你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站,请访问 https://docs.azure.cn

在 Azure CLI 中管理 Azure Monitor 日志

使用本文所述的 Azure CLI 命令来管理 Azure Monitor 中的 Log Analytics 工作区。

重要

旧版 Log Analytics 代理将于 2024 年 8 月弃用。 请在 2024 年 8 月之前迁移到 Azure Monitor 代理,这样才能继续引入数据。

先决条件

可以使用 Azure Cloud Shell 或本地 Azure CLI。

为 Monitor 日志创建工作区

运行 az group create 命令创建资源组或使用现有资源组。 若要创建工作区,请使用 az monitor log-analytics workspace create 命令。

az group create --name ContosoRG --location eastus2
az monitor log-analytics workspace create --resource-group ContosoRG \
   --workspace-name ContosoWorkspace

有关工作区的详细信息,请参阅 Azure Monitor 日志概述

列出工作区中的表

每个工作区都包含表,这些表包含具有多行数据的列。 每个表都由数据源提供的一组唯一数据列定义。

若要查看工作区中的表,请使用 az monitor log-analytics workspace table list 命令:

az monitor log-analytics workspace table list --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --output table

输出值 table 以更易读的格式呈现结果。 有关详细信息,请参阅输出格式设置

若要更改表的保留时间,请运行 az monitor log-analytics workspace table update 命令:

az monitor log-analytics workspace table update --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name Syslog --retention-time 45

保留时间在 30 到 730 天之间。

有关表的详细信息,请参阅数据结构

删除表

可以删除自定义日志搜索结果还原的日志表。

若要删除表,请运行 az monitor log-analytics workspace table delete 命令:

az monitor log-analytics workspace table delete –subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name MySearchTable_SRCH

从所选表导出数据

可以将所选表中的数据持续导出到 Azure 存储帐户或 Azure 事件中心。 请使用 az monitor log-analytics workspace data-export create 命令:

az monitor log-analytics workspace data-export create --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name DataExport --table Syslog \
   --destination /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/ContosoRG/providers/Microsoft.Storage/storageAccounts/exportaccount \
   --enable

若要查看数据导出,请运行 az monitor log-analytics workspace data-export list 命令。

az monitor log-analytics workspace data-export list --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --output table

若要删除数据导出,请运行 az monitor log-analytics workspace data-export delete 命令。 --yes 参数将跳过确认。

az monitor log-analytics workspace data-export delete --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name DataExport --yes

有关数据导出的详细信息,请参阅 Azure Monitor 中的 Log Analytics 工作区数据导出

管理链接服务

链接服务定义从工作区到另一个 Azure 资源的关系。 Azure Monitor 日志和 Azure 资源将在其操作中使用此关联。 链接服务的使用示例,包括自动化帐户以及工作区与客户管理的密钥的关联。

若要创建链接服务,请运行 az monitor log-analytics workspace linked-service create 命令:

az monitor log-analytics workspace linked-service create --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name linkedautomation \
   --resource-id /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/ContosoRG/providers/Microsoft.Web/sites/ContosoWebApp09

az monitor log-analytics workspace linked-service list --resource-group ContosoRG \
   --workspace-name ContosoWorkspace

若要删除链接服务关系,请运行 az monitor log-analytics workspace linked-service delete 命令:

az monitor log-analytics workspace linked-service delete --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name linkedautomation

有关详细信息,请参阅 az monitor log-analytics workspace linked-service

管理链接存储

如果你为 Log Analytics 提供并管理自己的存储帐户,可以使用以下 Azure CLI 命令进行管理。

若要将工作区链接到存储帐户,请运行 az monitor log-analytics workspace linked-storage create 命令:

az monitor log-analytics workspace linked-storage create --resource-group ContosoRG \
   --workspace-name ContosoWorkspace \
   --storage-accounts /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/ContosoRG/providers/Microsoft.Storage/storageAccounts/contosostorage \
   --type Alerts

az monitor log-analytics workspace linked-storage list --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --output table

若要删除指向存储帐户的链接,请运行 az monitor log-analytics workspace linked-storage delete 命令:

az monitor log-analytics workspace linked-storage delete --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --type Alerts

有关详细信息,请参阅在 Azure Monitor Log Analytics 中使用客户管理的存储帐户

管理智能包

若要查看可用的智能包,请运行 az monitor log-analytics workspace pack list 命令。 该命令还会指出该包是否已启用。

az monitor log-analytics workspace pack list --resource-group ContosoRG \
   --workspace-name ContosoWorkspace

使用 az monitor log-analytics workspace pack enableaz monitor log-analytics workspace pack disable 命令:

az monitor log-analytics workspace pack enable --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name NetFlow

az monitor log-analytics workspace pack disable --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name NetFlow

管理保存的搜索

若要创建保存的搜索,请运行 az monitor log-analytics workspace saved-search 命令:

az monitor log-analytics workspace saved-search create --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name SavedSearch01 \
   --category "Log Management" --display-name SavedSearch01 \
   --saved-query "AzureActivity | summarize count() by bin(TimeGenerated, 1h)" --fa Function01 --fp "a:string = value"

使用 az monitor log-analytics workspace saved-search show 命令可查看保存的搜索。 使用 az monitor log-analytics workspace saved-search list 可查看所有保存的搜索。

az monitor log-analytics workspace saved-search show --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name SavedSearch01
az monitor log-analytics workspace saved-search list --resource-group ContosoRG \
   --workspace-name ContosoWorkspace

若要删除保存的搜索,请运行 az monitor log-analytics workspace saved-search delete 命令:

az monitor log-analytics workspace saved-search delete --resource-group ContosoRG \
   --workspace-name ContosoWorkspace --name SavedSearch01 --yes

清理部署

如果创建了一个资源组来测试这些命令,则可以使用 az group delete 命令删除该资源组及其所有内容:

az group delete --name ContosoRG

若要从现有资源组中删除新工作区,请运行 az monitor log-analytics workspace delete 命令:

az monitor log-analytics workspace delete --resource-group ContosoRG 
   --workspace-name ContosoWorkspace --yes

Log Analytics 工作区有一个软删除选项。 你可以在删除后的两周内恢复已删除的工作区。 运行 az monitor log-analytics workspace recover 命令:

az monitor log-analytics workspace recover --resource-group ContosoRG 
   --workspace-name ContosoWorkspace

在 delete 命令中,添加 --force 参数可立即删除工作区。

本文中使用的 Azure CLI 命令

后续步骤

Azure Monitor 中的 Log Analytics 概述