Özet kurallarını kullanarak Log Analytics çalışma alanında verileri toplama

Özet kuralı günlük verilerini düzenli bir tempoda toplamanıza ve toplanan sonuçları Log Analytics çalışma alanınızdaki özel bir günlük tablosuna göndermenize olanak tanır. Verilerinizi aşağıdakiler için iyileştirmek için özet kurallarını kullanın:

Özellikle büyük veri kümeleri ve zaman aralıkları üzerinde, güvenlik ve olay analizi, aydan aya veya yıllık iş raporları vb. için gereken analiz ve raporlar. Büyük bir veri kümesindeki karmaşık sorgular genellikle zaman aşımına uğrar. Temizlenmiş ve toplanmış ve özetlenmiş verileri analiz etmek ve raporlamak daha kolay ve daha verimlidir.
Ayrıntılı günlüklerde maliyet tasarrufu, bu günlükleri ucuz bir Temel günlük tablosunda, ihtiyacınız olduğu kadar kısa veya uzun süreyle saklayabilir ve verileri analiz ve raporlar için özetlenmiş olarak bir analytics tablosuna gönderebilirsiniz.
Özetlenmiş paylaşılabilir verilerdeki gizlilik ayrıntılarını kaldırarak veya gizleyerek ve ham veri içeren tablolara erişimi sınırlayarak güvenlik ve veri gizliliği .

Bu makalede özet kurallarının nasıl çalıştığı ve özet kurallarının nasıl tanımlanıp görüntülanacağı açıklanır ve özet kurallarının kullanımına ve avantajlarına ilişkin bazı örnekler sağlanır.

Özet kuralların bazı avantajlarına genel bakış sağlayan bir video aşağıdadır:

Bu özet kuralları eğitimiyle adım adım bir örneğe atlayın.

Özet kuralları nasıl çalışır?

Özet kuralları toplu işlemeyi doğrudan Log Analytics çalışma alanınızda gerçekleştirir. Özet kuralı, KQL sorgusunu temel alarak bölme boyutuna göre tanımlanan veri öbeklerini toplar ve özetlenen sonuçları Log Analytics çalışma alanınızda Analytics günlük planı ile özelleştirilmiş bir tabloya yeniden dahil eder.

Tabloda Analytics veya Temel veri planı olup olmadığına bakılmaksızın, herhangi bir tablodaki verileri toplayabilirsiniz. Azure İzleyici, tanımladığınız sorguyu temel alarak hedef tablo şemasını oluşturur. Hedef tablo zaten varsa, Azure İzleyici sorgu sonuçlarını desteklemek için gereken sütunları ekler. Tüm hedef tablolarda özet kuralı bilgilerini içeren bir dizi standart alan da vardır:

_RuleName: Toplu günlük kaydını oluşturan özetleyici kural.
_RuleLastModifiedTime: Kuralın en son ne zaman değiştirildiği.
_BinSize: Toplama aralığı.
_BinStartTime: Toplama başlangıç zamanı.

Birden çok tablodaki verileri toplamak ve toplanan verileri ayrı hedef tablolara veya aynı tabloya göndermek için en fazla 100 etkin kural yapılandırabilirsiniz.

Veri dışarı aktarma kuralı tanımlayarak özetlenmiş verileri özel bir günlük tablosundan depolama hesabına veya Event Hubs'a aktararak daha fazla tümleştirme yapabilirsiniz.

Örnek: ContainerLogsV2 verilerini özetleme

Kapsayıcıları izliyorsanız, tabloya ContainerLogsV2 büyük miktarda ayrıntılı günlük alırsınız.

Bu sorguyu özet kuralınızda kullanarak 60 dakika içinde tüm benzersiz günlük girdilerini toplayabilir ve analiz için yararlı olan verileri tutabilir ve ihtiyacınız olmayan verileri bırakabilirsiniz:

ContainerLogV2 | summarize Count = count() by  Computer, ContainerName, PodName, PodNamespace, LogSource, LogLevel, Message = tostring(LogMessage.Message)

Tabloda ham veriler aşağıdadır ContainerLogsV2 :

Özet kuralının hedef tabloya gönderdiği toplanan veriler şunlardır:

Hedef tablo, bir saat içinde yüzlerce benzer girişin günlüğe kaydedilmesi yerine, KQL sorgusunda tanımlandığı gibi her benzersiz girişin sayısını gösterir. Ham verilerin ucuza saklanması için tabloda Temel veri planınıContainerLogsV2 ayarlayın ve analiz gereksinimleriniz için hedef tablodaki özetlenmiş verileri kullanın.

Gerekli izinler

Eylem	Gerekli izinler
Özet kuralı oluşturma veya güncelleştirme	`Microsoft.Operationalinsights/workspaces/summarylogs/write` tarafından sağlanan izinleri, örneğin Log Analytics çalışma alanına yönelik
Hedef tablo oluşturma veya güncelleştirme	`Microsoft.OperationalInsights/workspaces/tables/write` tarafından sağlanan izinleri, örneğin Log Analytics çalışma alanına yönelik
Çalışma alanında sorgu işlemini etkinleştirme	örneğin `Microsoft.OperationalInsights/workspaces/query/read` tarafından sağlanan Log Analytics çalışma alanına yönelik izinleri
Çalışma alanında tüm tabloları sorgulama	örneğin `Microsoft.OperationalInsights/workspaces/query/*/read` tarafından sağlanan Log Analytics çalışma alanına yönelik izinleri
Tablodaki sorgu günlükleri	örneğin `Microsoft.OperationalInsights/workspaces/query/<table>/read` tarafından sağlanan Log Analytics çalışma alanına yönelik izinleri
Tablodaki sorgu günlükleri (tablo işlemi)	örneğin `Microsoft.OperationalInsights/workspaces/tables/query/read` tarafından sağlanan Log Analytics çalışma alanına yönelik izinleri
Müşteri tarafından yönetilen depolama hesabında şifrelenmiş sorguları kullanma	`Microsoft.Storage/storageAccounts/*`depolama hesabına yönelik izinler, örneğin Depolama Hesabı Katkıda Bulunanı yerleşik rolü tarafından sağlanmıştır

Uygulama ile ilgili hususlar

Çalışma alanında etkin kural sayısı üst sınırı 100'dür.
Özet kuralları şu anda yalnızca genel bulutta kullanılabilir.
Özet kuralı gelen verileri işler ve geçmiş zaman aralığına izin vermez. Veriler son zamanlarda yalnızca 24 saate kadar işlenebilir. Bu, 24 saatlik sürenin tamamına ayarlandığında en fazla binSize 1440 dakikaya binStartTime karşılık gelir.
Lighthouse kapsamında başka bir kiracıda sorgu kullanarak özet kuralı oluşturmak desteklenmez.
Özet kuralları hedef tablosuna çalışma alanı dönüşümü eklenmesi desteklenmez.
union * ve isfuzzy=true kullanımı Özet kuralları sorgusunda desteklenmez.

Fiyatlandırma modeli

Özet kuralları için ek maliyet yoktur. Sorguyu çalıştırdığınız kaynak tablonun tablo planına göre yalnızca sorgu için ödeme ve sonuçların hedef tabloya alımı için ödeme yapılır:

Kaynak tablo planı	Sorgu maliyeti	Özet sonuçların alınma maliyeti
Analitik	Sıfır maliyet	Analiz günlüklerinin toplanması
Temel ve Yardımcı	Veri taraması	Analiz günlüklerinin toplanması

Örneğin, saatlik bir kuralın, kova başına 100 kayıt döndüren maliyet hesaplaması şöyledir:

Kaynak tablo planı	Aylık fiyat hesaplaması
Analitik	Alma fiyatı x kayıt hacmi x kayıt sayısı x 24 saat x 30 gün.
Temel ve Yardımcı	Veri tarama fiyatı x taranan birim + Alım fiyatı x kayıt hacmi x kayıt sayısı x 24 saat x 30 gün. Sürekli çalışan kural için kaynak tabloya gelen tüm veriler taranır.

Daha fazla bilgi için bkz. Azure İzleyici pricing.

Özet kuralı oluşturma veya güncelleştirme

Sorgunuzun özet kuralında kullanabileceğiniz işleçler, sorgudaki kaynak tablonun planına bağlıdır.

Analiz: Aşağıdakiler dışında tüm KQL işleçlerini ve işlevlerini destekler:
- Kaynaklar arası sorgular, , workspaces(), ve app() ifadelerini kullanır; hizmetler arası sorgular ise resource() ve ifadelerini kullanır.
- Veri şemasını yeniden şekillendiren eklentiler: paket açma, daraltma ve özet.
Temel: Tek bir tablodaki tüm KQL işleçlerini destekler. Arama işlecini kullanarak en fazla beş Analytics tablosuna katılabilirsiniz.
İşlevler: Kullanıcı tanımlı işlevler desteklenmez. Microsoft tarafından sağlanan sistem işlevleri desteklenir.

Özet kuralları, maliyet ve sorgu deneyimleri açısından en faydalı olduğunda, kuraldaki sorgu summarize işleci içerip sonuç sayısı veya hacmi önemli ölçüde azaldığında daha belirgin hale gelir. Örneğin, kaynaktan %0,01 veya daha az sonuç hacmi hedefleniyor. Kural oluşturmadan önce Log Analytics'da deneme sorgusu yapın ve aşağıdakileri doğrulayın:

Sorgunun beklenen sonuçları ve şemayı üretip oluşturmadığını denetleyin.
Sorgu, sorgu API'sinin sınırlarına ulaşmıyor veya bu sınıra yakın değil. Sorgu sorgu sınırlarına yakınsa, bölme başına daha az veri işlemek için daha küçük bir 'bölme boyutu' kullanmayı göz önünde bulundurun. Sorguyu daha az kayıt veya daha yüksek birime sahip alanlar döndürecek şekilde de değiştirebilirsiniz.
Sonuçlardaki kayıt boyutu 1 MB'tan azdır.

Uyarı

Sorgu zaten bölme boyutu tarafından tanımlanan zaman aralığı üzerinde çalıştığından, Özet kural sorgusunda zaman filtresi kullanmayın. Bir zaman filtresi eklerseniz, bu filtre bölme boyutuyla birleştirilir ve bu da yalnızca çakışan zaman aralığının kullanılmasına neden olur.

Bir sorguyu güncelleştirdiğinizde ve özet sonuçlarında daha az alan olduğunda Azure İzleyici sütunları hedef tablodan otomatik olarak kaldırmaz ve sütunları tablonuzdan el ile delete etmeniz gerekir.

Özet kuralı oluşturmak veya güncelleştirmek için şu PUT API çağrısını yapın:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

{
  "properties": {
      "ruleType": "User",
      "description": "My test rule",
      "ruleDefinition": {
          "query": "StorageBlobLogs | summarize count() by AccountName",
          "binSize": 30,
          "destinationTable": "MySummaryLogs_CL"
      }
  }
}

Özet kuralı oluşturmak veya güncelleştirmek için şu Betiği oluşturun:

$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs/$ruleName?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

$body = @{
    properties = @{
        ruleType    = "User"
        description = "My test rule"
        ruleDefinition = @{
            query            = "StorageBlobLogs | summarize count() by AccountName"
            binSize          = 30
            destinationTable = "MySummaryLogs_CL"
        }
    }
} | ConvertTo-Json -Depth 10

Invoke-RestMethod `
    -Method Put `
    -Uri $uri `
    -Headers $headers `
    -Body $body

Özet kuralı oluşturmak veya güncelleştirmek için bu şablonu kullanın. Azure Resource Manager şablonları kullanma ve dağıtma hakkında daha fazla bilgi için bkz. Azure Resource Manager templates.

Şablon dosyası

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "String",
      "metadata": {
        "description": "The workspace name where summary rule is deployed."
      }
    },
    "summaryRuleName": {
      "type": "String",
      "metadata": {
        "description": "The summary rule name."
      }
    },
    "description": {
      "type": "String",
      "metadata": {
        "description": "A description of the rule."
      }
    },
    "location": {
      "defaultValue": "[resourceGroup().location]",
      "type": "String",
      "metadata": {
        "description": "The Location of the workspace summary rule is deployed."
      }
    },
    "ruleType": {
      "defaultValue": "User",
      "allowedValues": [
        "User"
      ],
      "type": "String",
      "metadata": {
        "description": "The summary rule type (User,System). Should be 'User' for and rule with query that you define."
      }
    },
    "query": {
      "type": "String",
      "metadata": {
      "description": "The query used in summary rules."
      }
    },
    "binSize": {
      "defaultValue": 60,
      "allowedValues": [
        20,
        30,
        60,
        120,
        180,
        360,
        720,
        1440
      ],
      "type": "Int",
      "metadata": {
        "description": "The execution interval in minutes, and the lookback time range."
      }
    },
    "destinationTable": {
      "type": "String",
      "metadata": {
        "description": "The name of the custom log table that the summary results are sent to. Name must end with '_CL'."
      }
    }
    // ----- optional -----
    // "displayName": {
    //   "type": "String",
    //   "metadata": {
    //     "description": "Optional - The summary rule display name when provided."
    //   }
    // },
    // "binDelay": {
    //   "type": "Int",
    //   "metadata": {
    //     "description": "Optional - The minimum wait time in minutes before bin execution. For example, value of '10' cause bin (01:00-02:00) to be executed after 02:10."
    //   }
    // },
    // "timeSelector": {
    //   "defaultValue": "TimeGenerated",
    //   "allowedValues": [
    //     "TimeGenerated"
    //   ],
    //   "type": "String",  
    //   "metadata": {
    //     "description": "Optional - The time field to be used by the summary rule. Must be 'TimeGenerated'."
    //   }
    // },
    // "binStartTime": {
    //   "type": "String",
    //   "metadata": {
    //     "description": "Optional - The Time of initial bin. Can start at current time minus binSize, or future, and in whole hours. For example: '2024-01-01T08:00'."
    //   }
    // }
  },
  "variables": {},
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/summaryLogs",
      "apiVersion": "2025-07-01",
      //"name": "[format('{0}/{1}', parameters('workspaceName'), parameters('summaryRuleName'))]",
      "name": "[concat(parameters('workspaceName'), '/', parameters('summaryRuleName'))]",
      "properties": {
        "ruleType": "[parameters('ruleType')]",
        "description": "[parameters('description')]",
        "ruleDefinition": {
          "query": "[parameters('query')]",
          "binSize": "[parameters('binSize')]",
          "destinationTable": "[parameters('destinationTable')]"
          // ----- optional -----
          //"binDelay": "[parameters('binDelay')]",
          //"timeSelector": "[parameters('timeSelector')]",
          //"binStartTime": "[parameters('binStartTime')]"
        }
      }
    }
  ]
}

Parametre dosyası

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "myworkspace"
    },
    "summaryRuleName": {
      "value": "myrulename"
    },
    "description": {
      "value": "My rule description"
    },
    "location": {
      "value": "eastus" //Log Analytics workspace region
    },
    "ruleType": {
      "value": "User"
    },
    "query": {
      "value": "StorageBlobLogs | summarize Count = count(), DurationMs98 = percentile(DurationMs, 90) by StatusCode, CallerIpAddress, OperationName"
    },
    "binSize": {
      "value": 20
    },
    "destinationTable": {
      "value": "MySummaryLogs_CL"
    }
  }
}

Bu tabloda özet kuralı parametreleri açıklanmaktadır:

Parametre	Geçerli değerler	Açıklama
`ruleType`	`User` veya `System`	Kuralın türünü belirtir. - `User`: Tanımladığınız kurallar. - `System`: Azure hizmetleri tarafından yönetilen önceden tanımlanmış kurallar.
`description`	Dize	Kuralı ve işlevini açıklar. Bu parametre, birkaç kuralınız olduğunda ve kural yönetimine yardımcı olabileceğinde yararlıdır.
`binSize`	`20`, `30`, `60`, , `120`, `180`, `360`, veya `7201440`(dakika)	Toplama aralığını ve geri arama zaman aralığını tanımlar. Örneğin, `"binSize": 120` ayarlarsanız, `02:00 to 04:00` ve `04:00 to 06:00` için girdiler alabilirsiniz.
`query`	Kusto Sorgu Dili (KQL) sorgusu	Kuralda yürütülecek sorguyu tanımlar. Parametre toplama aralığını belirlediğinden `binSize` bir zaman aralığı belirtmeniz gerekmez; örneğin, `02:00 to 03:00` ise `"binSize": 60`. Sorguya bir zaman filtresi eklerseniz, sorguda kullanılan zaman aralığı, filtre ile bölme boyutu arasındaki kesişimdir.
`destinationTable`	tablename_CL	Hedef özel günlük tablosunun adını belirtir. Ad değeri son ekine `_CL`sahip olmalıdır. Azure İzleyici, kuralda ayarladığınız sorguya göre, çalışma alanında tablo henüz mevcut değilse oluşturur. Tablo çalışma alanında zaten varsa, Azure İzleyici sorguda tanıtılan tüm yeni sütunları ekler. Özet sonuçlarda `TimeGenerated`, `_IsBillable`, `_ResourceId`, `TenantId` veya `Type` gibi ayrılmış bir sütun adı varsa, Azure İzleyici özgün değerlerini korumak için özgün alanlara `_Original` ön ekini ekler.
`binDelay` (isteğe bağlı)	Tamsayı (dakika)	Depolama işlemine başlanmadan önce bekleme süresi ayarlanır; bu süre, geç gelen veriler üzerinde kullanılır ve genel olarak veri alım gecikmesi olarak bilinir, böylece çoğu veri zamanında ulaşabilir. Varsayılan gecikme, değerin %10'una kadar olan üç buçuk dakikadır `binSize` . Sorguladığınız verilerin genellikle gecikmeli olarak alındığını biliyorsanız parametreyi `binDelay` bilinen gecikme değeriyle veya daha büyük bir değerle 1440 dakikaya kadar ayarlayın. Daha fazla bilgi için bkz . Toplama zamanlamasını yapılandırma. Bazı durumlarda Azure İzleyici, hizmet güvenilirliğini ve sorgu başarısını sağlamak için küme bölme gecikmesinin ardından bölme yürütmeye biraz başlayabilir.
`retryBinStartTime`	Tarih saat: `%Y-%n-%eT%H:%M %Z` biçim	Sağlanan `retryBinStartTime` ile bir bölmeyi yeniden çalıştırın. Kuralın kalan tanımları son güncelleştirmeye göre kalır. Seçilen `retryBinStartTime` değeri `RuleLastModifiedTime`'den sonra olmalı ve `binSize` bölümlerine uygun olmalıdır. Örneğin, kuralın `binSize` süresi 20 dakikaysa "2026-02-16T10:00:00Z", "2026-02-16T10:20:00Z" veya "2026-02-16T10:40:00Z" olarak ayarlayabilirsiniz `retryBinStartTime` .
`binStartTime` (isteğe bağlı)	Tarih saat: `%Y-%n-%eT%H:%M %Z` biçim	İlk bin çalıştırmasının tarih ve saatini tanımlar. Değer, kural oluşturma tarih ve saatinden `binSize` eksi olarak veya daha sonra, ancak sadece tam saatler cinsinden başlayabilir. Örneğin, tarih saat `2023-12-03T12:13Z` ve `binSize` 1.440' ise, en erken geçerli `binStartTime` değeri `2023-12-02T13:00Z` olur ve toplama, 02T13:00 ile 03T13:00 arasında günlüğe kaydedilen verileri içerir. Bu senaryoda kurallar 03T13:00 artı varsayılan veya belirtilen gecikmeyi toplamaya başlar. `binStartTime` parametresi günlük özet senaryolarında kullanışlıdır. UTC-8 saat diliminde olduğunuzu ve günlük bir kural `2023-12-03T12:13Z` oluşturduğunuzu varsayalım. Kuralın, güne 08:00 (00:00 UTC) saatinde başlamadan önce tamamlanmasını istiyorsunuz. parametresini `binStartTime` olarak `2023-12-02T22:00Z`ayarlayın. İlk toplama, yerel saatle 02T:06:00 ile 03T:06:00 arasında günlüğe kaydedilen tüm verileri içerir ve kural her gün aynı anda çalışır. Daha fazla bilgi için bkz . Toplama zamanlamasını yapılandırma. Kuralları güncelleştirdiğinizde şunları yapabilirsiniz: - Mevcut `binStartTime` değeri kullanın veya parametresini `binStartTime` kaldırın; bu durumda yürütme ilk tanıma göre devam eder. - Yeni bir `binStartTime` tarih saat değeri ayarlamak için kuralı yeni bir değerle güncelleştirin.
`displayName` (isteğe bağlı)	Dize	Azure portal deneyimlerinde kuralın görünen adını belirtir.
`timeSelector` (isteğe bağlı)	`TimeGenerated`	Azure İzleyici verileri toplamak için kullandığı zaman damgası alanını tanımlar. Örneğin, `"binSize": 120` ayarlarsanız, `TimeGenerated` ile `02:00` arasında `04:00` değere sahip girdiler alabilirsiniz.

Toplama zamanlamasını yapılandırma

Varsayılan olarak, özet kuralı sonraki tam saatten kısa bir süre sonra ilk toplamayı oluşturur.

Azure İzleyici'un eklediği kısa gecikme, veri alımı gecikme süresini veya izlenen sistemde verilerin oluşturulduğu zaman ile verilerin Azure İzleyici üzerinde analiz için kullanılabilir hale gelmesi arasındaki süreyi hesaba katar. Varsayılan olarak bu gecikme, her bir bölmeyi toplamadan önce üç buçuk dakika ile 'bölme boyutu' değerinin %10'u arasında değişir. Çoğu durumda, bu gecikme, Azure İzleyici'un her bir veri belirleme dönemi boyunca günlüğe kaydedilen verileri topluca işlemesini sağlar.

Örneğin:

14:44'te, 30 dakikalık bölme boyutuna sahip bir özet kuralı oluşturursunuz. İlk toplama 15:04'te oluşturulur ve bu da sonraki tam saat artı 4 dakika gecikmedir.
14:44'te 720 dakikalık bir bölme boyutuna sahip bir özet kuralı oluşturursunuz. İlk toplama 16:12'de oluşturulur ve bu da sonraki tam saat artı 72 dakika (720 bölme boyutunun 10%) gecikme süresidir.

İlk toplamanın zamanlamasını ve Azure İzleyici her toplamadan önce eklediği gecikmeyi değiştirmek için binStartTime ve binDelay parametrelerini kullanın.

Sonraki bölümlerde varsayılan toplama zamanlaması ve daha gelişmiş toplama zamanlaması seçenekleri örnekleri sağlanır.

Varsayılan toplama zamanlamasını kullanma

Bu örnekte özet kuralı 2023-06-07 tarihinde saat 14:44'te oluşturulur ve Azure İzleyici four minutes varsayılan gecikmesini ekler.

binSize (dakika)	İlk kural çalıştırılması	İlk toplama	İkinci toplama
1440	2023-06-07 15:04	2023-06-06 15:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-08 15:00
720	2023-06-07 15:04	2023-06-07 03:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-08 03:00
360	2023-06-07 15:04	2023-06-07 09:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 21:00
180	2023-06-07 15:04	2023-06-07 12:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 18:00
120	2023-06-07 15:04	2023-06-07 13:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 17:00
60	2023-06-07 15:04	2023-06-07 14:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 16:00
30	2023-06-07 15:04	2023-06-07 14:30 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 15:30
20	2023-06-07 15:04	2023-06-07 14:40 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 15:20

İsteğe bağlı toplama zamanlama parametrelerini ayarlama

Bu örnekte özet kuralı 2023-06-07 tarihinde saat 14:44'te oluşturulur ve kural şu gelişmiş yapılandırma ayarlarını içerir:

binStartTime: 08.06.2023 07:00
binDelay: 8 dakika

binSize (dakika)	İlk kural çalıştırılması	İlk toplama	İkinci toplama
1440	2023-06-09 07:08	2023-06-08 07:00 - 2023-06-09 07:00	2023-06-09 07:00 - 2023-06-10 07:00
720	2023-06-08 19:08	2023-06-08 07:00 - 2023-06-08 19:00	2023-06-08 19:00 - 2023-06-09 07:00
360	2023-06-08 13:08	2023-06-08 07:00 - 2023-06-08 13:00	2023-06-08 13:00 - 2023-06-08 19:00
180	2023-06-08 10:08	2023-06-08 07:00 - 2023-06-08 10:00	2023-06-08 10:00 - 2023-06-08 13:00
120	2023-06-08 09:08	2023-06-08 07:00 - 2023-06-08 09:00	2023-06-08 09:00 - 2023-06-08 11:00
60	2023-06-08 08:08	2023-06-08 07:00 - 2023-06-08 08:00	2023-06-08 08:00 - 2023-06-08 09:00
30	2023-06-08 07:38	2023-06-08 07:00 - 2023-06-08 07:30	2023-06-08 07:30 - 2023-06-08 08:00
20	2023-06-08 07:28	2023-06-08 07:00 - 2023-06-08 07:20	2023-06-08 07:20 - 2023-06-08 07:40

Özet kuralını görüntüleme

Belirli bir özet kuralının yapılandırmasını görüntülemek için bu GET API çağrısını kullanın:

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName1}?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

Belirli bir özet kuralının yapılandırmasını görüntülemek için bu betiği kullanın:

# Variables
$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName1>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs/$ruleName?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

$response = Invoke-RestMethod `
    -Method Get `
    -Uri $uri `
    -Headers $headers

$response

Tüm özet kurallarını görüntüleme

Log Analytics çalışma alanınızdaki tüm özet kurallarının yapılandırmasını görüntülemek için bu GET API çağrısını kullanın:

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

Log Analytics çalışma alanınızdaki tüm özet kurallarının yapılandırmasını görüntülemek için bu betiği kullanın:

$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName1>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

$response = Invoke-RestMethod `
    -Method Get `
    -Uri $uri `
    -Headers $headers

$response

Özet kuralını durdur

Bir kuralı belirli bir süre için durdurabilirsiniz. Örneğin, verilerin bir tabloya alındığını doğrulamak ve özetlenen tablo ile raporları etkilemek istemiyorsanız.

Kuralı durdurmak için bu POST API çağrısını kullanın:

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}/stop?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

Kuralı durdurmak için şu betiği kullanın:

$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs/$ruleName/stop?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

Invoke-RestMethod `
    -Method Post `
    -Uri $uri `
    -Headers $headers

Özet kuralı başlat

Kuralı yeniden başlattığınızda, Azure İzleyici verileri sonraki tam saat boyunca veya tanımlanan binStartTime (isteğe bağlı) parametresine göre işlemeye başlar.

Bir kural başlatmak için şu POST çağrıyı kullanın:

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}/start?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

Kural başlatmak için şu betiği kullanın:

$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs/$ruleName/start?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

Invoke-RestMethod `
    -Method Post `
    -Uri $uri `
    -Headers $headers

Özet kuralını silme

Log Analytics çalışma alanınızda en fazla 100 etkin özet kuralınız olabilir. Yeni bir kural oluşturmak istiyorsanız ancak zaten 100 etkin kuralınız varsa, etkin özet kuralını durdurmanız veya silmeniz gerekir.

Kuralı silmek için bu DELETE API çağrısını kullanın:

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

Bir kuralı silmek için bu betiği kullanın:

$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs/$ruleName?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

Invoke-RestMethod `
    -Method Delete `
    -Uri $uri `
    -Headers $headers

Yeniden deneme kutusu

Özet kuralları ölçeklenebilirlik için tasarlanmıştır ve sorgu sınırlarına bağlı geçici hizmet veya sorgu hatalarının üstesinden gelmek için bir tekrar deneme mekanizması içerir. Hizmetin yeniden deneme hakkı tükendiğinde ve başarısız olduğunda, konteynerler yeniden denenebilir.

Belirli bir bölmeyi yeniden denemek için bu PUT API çağrısını kullanın:

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: {credential}
Content-Type: application/json

{
  "properties": {
    "retryBinStartTime": "2026-02-16T10:00:00Z"
  }
}

Bir kutuyu yeniden denemek için bu komut dosyasını kullanın.

# Variables
$subscriptionId = "<subscriptionId>"
$resourceGroup  = "<resourcegroup>"
$workspace      = "<workspace>"
$ruleName       = "<ruleName>"
$binStartTime   = "<YYYY-MM-DDTHH:mm:ssZ>"

$uri = "https://management.azure.com/subscriptions/$subscriptionId/resourceGroups/$resourceGroup/providers/Microsoft.OperationalInsights/workspaces/$workspace/summarylogs/$ruleName?api-version=2025-07-01"

$token = (Get-AzAccessToken -ResourceUrl "https://management.azure.com/").Token

$headers = @{
    "Authorization" = "Bearer $token"
    "Content-Type"  = "application/json"
}

$body = @{
    properties = @{
        retryBinStartTime = $binStartTime 
    }
} | ConvertTo-Json -Depth 5

Invoke-RestMethod `
    -Method Put `
    -Uri $uri `
    -Headers $headers `
    -Body $body

Bir bölmeyi yeniden denemek için bu şablonu ve parametreleri kullanın:

Şablon dosyası

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "string"
    },
    "ruleName": {
      "type": "string"
    },
    "retryBinStartTime": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/summarylogs",
      "apiVersion": "2025-07-01",
      "name": "[format('{0}/{1}', parameters('workspaceName'), parameters('ruleName'))]",
      "properties": {
        "retryBinStartTime": "[parameters('retryBinStartTime')]"
      }
    }
  ]
}

Parametre dosyası

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "my-law-workspace"
    },
    "ruleName": {
      "value": "my-summary-rule"
    },
    "retryBinStartTime": {
      "value": "<YYYY-MM-DDTHH:mm:ssZ>"
    }
  }
}

Özet kurallarını izleme

Özet kurallarını izlemek için Log Analytics çalışma alanınızın diagnostic settings bölümünde Summary Logs kategorisini etkinleştirin. Azure İzleyici, çalışma alanınızdaki LASummaryLogs tablosuna özet kural çalıştırma Başlangıç, Başarılı ve Başarısız bilgileri de dahil olmak üzere özet kural yürütme ayrıntılarını gönderir.

Depolama kutusu hatalarıyla ilgili bildirim almak veya işlem süresi zaman aşımına yaklaştığında, aşağıda gösterildiği gibi günlük uyarı kuralları ayarlamanızı öneririz. Hatanın nedenine bağlı olarak, her yürütmede daha az veri işlemek için bölme boyutunu küçültebilir veya sorguyu daha az kayıt veya daha yüksek birime sahip alanlar döndürecek şekilde değiştirebilirsiniz.

Bu sorgu başarısız çalışmaların listesini döndürür.

LASummaryLogs | where Status == "Failed"

Bu sorgu, QueryDurationMs değerinin 0,9 ile çarpılan 600,000 milisaniyeden büyük olduğu çalıştırma işlemlerini döndürür.

LASummaryLogs | where QueryDurationMs > 0.9 * 600000

Veri eksiksizliğini doğrulama

Özet kuralları ölçek için tasarlanmıştır ve örneğin sorgu sınırlarıyla ilgili geçici hizmet veya sorgu hatalarının üstesinden gelmek için bir yeniden deneme mekanizması içerir. Yeniden deneme mekanizması, sekiz saat içinde başarısız bir bölmeyi toplamaya 10 deneme yapar ve tükenirse bir bölmeyi atlar. Kural isActive: false olarak ayarlanır ve ardışık sekiz kutu yeniden denemesinin ardından kuralı beklemeye alır.

monitor özet kurallarını etkinleştirirseniz Azure İzleyici çalışma alanınızdaki LASummaryLogs tablosundaki bir olayı günlüğe kaydeder ve başarısız çalıştırmaları görüntülemenize ve retry bin operation kullanarak bunları yeniden denemenize olanak tanır:

let startTime = datetime("2024-02-16");
let endtTime = datetime("2024-03-03");
let ruleName = "myRuleName";
let stepSize = 20m; // The stepSize value is equal to the bin size defined in the rule
LASummaryLogs
| where RuleName == ruleName
| where Status == 'Succeeded'
| make-series dcount(BinStartTime) default=0 on BinStartTime from startTime to endtTime step stepSize
| render timechart

Bu sorgu sonuçları zaman çizelgesi olarak işler:

Kural düzeltme seçenekleri ve proaktif uyarılar için İzleme özeti kuralları bölümüne bakın.

Müşteri tarafından yönetilen anahtarları kullanarak özet kural sorgularını şifreleme

KQL sorgusu, açıklamalarda veya sorgu söz diziminde hassas bilgiler içerebilir. Özet kural sorgularını şifrelemek için depolama hesabını Log Analytics çalışma alanınıza bağlayıp müşteri tarafından yönetilen anahtarları kullanın.

Şifrelenmiş sorgularla çalışırken dikkat edilmesi gerekenler:

Sorgularınızı şifrelemek için bir depolama hesabı bağlamak, mevcut kuralları kesintiye uğratmaz.
Varsayılan olarak, Azure İzleyici özet kural sorgularını Log Analytics depolama alanında depolar. Bir depolama hesabını Log Analytics çalışma alanınıza bağlamadan önce mevcut özet kurallarınız varsa, bu kuralları mevcut sorguları depolama hesabına kaydedecek şekilde güncelleyin.
Depolama hesabına kaydettiğiniz sorgular tabloda bulunur CustomerConfigurationStoreTable . Bu sorgular hizmet yapıtları olarak kabul edilir ve biçimleri değişebilir.
Aynı depolama hesabını özet kural sorguları, Log Analytics'te kayıtlı sorgular ve log uyarıları için kullanabilirsiniz.

Özet kurallarla ilgili sorunları giderme

Bu bölümde özet kurallarıyla ilgili sorunları gidermeye yönelik ipuçları sağlanır.

Özet kuralı hedef tablosu yanlışlıkla silindi

Özet kuralı etkinken hedef tabloyu silerseniz, kural askıya alınır ve Azure İzleyici kuralın askıya alındığını belirten bir iletiyle LASummaryLogs tablosuna bir olay gönderir.

Hedef tabloda özet sonuçlarına ihtiyacınız yoksa kuralı ve tabloyu silin. Özet sonuçlarını kurtarmanız gerekiyorsa, tabloyu yeniden oluşturmak için Özet kuralları oluşturma veya güncelleştirme bölümündeki adımları izleyin. Hedef tablo, tablodaki bekletme ilkesine bağlı olarak, silme işleminden önce alınan veriler de dahil olmak üzere geri yüklenir.

Hedef tabloda özet sonuçlarına ihtiyacınız yoksa kuralı ve tabloyu silin. Özet sonuçlarına ihtiyacınız varsa, hedef tabloyu yeniden oluşturmak ve tablodaki bekletme ilkesine bağlı olarak silme işleminden önce alınan veriler de dahil olmak üzere tüm verileri geri yüklemek için Özet kuralları oluşturma veya güncelleştirme bölümündeki adımları izleyin.

Sorgu, hedef tabloda yeni sütunlar oluşturan işleçleri kullanır

Hedef tablo şeması, bir özet kuralı oluşturduğunuzda veya güncelleştirdiğinizde tanımlanır. Özet kuralındaki sorgu, gelen verileri temel alan çıktı şeması genişletmesine izin veren işleçler içeriyorsa ( örneğin, sorgu arg_max(expression, *) işlevini kullanıyorsa - özet kuralını oluşturduktan veya güncelleştirdikten sonra Azure İzleyici hedef tabloya yeni sütunlar eklemez ve bu sütunları gerektiren çıkış verileri bırakılır. Yeni alanları hedef tabloya eklemek için özet kuralını güncelleştirin veya tablonuza el ile bir sütun ekleyin.

Kaldırılan sütunlardaki veriler, tablonun bekletme ayarlarına göre çalışma alanında kalır

Sorgudaki bir alanı kaldırdığınızda, sütunlar ve veriler tabloda veya çalışma alanında tanımlanan bekletme süresine göre hedefte kalır. Hedef tabloda kaldırılmış sütunlara ihtiyacınız yoksa, tablo şemasındaki sütunları silin. Aynı ada sahip sütunlar eklerseniz, saklama süresinden daha eski olmayan tüm veriler yeniden görüntülenir.

Azure İzleyici Günlükleri için veri planları hakkında daha fazla bilgi edinin.
Bir Log Analytics eğitimi takip edin.
KQL için tam başvuru belgelerine erişin.

Geri Bildirim

Bu sayfayı yararlı buldunuz mu?

Last updated on 2026-04-27