你当前正在访问 Microsoft Azure Global Edition 技术文档网站。如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

在 Log Analytics 中使用查询

项目
10/06/2024

打开 Log Analytics 时，可以访问现有日志查询。可以在不加修改的情况下运行这些查询，也可以将它们用作自己查询的起点。可用查询包括由 Azure Monitor 提供的示例和由组织保存的查询。本文介绍可用的查询，以及如何发现和使用它们。

所需的权限

你必须对查询的 Log Analytics 工作区具有 Microsoft.OperationalInsights/workspaces/query/*/read 权限，例如，Log Analytics 读者内置角色所提供的权限。

查询接口

从查询界面中选择查询，该界面可从 Log Analytics 中的两个不同位置访问。

“查询”对话框

打开 Log Analytics 时，会自动显示“查询”对话框。如果不希望自动显示此对话框，请关闭“始终显示查询”开关。

每个查询都由一张卡片表示。你可以快速浏览查询来查找所需内容。可以直接从对话框中运行查询，也可以选择将其加载到查询编辑器，以便进行修改。

还可通过选择右上角的“查询”进行访问。

可从 Log Analytics 左侧边栏中的“查询”窗格访问与对话框体验完全相同的功能。可将鼠标指针悬停在查询名称上来获取查询说明和其他功能。

查找和筛选查询

本部分中的选项同时存在于对话框和边栏查询体验中，但用户界面略有不同。

选择“分组依据”下拉列表，更改查询的分组。分组值还用作活动目录。选择屏幕左侧的某个值会将“查询”视图直接滚动到所选择的项。如果组织已创建包含标记的查询包，则自定义标记将包含在此列表中。

查询属性

每个查询都有多个属性，可帮助你进行分组和查找。这些属性可用于排序和筛选。有关详细信息，请参阅查找和筛选查询。

保存自己的查询时，可以定义其中的多个查询。属性类型如下：

查询属性	说明
资源类型	Azure 中定义的资源，例如虚拟机。请参阅 Azure Monitor 表参考，以了解从 Azure Monitor 日志和Log Analytics 表到资源类型的完整映射。
类别	某个信息类型，例如“安全性”或“审核”。类别与在“表”边栏窗格中定义的类别完全相同。有关类别的完整列表，请参阅 Azure Monitor 表参考。
解决方案	与查询关联的 Azure Monitor 解决方案。
主题	示例查询的主题，例如“活动日志”或“应用日志”。对示例查询而言，主题属性具有唯一性，可能会因资源类型而异。
查询类型	定义查询的类型。查询类型可以是示例查询、查询包查询或旧查询。
标签	保存自己的查询时可以定义和分配的自定义标签。
标记	可以在创建查询包时定义的自定义属性。可使用标记创建自己的分类来组织查询。

查看查询属性

在 Log Analytics 左侧栏的“查询”窗格中，将鼠标悬停在查询名称上以查看其属性。

收藏夹

可收藏经常使用的查询，以便能够更快速地进行访问。选择查询旁的星号将其添加到“收藏夹”。从查询界面中的“收藏夹”选项查看你最喜欢的查询。

查询类型

查询界面用以下查询类型填充：

类型	说明
示例查询	示例查询可提供对资源的即时见解，并提供一种开始学习和使用 Kusto 查询语言 (KQL) 的方法。示例查询有助于缩短开始使用 Log Analytics 所需的时间。我们收集并策展了 500 多个示例查询，为你提供即时价值。示例查询的数量在不断增加。
查询包	查询包包含一系列查询日志。包括自己保存的查询、默认查询包以及组织可能已在订阅中创建的查询包。若要查看和管理查询包，请参阅查看查询包。将查询包添加到 Log Analytics 工作区。请参阅使用多个查询包。
旧查询	之前保存在查询资源管理器体验中的日志查询是旧查询。此外，与工作区中安装的 Azure 解决方案关联的查询也是旧查询。这些查询列在“旧查询”下的“查询”对话框中。

提示

旧查询只能在 Log Analytics 工作区中使用。

查询范围的影响

打开 Log Analytics 时可用的查询由当前查询范围确定。例如：

查询范围	说明
工作区	所有示例查询和查询包中的查询。工作区中的旧查询。
单个资源	资源类型的示例查询和查询包中的查询。
资源组	资源中资源类型的示例查询和查询包中的查询。

提示

范围内的资源越多，门户筛选和显示“查询”对话框所需的时间就越长。

后续步骤

KQL 查询入门

通过