在Azure Monitor日志中查询基本表和辅助表中的数据

基本和辅助日志表降低了引入大量详细日志的成本，并允许查询这些表存储的数据，只是存在一些限制。 本文介绍如何查询基本和辅助日志表中的数据。

有关基本表和辅助表计划的详细信息，请参阅 Azure Monitor 日志概述：表计划。

所需的权限

你查询的Log Analytics工作区必须具有Microsoft.OperationalInsights/workspaces/query/*/read权限，例如由Log Analytics 读取者 内置角色提供。

限制

查询基本和辅助表中的数据时存在以下限制：

Kusto 查询语言 (KQL) 语言限制

可以使用所有 KQL 标量和聚合函数对基本表或辅助表中的数据进行查询。 但是，基本表查询或辅助表查询仅限于单个表。 因此存在以下限制：

• 联接来自多个表的数据的运算符受到限制：

  • 不支持 join、find、search 和 externaldata。
  • 支持 lookup 和 union，但最多只能对五个分析表使用。

• 不支持用户定义的函数。

• 不支持跨服务和跨资源查询。

时间范围

使用Log Analytics中的时间范围选取器或使用 API 调用的时间范围语法指定开始和结束日期时间。 如果在查询中指定时间范围，则会使用时间范围选取器和 KQL 时间范围的合并结果。

辅助日志表支持总保持期的时间范围。 基本日志表支持过去 30 天的时间范围。 如果需要在 30 天前和基本表的总保留期之间查找数据，请使用搜索作业。 有关详细信息，请参阅“基本表”中的“搜索工作”。

查询范围

将Log Analytics工作区设置为查询范围。 不能在范围内使用其他资源来执行查询。 有关查询范围的详细信息，请参阅 Azure Monitor Log Analytics 中的日志查询范围和时间范围。

并发查询

可以为每个用户运行两个并发查询。 有关详细信息，请参阅 Log Analytics 查询限制。

辅助日志查询性能

辅助表中数据的查询未经过优化，返回结果所需的时间可能比针对分析表和基本表运行的查询更长。

清除

无法从基本表和辅助表 清除个人数据 。

可视化效果

基本和辅助表计划目前支持工作簿和 Grafana，但不支持 Azure Monitor 仪表板。

在基本表或辅助表上执行查询

对基本表或辅助表运行查询遵循与查询Log Analytics中任何其他表相同的步骤。 有关详细信息，请参阅 Log Analytics 教程。

https://api.loganalytics.io/v1/workspaces/{workspaceId}/search?timespan=P1D

{
    "query": "ContainerLogV2 | where Computer == \"some value\"\n",
}

定价模型

基本和辅助表的查询费用是根据查询扫描的数据量计算的，这取决于表大小和查询的时间范围。 扫描的数据定义为在查询所指定的时间范围内为被查询的表引入的数据量。 例如，某个查询在每天导入 100GB 的表中扫描 3 天的数据，会按 300GB 计费。

有关详细信息，请参阅 Azure Monitor 定价。

相关内容

• 详细了解 Azure Monitor 日志表方案。