin nasıl oluşturulacağı ve sonuçta elde edilen verilerin nasıl sorgulandığı açıklanmaktadır.
Not
Arama işi özelliği şu anda müşteri tarafından yönetilen anahtarlara sahip çalışma alanları için desteklenmemektedir.
İzinler
Bir arama işini çalıştırmak için log analytics çalışma alanı için izinlere (örneğin, Log Analytics Katkıda Bulunanı yerleşik rolü tarafından sağlandığı gibi) ihtiyacınız vardır Microsoft.OperationalInsights/workspaces/tables/write
Microsoft.OperationalInsights/workspaces/searchJobs/write
.
Arama işlerinin kullanım alanları
10 dakikalık günlük sorgusu zaman aşımı, büyük hacimli verilerde arama yapmak için yeterli olmadığında veya yavaş bir sorgu çalıştırıyorsanız bir arama işi kullanın.
Arama işleri, Arşivlenmiş Günlükler ve Temel Günlükler tablolarındaki kayıtları sorgular için kullanabileceğiniz yeni bir günlük tablosuna almanıza da olanak tanır. Bu şekilde, bir arama işini çalıştırmak aşağıdakilere alternatif olabilir:
Belirli bir zaman aralığı için Arşivlenmiş Günlükler'den verileri geri yükleme.
Büyük miktarda veri üzerinde çok sayıda sorgu çalıştırmak için geçici bir gereksiniminiz olduğunda geri yüklemeyi kullanın.Temel Günlükleri doğrudan sorgulama ve her sorgu için ödeme.
Hangi alternatifin daha uygun maliyetli olduğunu belirlemek için, Temel Günlükleri sorgulamanın maliyetini bir arama işini çalıştırma ve arama işi sonuçlarını depolama maliyetiyle karşılaştırın.
Arama işi ne yapar?
Arama işi, sonuçlarını kaynak verilerle aynı çalışma alanında bulunan yeni bir tabloya gönderir. Sonuçlar tablosu, arama işi başlar başlamaz kullanılabilir, ancak sonuçların görünmeye başlaması zaman alabilir.
Arama işi sonuçları tablosu, günlük sorguları ve çalışma alanında tabloları kullanan diğer Azure İzleyici özellikleri için kullanılabilen bir Analytics tablosudur . Tablo, çalışma alanı için ayarlanan bekletme değerini kullanır, ancak tablo oluşturulduktan sonra bu değeri değiştirebilirsiniz.
Arama sonuçları tablosu şeması, kaynak tablo şemasını ve belirtilen sorguyu temel alır. Aşağıdaki diğer sütunlar kaynak kayıtları izlemenize yardımcı olur:
Sütun | Değer |
---|---|
_OriginalType | Kaynak tablodan değer yazın . |
_OriginalItemId | Kaynak tablodan değer _ItemID. |
_OriginalTimeGenerated | Kaynak tablodan TimeGenerated değeri. |
TimeGenerated | Arama işinin çalıştırıldığı saat. |
Sonuçlar tablosundaki sorgular günlük sorgusu denetiminde görünür ancak ilk arama işinde görünmez.
Arama işi çalıştırma
Büyük veri kümelerindeki kayıtları çalışma alanınızdaki yeni bir arama sonuçları tablosuna getirmek için bir arama işi çalıştırın.
İpucu
Arama işini çalıştırmak için ücretlendirilirsiniz. Bu nedenle, arama işini çalıştırmadan önce sorgunuzu etkileşimli sorgu modunda yazın ve iyileştirin.
Arama işini çalıştırmak için Azure portalında:
Log Analytics çalışma alanı menüsünde Günlükler'i seçin.
Ekranın sağ tarafındaki üç nokta menüsünü seçin ve Arama işi modunu açık konuma getirin.
Azure İzleyici Günlükleri intellisense, arama işi sorgunuzu yazmanıza yardımcı olmak için arama işi modundaki KQL sorgu sınırlamalarını destekler.
Zaman seçiciyi kullanarak arama işi tarih aralığını belirtin.
Arama işi sorgusunu yazın ve İş Ara düğmesini seçin.
Azure İzleyici Günlükleri, sonuç kümesi tablosu için bir ad girmenizi ister ve arama işinin faturalamaya tabi olduğunu size bildirir.
Arama işi sonuç tablosu için bir ad girin ve Arama işini çalıştır'ı seçin.
Azure İzleyici Günlükleri arama işini çalıştırır ve arama işi sonuçlarınız için çalışma alanınızda yeni bir tablo oluşturur.
Yeni tablo hazır olduğunda, Tabloyu Log Analytics'te görüntülemek için tablename_SRCH görüntüle'yi seçin.
Yeni oluşturulan arama işi sonuçları tablosuna akmaya başlarken arama işi sonuçlarını görebilirsiniz.
Azure İzleyici Günlükleri, arama işinin sonunda bir Arama işi tamamlandı iletisini gösterir. Sonuç tablosu artık arama sorgusuyla eşleşen tüm kayıtlarla hazır.
Arama işi durumunu ve ayrıntılarını alma
Arama işi tablosunu silme
Tabloyu sorgulamayı bitirdiğinizde arama işi tablosunu silmenizi öneririz. Bu, çalışma alanı dağınıklığı ve veri saklama için ek ücretleri azaltır.
Sınırlamalar
Arama işleri aşağıdaki sınırlamalara tabidir:
- Bir kerede bir tabloyu sorgulamak için iyileştirildi.
- Arama tarihi aralığı bir yıla kadardır.
- 24 saatlik zaman aşımına kadar uzun süre çalışan aramaları destekler.
- Sonuçlar, kayıt kümesindeki bir milyon kayıtla sınırlıdır.
- Eşzamanlı yürütme, çalışma alanı başına beş arama işiyle sınırlıdır.
- Çalışma alanı başına 100 arama sonuçları tablosuyla sınırlıdır.
- Çalışma alanı başına günde 100 arama işi yürütmesi ile sınırlıdır.
Kayıt sınırına ulaştığınızda Azure, kısmi başarı durumuyla işi durdurur ve tabloda yalnızca bu noktaya kadar alınan kayıtlar yer alır.
KQL sorgu sınırlamaları
Arama işleri, belirli bir tablodaki büyük hacimli verileri taramaya yöneliktir. Bu nedenle, arama işi sorguları her zaman bir tablo adıyla başlamalıdır. Dağıtım ve segmentasyon kullanarak zaman uyumsuz yürütmeyi etkinleştirmek için sorgu, işleçler de dahil olmak üzere KQL'nin bir alt kümesini destekler:
- Nerede
- Genişlet -mek
- Proje
- proje dışı
- project-keep
- project-rename
- project-reorder
- Ayrıştı -rma
- parse-where
Bu işleçler içindeki tüm işlevleri ve ikili işleçleri kullanabilirsiniz.
Fiyatlandırma modeli
Arama işinin ücreti aşağıdakilere bağlıdır:
- Arama işi yürütme - arama işinin taraydırma veri miktarı.
- Arama işi sonuçları - Normal günlük verileri alım fiyatlarına göre arama işinin bulduğu ve sonuçlar tablosuna alınan veri miktarı.
Örneğin, tablonuzda günde 500 GB varsa, 30 gün içindeki bir arama için 15.000 GB taranmış veri için ücretlendirilirsiniz. Arama işi arama sorgusuyla eşleşen 1.000 kayıt bulursa, bu 1.000 kaydı sonuçlar tablosuna almak için ücretlendirilirsiniz.
Daha fazla bilgi için bkz . Azure İzleyici fiyatlandırması.