在 Azure Monitor 日志中查询基本表和辅助表中的数据

基本表计划和辅助表计划可降低引入大量详细日志的成本。 包含这些表的查询支持完整的 Kusto 查询语言（KQL），包括跨多个表和Log Analytics工作区的查询。 本文介绍查询窗口、范围、性能和计费注意事项。

有关基本表和辅助表计划的详细信息，请参阅 Azure Monitor 日志概述：表计划。

所需的权限

你查询的Log Analytics工作区必须具有Microsoft.OperationalInsights/workspaces/query/*/read权限，例如由Log Analytics 读取者 内置角色提供。

Considerations

在基本表或辅助表中包含数据的查询具有以下注意事项。

查询功能

包含基本表或辅助表的查询支持跨多个表的完整 KQL 功能。 使用workspace()表达式跨Log Analytics工作区查询这些表。

如果查询包含基本表或辅助表，则不支持 externaldata运算符、跨服务查询、使用 resource() 表达式的跨资源查询以及资源上下文查询。

时间范围

通过使用 Log Analytics 中的时间范围选取器或 timespan API 调用中的参数来指定开始和结束日期和时间。 KQL 查询中的时间筛选器不会替换此显式时间范围。

最长查询时间范围取决于查询中包含的表计划：

• 包含 Analytics 和 Basic 表（但没有辅助表）的查询可以涵盖过去 30 天。
• 包含辅助表的查询可以涵盖查询表的总保留期，最长为 12 年。

包含 Analytics 和 Basic 表（但没有辅助表）的查询可以涵盖过去 30 天。 如果需要超过 30 天的数据，请运行 搜索作业。

查询范围

将Log Analytics工作区设置为查询范围。 若要查询多个工作区，请使用 workspace() 表达式显式引用每个附加工作区。 当查询包含基本表或辅助表时，不支持资源范围。 有关详细信息，请参阅Azure Monitor Log Analytics 中的日志查询范围和时间范围。

并发查询

每个用户都可以运行两个并发查询。 有关详细信息，请参阅 Log Analytics 查询限制。

辅助日志查询性能

辅助表中数据的查询未经过优化，返回结果所需的时间可能比针对分析表和基本表运行的查询更长。

清除

无法从基本表和辅助表 清除个人数据 。

可视化效果

基本和辅助表计划目前支持工作簿和 Grafana，但不支持 Azure Monitor 仪表板。

运行包含基本表或辅助表的查询

对基本表或辅助表运行查询遵循与查询Log Analytics中任何其他表相同的步骤。 有关详细信息，请参阅 Log Analytics 教程。

POST https://api.loganalytics.io/v1/workspaces/{WorkspaceId}/search?timespan=P1D
Authorization: Bearer {AccessToken}
Content-Type: application/json

{
  "query": "ContainerLogV2 | where Computer == 'some value'"
}

定价模型

当查询包含基本表或辅助表时，费用取决于扫描所有查询表的总数据。 在其保留期内的 Analytics 表产生的数据引入费用不会计入可计费扫描数据。

扫描的数据取决于在指定时间范围内引入到每个查询表中的数据量。 例如，在一个每天摄取 100 GB 数据的表中，扫描三天数据的查询会按 300 GB 计费。 如果查询包含多个表，则扫描的数据是从每个表扫描的数据的总和。

在示例表格中，查询费用基于扫描的 1500 GB（300 + 1200）数据计算。

有关详细信息，请参阅 Azure Monitor 定价。

相关内容

• 详细了解 Azure Monitor 日志表方案。