你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Azure Monitor 日志中查询基本和辅助表中的数据

基本和辅助日志表降低了引入大量详细日志的成本，并允许查询这些表存储的数据，只是存在一些限制。 本文介绍如何查询基本和辅助日志表中的数据。

有关基本和辅助表计划的详细信息，请参阅 Azure Monitor 日志概述：表计划。

注意

其他使用 Azure API 进行查询的工具（例如，Grafana 和 Power BI）无法访问基本和辅助表中的数据。

所需的权限

你必须对查询的 Log Analytics 工作区具有 Microsoft.OperationalInsights/workspaces/query/*/read 权限，例如，Log Analytics 读者内置角色所提供的权限。

限制

查询基本和辅助表中的数据时存在以下限制：

Kusto 查询语言 (KQL) 语言限制

支持使用所有 KQL 标量和聚合函数查询基本或辅助表中的数据。 但是，仅限对单个表进行基本或辅助表查询。 因此存在以下限制：

• 用于联接多个表中的数据的运算符受到限制：
  • 不支持 join、find、search 和 externaldata。
  • 支持 lookup 和 union，但最多只能对五个分析表使用。
• 不支持用户定义的函数。
• 不支持跨服务和跨资源查询。

时间范围

在 Log Analytics 中的查询标头中或在 API 调用中指定时间范围。 不能使用 where 语句在查询主体中指定时间范围。

查询范围

将 Log Analytics 工作区设置为查询范围。 不能使用范围的其他资源来运行查询。 有关查询范围的详细信息，请参阅 Azure Monitor Log Analytics 中的日志查询范围和时间范围。

并发查询

可以为每个用户运行两个并发查询。

辅助日志查询性能

辅助表中数据的查询未经过优化，返回结果所需的时间可能比针对分析表和基本表运行的查询更长。

清除

无法从基本和辅助表中清除个人数据。

对基本或辅助表运行查询

可以像查询 Log Analytics 中的任何其他表一样对基本或辅助表运行查询。 如果你不熟悉此过程，请参阅 Azure Monitor Log Analytics 入门。

Portal

在 Azure 门户中，选择“监视”>“日志”>“表”。

在表列表中，可以根据独特的图标识别基本和辅助表：

还可以将鼠标悬停在表名称上以查看表信息视图，其中指定了该表采用基本或辅助表计划：

当你将表添加到查询时，Log Analytics 会识别基本或辅助表，并相应地调整创作体验。

API

使用 Log Analytics API 中的 /search，通过 REST API 查询基本或辅助表中的数据。 这类似于 /query API，但有以下差异：

• 查询需要遵守 KQL 语言限制中所述的语言限制。
• 必须在请求的标头中指定时间跨度，而不是在查询语句中指定。

示例请求

https://api.loganalytics.io/v1/workspaces/{workspaceId}/search?timespan=P1D

请求正文

{
    "query": "ContainerLogV2 | where Computer ==  \"some value\"\n",
}

定价模型

基本和辅助表的查询费用是根据查询扫描的数据量计算的，这取决于表大小和查询的时间范围。 例如，某个查询在每天引入 100GB 的表中扫描 3 天的数据，就会被收取 300GB 的费用。

有关详细信息，请参阅 Azure Monitor 定价。

后续步骤

• 详细了解 Azure Monitor 日志表计划。