تشغيل مهام البحث في Azure Monitor

لتشغيل مهمة بحث، في مدخل Microsoft Azure:

1. من قائمة مساحة عمل Log Analytics، حدد Logs.

2. حدد قائمة علامة الحذف على الجانب الأيمن من الشاشة وقم بتبديل وضع وظيفة البحث.

   

   يدعم Intellisense سجلات Azure Monitor قيود استعلام KQL في وضع مهمة البحث لمساعدتك في كتابة استعلام مهمة البحث.

3. حدد نطاق تاريخ مهمة البحث باستخدام منتقي الوقت.

4. اكتب استعلام مهمة البحث وحدد الزر Search Job .

   تطالبك سجلات Azure Monitor بتوفير اسم لجدول مجموعة النتائج وإعلامك بأن مهمة البحث تخضع للفوترة.

   

5. أدخل اسما لجدول نتائج مهمة البحث وحدد تشغيل مهمة بحث.

   تقوم سجلات Azure Monitor بتشغيل مهمة البحث وإنشاء جدول جديد في مساحة العمل الخاصة بك لنتائج مهمة البحث.

   

6. عندما يكون الجدول الجديد جاهزا، حدد View tablename_SRCH لعرض الجدول في Log Analytics.

   

   يمكنك مشاهدة نتائج مهمة البحث عند بدء تدفقها إلى جدول نتائج مهمة البحث الذي تم إنشاؤه حديثا.

   

   تظهر سجلات Azure Monitor رسالة تم تنفيذ مهمة البحث في نهاية مهمة البحث. جدول النتائج جاهز الآن مع جميع السجلات التي تطابق استعلام البحث.

   

لتشغيل مهمة بحث، اتصل واجهة برمجة التطبيقات Tables - Create أو Update. يتضمن الاستدعاء اسم جدول النتائج الذي سيتم إنشاؤه. يجب أن ينتهي اسم جدول النتائج بـ _SRCH.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/<TableName>_SRCH?api-version=2021-12-01-preview

نص الطلب

قم بتضمين القيم التالية في نص الطلب:

نموذج الطلب

ينشئ هذا المثال جدولاً يسمى Syslog_suspected_SRCH مع نتائج استعلام يبحث عن سجلات معينة في جدول Syslog.

Request

PUT https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Syslog_suspected_SRCH?api-version=2021-12-01-preview

نص الطلب

{
    "properties": { 
        "searchResults": {
                "query": "Syslog | where * has 'suspected.exe'",
                "limit": 1000,
                "startSearchTime": "2020-01-01T00:00:00Z",
                "endSearchTime": "2020-01-31T00:00:00Z"
            }
    }
}

Response

حالة التعليمة البرمجية: 202 مقبول.

لتشغيل مهمة بحث، قم بتشغيل الأمر az monitor log-analytics workspace table search-job create. يجب أن ينتهي اسم جدول النتائج، الذي قمت بتعيينه باستخدام المعلمة --name، بـ _SRCH.

مثال

az monitor log-analytics workspace table search-job create --subscription ContosoSID --resource-group ContosoRG  --workspace-name ContosoWorkspace --name HeartbeatByIp_SRCH --search-query 'Heartbeat | where ComputerIP has "00.000.00.000"' --limit 1500 --start-search-time "2022-01-01T00:00:00.000Z" --end-search-time "2022-01-08T00:00:00.000Z" --no-wait

لتشغيل مهمة بحث، قم بتشغيل الأمر New-AzOperationalInsightsSearchTable . يجب أن ينتهي اسم جدول النتائج، الذي قمت بتعيينه باستخدام المعلمة TableName، بـ _SRCH.

مثال

New-AzOperationalInsightsSearchTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName HeartbeatByIp_SRCH -SearchQuery "Heartbeat" -StartSearchTime "01-01-2022 00:00:00" -EndSearchTime "01-01-2022 00:00:00"

1. من قائمة مساحة عمل Log Analytics، حدد Logs.

2. من علامة التبويب جداول، حدد نتائج البحث لعرض كافة جداول نتائج مهمة البحث.

   تعرض الأيقونة الموجودة في جدول نتائج مهمة البحث إشارة تحديث حتى اكتمال مهمة البحث.

   

استدعاء واجهة برمجة التطبيقات Tables - Get للحصول على حالة وتفاصيل مهمة البحث:

GET https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/<TableName>_SRCH?api-version=2021-12-01-preview

حالة الجدول

يحتوي كل جدول مهمة بحث على خاصية تسمى provisioningState، والتي يمكن أن تحتوي على إحدى القيم التالية:

نموذج الطلب

يسترد هذا المثال حالة الجدول لمهمة البحث في المثال السابق.

Request

GET https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Syslog_SRCH?api-version=2021-12-01-preview

Response

{
        "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 30,
        "archiveRetentionInDays": 0,
        "plan": "Analytics",
        "lastPlanModifiedDate": "Mon, 01 Nov 2021 16:38:01 GMT",
        "schema": {
            "name": "Syslog_SRCH",
            "tableType": "SearchResults",
            "description": "This table was created using a Search Job with the following query: 'Syslog | where * has 'suspected.exe'.'",
            "columns": [...],
            "standardColumns": [...],
            "solutions": [
                "LogManagement"
            ],
            "searchResults": {
                "query": "Syslog | where * has 'suspected.exe'",
                "limit": 1000,
                "startSearchTime": "Wed, 01 Jan 2020 00:00:00 GMT",
                "endSearchTime": "Fri, 31 Jan 2020 00:00:00 GMT",
                "sourceTable": "Syslog"
            }
        },
        "provisioningState": "Succeeded"
    },
    "id": "subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Syslog_SRCH",
    "name": "Syslog_SRCH"
}

للتحقق من حالة جدول وظيفة البحث وتفاصيله، قم بتشغيل الأمر az monitor log-analytics workspace table show.

مثال

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name HeartbeatByIp_SRCH --output table \

للتحقق من حالة جدول مهمة البحث وتفاصيله، قم بتشغيل الأمر Get-AzOperationalInsightsTable .

مثال

Get-AzOperationalInsightsTable -ResourceGroupName "ContosoRG" -WorkspaceName "ContosoWorkspace" -tableName "HeartbeatByIp_SRCH"