在 Azure Monitor 中查询基本日志

“基本日志”表降低了引入大量详细日志的成本，并允许你使用一组有限的日志查询来查询它们存储的数据。 本文介绍如何从“基本日志”表查询数据。

有关详细信息，请参阅设置表的日志数据计划。

所需的权限

你必须对查询的 Log Analytics 工作区具有 Microsoft.OperationalInsights/workspaces/query/*/read 权限，例如，Log Analytics 读者内置角色所提供的权限。

限制

针对基本日志的查询存在以下限制：

KQL 语言限制

针对基本日志的日志查询使用 KQL 语言的一个子集（包括以下运算符），为简单数据检索进行了优化：

• where
• extend
• project
• project-away
• project-keep
• project-rename
• project-reorder
• parse
• parse-where

可以在这些运算符中使用所有函数和二元运算符。

时间范围

在 Log Analytics 中的查询标头中或在 API 调用中指定时间范围。 不能使用 where 语句在查询主体中指定时间范围。

查询上下文

针对基本日志的查询必须使用范围的工作区。 不能使用范围的其他资源来运行查询。 有关详细信息，请参阅 Azure Monitor Log Analytics 中的日志查询范围和时间范围。

并发查询

可以为每个用户运行两个并发查询。

清除

不能从“基本日志”表中清除个人数据。

对“基本日志”表运行查询

使用基本日志创建查询与 Log Analytics 中的任何其他查询是相同的。 如果你不熟悉此过程，请参阅 Azure Monitor Log Analytics 入门。

https://api.loganalytics.io/v1/workspaces/testWS/search?timespan=P1D

{
    "query": "ContainerLogV2 | where Computer ==  \"some value\"\n",
}

定价模型

基本日志查询的费用取决于查询扫描的数据量，这受到表大小和查询时间范围的影响。 例如，某个查询在每天引入 100GB 的表中扫描 3 天的数据，就会被收取 300GB 的费用。

有关详细信息，请参阅 Azure Monitor 定价。

后续步骤

• 详细了解基本日志和分析日志计划。
• 使用搜索作业将数据从基本日志检索到分析日志中，可以在其中多次查询。