对于通过代理Fabric的每个请求，以及无请求结束的每个连接，一行：源和目标成员、目标主机、判决及其原因、决定的策略组和规则，以及请求的状态、大小和持续时间。 使用它来审核策略决策并调查流量。
数据表属性
| Attribute |
Value |
|
资源类型 |
- |
|
Categories |
- |
|
Solutions |
日志管理 |
|
基本 表支持 |
Yes |
|
辅助 /Lake 表支持 |
Yes |
|
DCR 工作区转换 支持 |
No |
|
引入 API 支持 |
No |
|
示例查询 |
- |
Columns
| 列 |
类型 |
Description |
| AdditionalFields |
dynamic |
作为 JSON 对象，有关请求没有列的其他详细信息。 随时可以显示新密钥。 |
| _BilledSize |
real |
记录大小（字节） |
| ClientRequestId |
字符串 |
调用方发送的请求 ID（如果有）。 使用它将请求与调用方自己的日志匹配。 构造不会对其进行验证。 |
| DestinationFqdn |
字符串 |
请求中的主机：没有其端口的 HTTP 主机，或者在请求没有 HTTP 主机时 TLS 服务器名称。 DestinationSpiffe 标识请求转到的成员。 |
| DestinationPort |
int |
请求的目标端口。 |
| DestinationSpiffe |
字符串 |
请求转到的成员的 SPIFFE ID，其形式与 SourceSpiffe 相同。 当目标不是成员（例如 Egress）时为空。 |
| 持续时间(ms) |
int |
从请求开始到响应结束的时间（以毫秒为单位）。 |
| 流类型 |
字符串 |
通过fabric的请求路径：WithinFabric（此fabric的成员）、CrossFabric（另一个fabric的成员）、出口（到代理Fabric外部的目标）或入口（从fabric外部的调用方到成员）。 当构造未路由请求时为空。 |
| _IsBillable |
字符串 |
指定摄入数据是否需计费。 当 _IsBillable 为 false 时，不会向 Azure 帐户计收引入费 |
| MatchedRule |
字符串 |
决定请求的策略规则的名称。 如果未决定编写规则，则构造使用保留名称，例如默认拒绝（策略组面向源，但未匹配规则）或默认允许取消目标（没有策略组面向源）。 某些规则获取生成的名称，例如 MCP 策略的 mcp-0。 |
| McpMethod |
字符串 |
请求的 MCP 方法，例如工具/调用、工具/列表或资源/读取。 对于不是 MCP 的请求，对于构造无法读取的 MCP 请求，例如，对于结构未检查的 TLS，为空。 |
| McpToolName |
字符串 |
MCP 工具/呼叫请求请求的 MCP 工具的名称。 其他请求为空。 |
| Method |
字符串 |
请求的 HTTP 方法。 当构造未看到 HTTP 请求时为空。 |
| 路径 |
字符串 |
没有查询字符串的 HTTP 请求路径。 |
| PolicyGroup |
字符串 |
规则决定请求的策略组的名称。 如果未匹配规则，则该值是面向源的策略组;如果多个策略组面向源，则该值为（默认值）。 当没有策略组面向源时为空。 |
| Protocol |
字符串 |
请求的协议：http、https（构造检查的 TLS）、tls（构造未检查的 TLS）或 tcp。 |
| RequestBytes |
long |
在 TLS 之后的成员连接上，整个请求、标头和正文的大小（以字节为单位）。 当构造未测量时为 0。 |
| RequestId |
字符串 |
构造提供请求的唯一 ID。 使用它查找一个请求并删除重复行。 |
| _ResourceId |
字符串 |
与记录关联的资源的唯一标识符 |
| ResponseBytes |
long |
TLS 后成员连接上整个响应、标头和正文的大小（以字节为单位）。 当构造未测量时为 0。 |
| SourceSpiffe |
字符串 |
发送请求的成员的 SPIFFE ID，格式为 spiffe:// trust domain>/ns/<fabric ID>/sa/<member name>。< 如果网关转发成员的请求，则该值为该成员，因为网关报告该请求。 信任域可以更改，因此，请根据成员的结构 ID 和成员名称来标识成员。 |
| SourceSystem |
字符串 |
收集事件的代理的类型。 例如，适用于 Windows 代理的 OpsManager（可选择直接连接或使用 Operations Manager），适用于所有 Linux 代理的 Linux，或适用于 Azure 诊断 的 Azure。 |
| StatusCode |
int |
成员收到的 HTTP 状态代码。 当成员未收到 HTTP 响应时为 0。 |
| _SubscriptionId |
字符串 |
唯一标识符，用于识别与此记录关联的订阅 |
| TenantId |
字符串 |
Log Analytics 工作区 ID |
| TimeGenerated |
日期/时间 |
请求启动时的时间（UTC）。 构造在请求结束时写入该行。 如果行在此时间之后超过 2 天到达，Log Analytics将此值替换为到达时间。 |
| 类型 |
字符串 |
表的名称 |
| 判决 |
字符串 |
请求的结果：允许、拒绝（构造拒绝请求）或未知（行不是策略决策，例如 TLS 握手失败）。 |
| VerdictReason |
字符串 |
为什么请求得到其判决：策略（策略规则已决定，请参阅 MatchedRule）、PromptShield（构造阻止了提示攻击）、PromptShieldAlert（构造发送了具有提示攻击的请求并标记了它）、PromptShieldSanitized（构造删除了提示攻击，然后发送了请求）、PromptShieldUnavailable（构造无法检查提示攻击的请求）、PolicyUnavailable、 CrossFabric、TlsHandshakeFailed、ProtocolNotSupported 或 NoRequest。 如果构造拒绝了请求，则 PromptShieldUnavailable 附带 Deny;如果构造在没有检查的情况下发送了请求，则附带 Allow。 |