在 Log Analytics 中使用查询

打开 Log Analytics 时，可以访问现有日志查询。可以在不加修改的情况下运行这些查询，也可以将它们用作自己查询的起点。可用查询包括由 Azure Monitor 提供的示例和由组织保存的查询。本文介绍可用的查询，以及如何发现和使用它们。

所需的权限

你必须对查询的 Log Analytics 工作区具有 Microsoft.OperationalInsights/workspaces/query/*/read 权限，例如，Log Analytics 读者内置角色所提供的权限。

从查询界面中选择查询，该界面可从 Log Analytics 中的两个不同位置访问。

打开 Log Analytics 时，会自动显示“查询”对话框。如果不希望自动显示此对话框，请关闭“始终显示查询”开关。

每个查询都由一张卡片表示。你可以快速浏览查询来查找所需内容。可以直接从对话框中运行查询，也可以选择将其加载到查询编辑器，以便进行修改。

还可通过选择右上角的“查询”进行访问。

可从 Log Analytics 左侧边栏中的“查询”窗格访问与对话框体验完全相同的功能。可将鼠标指针悬停在查询名称上来获取查询说明和其他功能。

本部分中的选项同时存在于对话框和边栏查询体验中，但用户界面略有不同。

选择“分组依据”下拉列表，更改查询的分组。分组值还用作活动目录。选择屏幕左侧的某个值会将“查询”视图直接滚动到所选择的项。如果组织已创建包含标记的查询包，则自定义标记将包含在此列表中。

每个查询都有多个属性，可帮助你进行分组和查找。这些属性可用于排序和筛选。有关详细信息，请参阅查找和筛选查询。

保存自己的查询时，可以定义其中的多个查询。属性类型如下：

查询属性	说明
资源类型	Azure 中定义的资源，例如虚拟机。请参阅 Azure Monitor 表参考，以了解从 Azure Monitor 日志和Log Analytics 表到资源类型的完整映射。
类别	某个信息类型，例如“安全性”或“审核”。类别与在“表”边栏窗格中定义的类别完全相同。有关类别的完整列表，请参阅 Azure Monitor 表参考。
解决方案	与查询关联的 Azure Monitor 解决方案。
主题	示例查询的主题，例如“活动日志”或“应用日志”。对示例查询而言，主题属性具有唯一性，可能会因资源类型而异。
查询类型	定义查询的类型。查询类型可以是示例查询、查询包查询或旧查询。
标签	保存自己的查询时可以定义和分配的自定义标签。
标记	可以在创建查询包时定义的自定义属性。可使用标记创建自己的分类来组织查询。

在 Log Analytics 左侧栏的“查询”窗格中，将鼠标悬停在查询名称上以查看其属性。

可收藏经常使用的查询，以便能够更快速地进行访问。选择查询旁的星号将其添加到“收藏夹”。从查询界面中的“收藏夹”选项查看你最喜欢的查询。

查询界面用以下查询类型填充：

类型	说明
示例查询	示例查询可提供对资源的即时见解，并提供一种开始学习和使用 Kusto 查询语言 (KQL) 的方法。示例查询有助于缩短开始使用 Log Analytics 所需的时间。我们收集并策展了 500 多个示例查询，为你提供即时价值。示例查询的数量在不断增加。
查询包	查询包包含一系列查询日志。包括自己保存的查询、默认查询包以及组织可能已在订阅中创建的查询包。若要查看和管理查询包，请参阅查看查询包。将查询包添加到 Log Analytics 工作区。请参阅使用多个查询包。
旧查询	之前保存在查询资源管理器体验中的日志查询是旧查询。此外，与工作区中安装的 Azure 解决方案关联的查询也是旧查询。这些查询列在“旧查询”下的“查询”对话框中。

提示

旧查询只能在 Log Analytics 工作区中使用。

打开 Log Analytics 时可用的查询由当前查询范围确定。例如：

提示

范围内的资源越多，门户筛选和显示“查询”对话框所需的时间就越长。