Aggregera data på en Log Analytics-arbetsyta med hjälp av sammanfattningsregler (förhandsversion)
Med en sammanfattningsregel kan du aggregera loggdata med jämna mellanrum och skicka de aggregerade resultaten till en anpassad loggtabell på Log Analytics-arbetsytan. Använd sammanfattningsregler för att optimera dina data för:
Analys och rapporter, särskilt över stora datamängder och tidsintervall, som krävs för säkerhets- och incidentanalys, månad för månad eller årliga affärsrapporter och så vidare. Komplexa frågor på en stor datauppsättning överskrider ofta tidsgränsen. Det är enklare och effektivare att analysera och rapportera om rensade och aggregerade sammanfattade data.
Kostnadsbesparingar för utförliga loggar, som du kan behålla för så lite eller så länge du behöver i en billig Basic-loggtabell, och skicka sammanfattade data till en Analystabell för analys och rapporter.
Säkerhet och datasekretess genom att ta bort eller dölja sekretessinformation i sammanfattade delningsbara data och begränsa åtkomsten till tabeller med rådata.
Den här artikeln beskriver hur sammanfattningsregler fungerar och hur du definierar och visar sammanfattningsregler och innehåller några exempel på användning och fördelar med sammanfattningsregler.
Här är en video som ger en översikt över några av fördelarna med sammanfattningsregler:
Så här fungerar sammanfattningsregler
Sammanfattningsregler utför batchbearbetning direkt på Log Analytics-arbetsytan. Sammanfattningsregeln aggregerar datasegment, definierade efter bin-storlek, baserat på en KQL-fråga, och matar in de sammanfattade resultaten i en anpassad tabell med en Analysloggplan på Din Log Analytics-arbetsyta.
Du kan aggregera data från valfri tabell, oavsett om tabellen har en Analys- eller Basic-dataplan. Azure Monitor skapar måltabellschemat baserat på den fråga du definierar. Om måltabellen redan finns lägger Azure Monitor till de kolumner som krävs för att stödja frågeresultatet. Alla måltabeller innehåller också en uppsättning standardfält med sammanfattningsregelinformation, inklusive:
_RuleName: Sammanfattningsregeln som genererade den aggregerade loggposten._RuleLastModifiedTime: När regeln senast ändrades._BinSize: Aggregeringsintervallet._BinStartTime: Aggregeringsstarttiden.
Du kan konfigurera upp till 30 aktiva regler för att aggregera data från flera tabeller och skicka aggregerade data till separata måltabeller eller samma tabell.
Du kan exportera sammanfattade data från en anpassad loggtabell till ett lagringskonto eller Event Hubs för ytterligare integreringar genom att definiera en dataexportregel.
Exempel: Sammanfatta ContainerLogsV2-data
Om du övervakar containrar matar du in en stor mängd utförliga loggar i ContainerLogsV2 tabellen.
Du kan använda den här frågan i sammanfattningsregeln för att aggregera alla unika loggposter inom 60 minuter, vilket behåller de data som är användbara för analys och tar bort data som du inte behöver:
ContainerLogV2 | summarize Count = count() by Computer, ContainerName, PodName, PodNamespace, LogSource, LogLevel, Message = tostring(LogMessage.Message)
Här är rådata i ContainerLogsV2 tabellen:
Här är de aggregerade data som sammanfattningsregeln skickar till måltabellen:
I stället för att logga hundratals liknande poster inom en timme visar måltabellen antalet unika poster enligt definitionen i KQL-frågan. Ange basic-dataplanen i ContainerLogsV2 tabellen för billig kvarhållning av rådata och använd sammanfattade data i måltabellen för dina analysbehov.
Behörigheter som krävs
| Åtgärd | Behörigheter som krävs |
|---|---|
| Skapa eller uppdatera sammanfattningsregel | Microsoft.Operationalinsights/workspaces/summarylogs/write behörigheter till Log Analytics-arbetsytan enligt den inbyggda rollen Log Analytics-deltagare, till exempel |
| Skapa eller uppdatera måltabellen | Microsoft.OperationalInsights/workspaces/tables/write behörigheter till Log Analytics-arbetsytan enligt den inbyggda rollen Log Analytics-deltagare, till exempel |
| Aktivera frågeåtgärd på arbetsytan | Microsoft.OperationalInsights/workspaces/query/read behörigheter till Log Analytics-arbetsytan, enligt den inbyggda rollen Log Analytics Reader, till exempel |
| Fråga alla tabeller på arbetsytan | Microsoft.OperationalInsights/workspaces/query/*/read behörigheter till Log Analytics-arbetsytan, enligt den inbyggda rollen Log Analytics Reader, till exempel |
| Frågeloggar i en tabell | Microsoft.OperationalInsights/workspaces/query/<table>/read behörigheter till Log Analytics-arbetsytan, enligt den inbyggda rollen Log Analytics Reader, till exempel |
| Frågeloggar i en tabell (tabellåtgärd) | Microsoft.OperationalInsights/workspaces/tables/query/read behörigheter till Log Analytics-arbetsytan, enligt den inbyggda rollen Log Analytics Reader, till exempel |
| Använda frågor som krypterats i ett kundhanterat lagringskonto | Microsoft.Storage/storageAccounts/* behörigheter till lagringskontot, enligt den inbyggda rollen Storage Account Contributor, till exempel |
Villkor och begränsningar
- Maximalt antal aktiva regler på en arbetsyta är 30.
- Sammanfattningsregler är för närvarande endast tillgängliga i det offentliga molnet.
- Sammanfattningsregeln bearbetar inkommande data och kan inte konfigureras i ett historiskt tidsintervall.
- När återförsöken för bin-körningen är slut hoppas lagerplatsen över och kan inte köras igen.
- Det går inte att köra frågor mot en Log Analytics-arbetsyta i en annan klientorganisation med hjälp av Lighthouse.
Prismodell
Det finns ingen extra kostnad för sammanfattningsregler. Du betalar bara för frågan och inmatningen av resultat till måltabellen, baserat på tabellplanen för källtabellen som du kör frågan på:
| Källtabellplan | Fråga efter kostnad | Sammanfattning resulterar i inmatningskostnad |
|---|---|---|
| Analys | Ingen kostnad | Inmatning av analysloggar |
| Grundläggande och extra | Datagenomsökning | Inmatning av analysloggar |
Kostnadsberäkningen för en timregel som returnerar 100 poster per lagerplats är till exempel:
| Källtabellplan | Månadsprisberäkning |
|---|---|
| Analys | Inmatningspris x postvolym x antal poster x 24 timmar x 30 dagar. |
| Grundläggande och extra | Datagenomsökningspris x skannad volym + Inmatningspris x postvolym x antal poster x 24 timmar x 30 dagar. För löpande körning av regeln genomsöks alla inkommande data till källtabellen. |
Mer information finns i Prissättning för Azure Monitor.
Skapa eller uppdatera en sammanfattningsregel
Vilka frågekommandon som kan användas beror på planen för källtabellen som används i frågan.
- Analys: Stöder alla KQL-kommandon, förutom:
- Frågor mellan resurser, med hjälp av
workspaces(),app(), ochresource()uttryck och frågor mellan tjänster, med hjälp av uttryckenADX()ochARG(). - Plugin-program som omformar dataschemat, inklusive packa upp påsen, smal och pivotera.
- Frågor mellan resurser, med hjälp av
- Grundläggande: Stöder alla KQL-kommandon i en enda tabell. Du kan ansluta upp till fem Analytics-tabeller med hjälp av uppslagsoperatorn .
- Funktioner: Användardefinierade funktioner stöds inte. Systemfunktioner som tillhandahålls av Microsoft stöds.
Sammanfattningsregler är mest fördelaktiga när det gäller kostnads- och frågeupplevelser när resultatantalet eller volymen minskas avsevärt. Du kan till exempel sikta på resultatvolym 0,01 % eller mindre än källan. Innan du skapar en regel ska du experimentera med frågan i Log Analytics och kontrollera att frågan inte når eller ligger nära fråge-API:ets gränser. Kontrollera att frågan genererar de förväntade resultaten och schemat. Om frågan ligger nära frågegränserna kan du överväga att använda en mindre bin-storlek för att bearbeta mindre data per lagerplats. Du kan också ändra frågan för att returnera färre poster eller fält med högre volym.
När du uppdaterar en fråga och det finns färre fält i sammanfattningsresultat tar Azure Monitor inte automatiskt bort kolumnerna från måltabellen och du behöver ta bort kolumner från tabellen manuellt.
Om du vill skapa eller uppdatera en sammanfattningsregel gör du det här PUT API-anropet:
PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}?api-version=2023-01-01-preview
Authorization: {credential}
{
"properties": {
"ruleType": "User",
"description": "My test rule",
"ruleDefinition": {
"query": "StorageBlobLogs | summarize count() by AccountName",
"binSize": 30,
"destinationTable": "MySummaryLogs_CL"
}
}
}
I den här tabellen beskrivs parametrarna för sammanfattningsregeln:
| Parameter | Giltiga värden | beskrivning |
|---|---|---|
ruleType |
User eller System |
Anger typen av regel. - User: Regler som du definierar. - System: Fördefinierade regler som hanteras av Azure-tjänster. |
description |
String | Beskriver regeln och dess funktion. Den här parametern är användbar när du har flera regler och kan hjälpa dig med regelhantering. |
binSize |
20, 30, 60, 120, 180, 360, 720eller 1440 (minuter) |
Definierar aggregeringsintervallet och lookback-tidsintervallet. Om du till exempel anger "binSize": 120kan du få poster för 02:00 to 04:00 och 04:00 to 06:00. |
query |
KQL-fråga (Kusto-frågespråk) | Definierar frågan som ska köras i regeln. Du behöver inte ange ett tidsintervall eftersom parametern binSize bestämmer aggregeringsintervallet , till exempel 02:00 to 03:00 om "binSize": 60. Om du lägger till ett tidsfilter i frågan är tidsraset som används i frågan skärningspunkten mellan filtret och bin-storleken. |
destinationTable |
tablename_CL |
Anger namnet på den anpassade målloggtabellen. Namnvärdet måste ha suffixet _CL. Azure Monitor skapar tabellen på arbetsytan, om den inte redan finns, baserat på den fråga som du angav i regeln. Om tabellen redan finns på arbetsytan lägger Azure Monitor till nya kolumner som introduceras i frågan. Om sammanfattningsresultatet innehåller ett reserverat kolumnnamn , till exempel TimeGenerated, _IsBillable, _ResourceId, TenantIdeller Type - lägger Azure Monitor till prefixet _Original i de ursprungliga fälten för att bevara sina ursprungliga värden. |
binDelay (valfritt) |
Heltal (minuter) | Anger en tid att vänta innan bin-körningen, vanligtvis användbar när den körs på för sent ankommande data, även kallat svarstid för inmatning, och gör att de flesta data kan tas emot. Standardfördröjningen är från tre och en halv minut till 10 % av binSize värdet. Om du vet att de data du frågar vanligtvis matas in med fördröjning anger du parametern binDelay med det kända fördröjningsvärdet eller större, upp till 1 440 minuter. Mer information finns i Konfigurera aggregeringstidpunkten.I vissa fall kan Azure Monitor påbörja bin-körningen något efter fördröjningen av den inställda lagerplatsen för att säkerställa tjänstens tillförlitlighet och frågeframgång. |
binStartTime (valfritt) |
Datetime i%Y-%n-%eT%H:%M %Z format |
Anger datum och tid för den första bin-körningen. Värdet kan börja vid datumtid för regelskapande minus binSize värdet, eller senare och i hela timmar. Om datetime till exempel är 2023-12-03T12:13Z och binSize är 1 440 är 2023-12-02T13:00Zdet tidigaste giltiga binStartTime värdet , och aggregeringen innehåller data som loggats mellan 02T13:00 och 03T13:00. I det här scenariot börjar reglerna aggregera en 03T13:00 plus standard eller angiven fördröjning. Parametern binStartTime är användbar i dagliga sammanfattningsscenarier. Anta att du är i tidszonen UTC-8 och skapar en daglig regel på 2023-12-03T12:13Z. Du vill att regeln ska slutföras innan du börjar dagen kl. 8:00 (00:00 UTC). Ange parametern binStartTime till 2023-12-02T22:00Z. Den första aggregeringen innehåller alla data som loggas mellan 02T:06:00 och 03T:06:00 lokal tid och regeln körs samtidigt varje dag. Mer information finns i Konfigurera aggregeringstidpunkten.När du uppdaterar regler kan du antingen: – Använd det befintliga binStartTime värdet eller ta bort parametern binStartTime , i vilket fall körningen fortsätter baserat på den ursprungliga definitionen.– Uppdatera regeln med ett nytt binStartTime värde för att ange ett nytt datetime-värde. |
timeSelector (valfritt) |
TimeGenerated |
Definierar tidsstämpelfältet som Azure Monitor använder för att aggregera data. Om du till exempel anger "binSize": 120kan du få poster med ett TimeGenerated värde mellan 02:00 och 04:00. |
Konfigurera aggregeringstidpunkten
Sammanfattningsregeln skapar som standard den första aggregeringen strax efter nästa hela timme.
Den korta fördröjningen i Azure Monitor lägger till konton för svarstid för inmatning – eller tiden mellan när data skapas i det övervakade systemet och den tid då de blir tillgängliga för analys i Azure Monitor. Som standard är den här fördröjningen mellan tre och en halv minut till 10 % av värdet för "lagerplatsstorlek" innan varje lagerplats aggregeras. I de flesta fall säkerställer den här fördröjningen att Azure Monitor aggregerar alla data som loggas inom varje lagerplatsperiod.
Till exempel:
Du skapar en sammanfattningsregel med en intervallstorlek på 30 minuter kl. 14:44.
Regeln skapar den första aggregeringen strax efter 15:00 – till exempel kl. 15:04 – för data som loggas mellan 14:30 och 15:00.
Du skapar en sammanfattningsregel med en intervallstorlek på 720 minuter (12 timmar) kl. 14:44.
Regeln skapar den första aggregeringen kl. 16:12–72 minuter (10 % av 720-intervallstorleken) efter 13:00 – för data som loggats mellan 03:00 och 15:00.
Använd parametrarna binStartTime och binDelay för att ändra tidpunkten för den första aggregeringen och fördröjningen som Azure Monitor lägger till före varje aggregering.
Nästa avsnitt innehåller exempel på standardaggregeringstidpunkten och de mer avancerade alternativen för aggregeringstid.
Använd standardtidsinställningen för sammansättning
I det här exemplet skapas sammanfattningsregeln 2023-06-07 kl. 14:44, och Azure Monitor lägger till en standardfördröjning på fyra minuter.
| binSize (minuter) | Inledande regelkörning | Första aggregering | Andra aggregering |
|---|---|---|---|
| 1440 | 2023-06-07 15:04 | 2023-06-06 15:00 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-08 15:00 |
| 720 | 2023-06-07 15:04 | 2023-06-07 03:00 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-08 03:00 |
| 360 | 2023-06-07 15:04 | 2023-06-07 09:00 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-07 21:00 |
| 180 | 2023-06-07 15:04 | 2023-06-07 12:00 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-07 18:00 |
| 120 | 2023-06-07 15:04 | 2023-06-07 13:00 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-07 17:00 |
| 60 | 2023-06-07 15:04 | 2023-06-07 14:00 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-07 16:00 |
| 30 | 2023-06-07 15:04 | 2023-06-07 14:30 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-07 15:30 |
| 20 | 2023-06-07 15:04 | 2023-06-07 14:40 - 2023-06-07 15:00 | 2023-06-07 15:00 - 2023-06-07 15:20 |
Ange valfria parametrar för aggregeringstid
I det här exemplet skapas sammanfattningsregeln 2023-06-07 kl. 14:44, och regeln innehåller följande avancerade konfigurationsinställningar:
binStartTime: 2023-06-08 07:00binDelay: 8 minuter
| binSize (minuter) | Inledande regelkörning | Första aggregering | Andra aggregering |
|---|---|---|---|
| 1440 | 2023-06-09 07:08 | 2023-06-08 07:00 - 2023-06-09 07:00 | 2023-06-09 07:00 - 2023-06-10 07:00 |
| 720 | 2023-06-08 19:08 | 2023-06-08 07:00 - 2023-06-08 19:00 | 2023-06-08 19:00 - 2023-06-09 07:00 |
| 360 | 2023-06-08 13:08 | 2023-06-08 07:00 - 2023-06-08 13:00 | 2023-06-08 13:00 - 2023-06-08 19:00 |
| 180 | 2023-06-08 10:08 | 2023-06-08 07:00 - 2023-06-08 10:00 | 2023-06-08 10:00 - 2023-06-08 13:00 |
| 120 | 2023-06-08 09:08 | 2023-06-08 07:00 - 2023-06-08 09:00 | 2023-06-08 09:00 - 2023-06-08 11:00 |
| 60 | 2023-06-08 08:08 | 2023-06-08 07:00 - 2023-06-08 08:00 | 2023-06-08 08:00 - 2023-06-08 09:00 |
| 30 | 2023-06-08 07:38 | 2023-06-08 07:00 - 2023-06-08 07:30 | 2023-06-08 07:30 - 2023-06-08 08:00 |
| 20 | 2023-06-08 07:28 | 2023-06-08 07:00 - 2023-06-08 07:20 | 2023-06-08 07:20 - 2023-06-08 07:40 |
Visa sammanfattningsregler
Använd det här GET API-anropet för att visa konfigurationen för en specifik sammanfattningsregel:
GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName1}?api-version=2023-01-01-preview
Authorization: {credential}
Använd det här GET API-anropet för att visa konfigurationen för att visa konfigurationen av alla sammanfattningsregler på Log Analytics-arbetsytan:
GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs?api-version=2023-01-01-preview
Authorization: {credential}
Stoppa och starta om en sammanfattningsregel
Du kan stoppa en regel under en viss tid, till exempel om du vill kontrollera att data matas in i en tabell och inte vill påverka den sammanfattade tabellen och rapporterna. När du startar om regeln börjar Azure Monitor bearbeta data från nästa hela timme eller baserat på den definierade binStartTime (valfria) parametern.
Om du vill stoppa en regel använder du det här POST API-anropet:
POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}/stop?api-version=2023-01-01-preview
Authorization: {credential}
Om du vill starta om regeln använder du det här POST API-anropet:
POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}/start?api-version=2023-01-01-preview
Authorization: {credential}
Ta bort en sammanfattningsregel
Du kan ha upp till 30 aktiva sammanfattningsregler på din Log Analytics-arbetsyta. Om du vill skapa en ny regel, men du redan har 30 aktiva regler, måste du stoppa eller ta bort en aktiv sammanfattningsregel.
Om du vill ta bort en regel använder du det här DELETE API-anropet:
DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourcegroup}/providers/Microsoft.OperationalInsights/workspaces/{workspace}/summarylogs/{ruleName}?api-version=2023-01-01-preview
Authorization: {credential}
Övervaka sammanfattningsregler
Om du vill övervaka sammanfattningsregler aktiverar du kategorin Sammanfattningsloggar i diagnostikinställningarna för Din Log Analytics-arbetsyta. Azure Monitor skickar information om körning av sammanfattningsregeln, inklusive sammanfattningsregelkörningen Start, Succeeded och Failed information, till tabellen LASummaryLogs på din arbetsyta.
Vi rekommenderar att du konfigurerar loggaviseringsregler för att ta emot meddelanden om lagerplatsfel, eller när bin-körningen närmar sig tidsgränsen, enligt nedan. Beroende på orsaken till felet kan du antingen minska lagerplatsstorleken för att bearbeta mindre data vid varje körning eller ändra frågan så att den returnerar färre poster eller fält med högre volym.
Den här frågan returnerar misslyckade körningar:
LASummaryLogs | where Status == "Failed"
Den här frågan returnerar bin-körningar där QueryDurationMs värdet är större än 0,9 x 600 000 millisekunder:
LASummaryLogs | where QueryDurationMs > 0.9 * 600000
Kontrollera att data är fullständiga
Sammanfattningsregler är utformade för skalning och innehåller en mekanism för återförsök för att övervinna tillfälliga tjänst- eller frågefel relaterade till frågegränser, till exempel. Återförsöksmekanismen gör 10 försök att aggregera en misslyckad lagerplats inom åtta timmar och hoppar över en lagerplats om den är uttömd. Regeln är inställd isActive: false på och spärrad efter åtta på varandra följande bin-försök. Om du aktiverar övervakningssammanfattningsregler loggar Azure Monitor en händelse i LASummaryLogs tabellen på din arbetsyta.
Du kan inte köra en misslyckad bin-körning igen, men du kan använda följande fråga för att visa misslyckade körningar:
let startTime = datetime("2024-02-16");
let endtTime = datetime("2024-03-03");
let ruleName = "myRuleName";
let stepSize = 20m; // The stepSize value is equal to the bin size defined in the rule
LASummaryLogs
| where RuleName == ruleName
| where Status == 'Succeeded'
| make-series dcount(BinStartTime) default=0 on BinStartTime from startTime to endtTime step stepSize
| render timechart
Den här frågan återger resultatet som ett tidsschema:
Se avsnittet Övervaka sammanfattningsregler för alternativ för regelreparation och proaktiva aviseringar.
Kryptera sammanfattningsregelfrågor med hjälp av kundhanterade nycklar
En KQL-fråga kan innehålla känslig information i kommentarer eller i frågesyntaxen. Om du vill kryptera sammanfattningsregelfrågor länkar du ett lagringskonto till din Log Analytics-arbetsyta och använder kundhanterade nycklar.
Överväganden när du arbetar med krypterade frågor:
- Att länka ett lagringskonto för att kryptera dina frågor avbryter inte befintliga regler.
- Som standard lagrar Azure Monitor sammanfattningsregelfrågor i Log Analytics-lagring. Om du har befintliga sammanfattningsregler innan du länkar ett lagringskonto till din Log Analytics-arbetsyta uppdaterar du dina sammanfattningsregler så att frågorna sparar de befintliga frågorna i lagringskontot.
- Frågor som du sparar i ett lagringskonto finns i
CustomerConfigurationStoreTabletabellen. Dessa frågor betraktas som tjänstartefakter och deras format kan ändras. - Du kan använda samma lagringskonto för sammanfattningsregelfrågor, sparade frågor i Log Analytics och loggaviseringar.
Felsöka sammanfattningsregler
Det här avsnittet innehåller tips för felsökning av sammanfattningsregler.
Måltabellen för sammanfattningsregeln har tagits bort av misstag
Om du tar bort måltabellen medan sammanfattningsregeln är aktiv pausas regeln och Azure Monitor skickar en händelse till LASummaryLogs tabellen med ett meddelande som anger att regeln har inaktiverats.
Om du inte behöver sammanfattningsresultaten i måltabellen tar du bort regeln och tabellen. Om du behöver återställa sammanfattningsresultat följer du stegen i avsnittet Skapa eller uppdatera sammanfattningsregler för att återskapa tabellen. Måltabellen återställs, inklusive data som matas in före borttagningen, beroende på kvarhållningsprincipen i tabellen.
Om du inte behöver sammanfattningsresultaten i måltabellen tar du bort regeln och tabellen. Om du behöver sammanfattningsresultatet följer du stegen i avsnittet Skapa eller uppdatera sammanfattningsregler för att återskapa måltabellen och återställa alla data, inklusive data som matas in före borttagningen, beroende på kvarhållningsprincipen i tabellen.
Frågan använder operatorer som skapar nya kolumner i måltabellen
Måltabellschemat definieras när du skapar eller uppdaterar en sammanfattningsregel. Om frågan i sammanfattningsregeln innehåller operatorer som tillåter utdataschemaexpansion baserat på inkommande data, till exempel om frågan använder arg_max(expression, *) funktionen, lägger Azure Monitor inte till nya kolumner i måltabellen när du har skapat eller uppdaterat sammanfattningsregeln, och utdata som kräver dessa kolumner kommer att tas bort. Om du vill lägga till de nya fälten i måltabellen uppdaterar du sammanfattningsregeln eller lägger till en kolumn i tabellen manuellt.
Data i borttagna kolumner finns kvar på arbetsytan baserat på tabellens kvarhållningsinställningar
När du tar bort ett fält i frågan finns kolumnerna och data kvar i målet och baseras på den kvarhållningsperiod som definierats i tabellen eller arbetsytan. Om du inte behöver ta bort i måltabellen tar du bort kolumnerna från tabellschemat. Om du sedan lägger till kolumner med samma namn visas alla data som inte är äldre än kvarhållningsperioden igen.
Relaterat innehåll
- Läs mer om dataplaner för Azure Monitor-loggar.
- Gå igenom en självstudie om hur du använder KQL-läge i Log Analytics.
- Få åtkomst till den fullständiga referensdokumentationen för KQL.