Membuat bidang isian kustom di ruang kerja Log Analytics di Azure Monitor (Pratinjau)
Penting
Pembuatan bidang kustom baru akan dinonaktifkan mulai 31 Maret 2023. Fungsionalitas bidang kustom tidak akan digunakan lagi, dan bidang kustom yang ada akan berhenti berfungsi pada 31 Maret 2026. Anda harus bermigrasi ke transformasi waktu penyerapan untuk terus mengurai catatan log Anda.
Saat ini, saat Anda menambahkan bidang kustom baru, mungkin perlu waktu hingga 7 hari sebelum data mulai muncul.
Fitur Bidang Isian Kustom Azure Monitor memungkinkan Anda memperluas rekaman yang sudah ada di ruang kerja Log Analytics Anda dengan menambahkan bidang yang dapat dicari sendiri. Bidang isian kustom secara otomatis diisi dari data yang diekstrak dari properti lain dalam rekaman yang sama.
Misalnya, rekaman sampel berikut memiliki data yang berguna yang terkubur dalam deskripsi peristiwa. Mengekstrak data ini ke dalam properti terpisah membuatnya tersedia untuk tindakan seperti pengurutan dan pemfilteran.
Catatan
Di Pratinjau, Anda dibatasi hingga 500 bidang kustom di ruang kerja Anda. Batas ini akan diperluas ketika fitur ini mencapai ketersediaan umum.
Membuat bidang isian kustom
Saat Anda membuat bidang isian kustom, Log Analitik harus memahami data mana yang akan digunakan untuk mengisi nilainya. Layanan ini menggunakan teknologi dari Microsoft Research yang disebut FlashExtract untuk mengidentifikasi data ini dengan cepat. Daripada mengharuskan Anda memberikan instruksi eksplisit, Azure Monitor mempelajari data yang ingin Anda ekstrak dari contoh yang Anda berikan.
Bagian berikut ini menyediakan prosedur untuk membuat bidang isian kustom. Untuk melihat panduan ekstraksi sampel, buka Panduan sampel.
Catatan
Bidang isian kustom terisi ketika rekaman yang cocok dengan kriteria yang ditentukan ditambahkan ke ruang kerja Log Analytics, sehingga hanya akan muncul pada rekaman yang dikumpulkan setelah bidang isian kustom dibuat. Bidang isian kustom tidak akan ditambahkan ke rekaman yang sudah ada di penyimpanan data saat dibuat.
Langkah 1: Identifikasi rekaman yang mendapatkan bidang kustom
Langkah pertama adalah mengidentifikasi rekaman yang mendapatkan bidang kustom. Anda mulai dengan kueri log standar lalu memilih rekaman untuk bertindak sebagai model yang dipelajari Azure Monitor. Saat Anda menentukan bahwa Anda akan mengekstrak data ke dalam bidang kustom, Wizard Ekstraksi Bidang dibuka tempat Anda memvalidasi dan memperbaiki kriteria.
- Buka Log dan gunakan kueri untuk mengambil rekaman yang mendapatkan bidang kustom.
- Pilih rekaman yang akan digunakan Log Analytics untuk bertindak sebagai model untuk mengekstrak data untuk mengisi bidang isian kustom. Anda akan mengidentifikasi data yang ingin Anda ekstrak dari rekaman ini, dan Analitik Log akan menggunakan informasi ini untuk menentukan logika mengisi bidang kustom untuk semua rekaman serupa.
- Klik kanan pada rekaman, dan pilih Ekstrak bidang dari.
- Wizard Ekstraksi Bidang terbuka dan rekaman yang Anda pilih ditampilkan di kolom Contoh Utama. Bidang isian kustom akan ditentukan untuk rekaman tersebut dengan nilai yang sama dalam properti yang dipilih.
- Jika pilihan tidak persis seperti yang Anda inginkan, pilih bidang lainnya untuk mempersempit kriteria. Untuk mengubah nilai bidang untuk kriteria, Anda harus membatalkan dan memilih rekaman berbeda yang cocok dengan kriteria yang Anda inginkan.
Langkah 2: Lakukan ekstrak awal
Setelah mengidentifikasi rekaman yang mendapatkan bidang kustom, Anda mengidentifikasi data yang ingin Anda ekstrak. Analitik Log menggunakan informasi ini untuk mengidentifikasi pola serupa dalam rekaman serupa. Di Langkah 3, Anda akan dapat memvalidasi hasilnya dan memberikan detail lebih lanjut agar Log Analytics dapat digunakan dalam analisisnya.
- Sorot teks dalam contoh rekaman yang ingin Anda isi bidang isian kustom. Anda kemudian akan disajikan dengan kotak dialog untuk menyediakan nama dan jenis data untuk bidang dan untuk melakukan ekstrak awal. Karakter _CF akan ditambahkan secara otomatis.
- Klik Ekstrak untuk melakukan analisis pada rekaman yang dikumpulkan.
- Bagian Ringkasan dan Hasil Pencarian menampilkan hasil ekstrak sehingga Anda dapat memeriksa keakuratannya. Ringkasan menampilkan kriteria yang digunakan untuk mengidentifikasi rekaman dan hitungan untuk setiap nilai data yang diidentifikasi. Hasil Pencarian menyediakan daftar rekaman mendetail yang cocok dengan kriteria.
Langkah 3: Verifikasi akurasi ekstrak dan buat bidang kustom
Setelah Anda melakukan ekstrak awal, Log Analitik akan menampilkan hasilnya berdasarkan data yang telah dikumpulkan. Jika hasilnya terlihat akurat, Anda dapat membuat bidang kustom tanpa pekerjaan lebih lanjut. Jika tidak, Anda dapat menyempurnakan hasilnya sehingga Log Analytics dapat meningkatkan logikanya.
- Jika ada nilai dalam ekstrak awal yang tidak benar, lalu klik ikon Edit di samping rekaman yang tidak akurat dan pilih Ubah sorotan ini untuk mengubah pilihan.
- Entri disalin ke bagian Contoh tambahan di bawah Contoh Utama. Anda dapat menyesuaikan sorotan di sini untuk membantu Log Analytics memahami pilihan yang seharusnya dibuat.
- Klik Ekstrak untuk menggunakan informasi baru ini untuk mengevaluasi semua rekaman yang sudah ada. Hasilnya dapat dimodifikasi untuk rekaman selain yang baru saja Anda modifikasi berdasarkan kecerdasan baru ini.
- Terus tambahkan koreksi hingga semua rekaman dalam ekstrak mengidentifikasi data dengan benar untuk mengisi bidang isian kustom baru.
- Klik Simpan Ekstrak saat Anda puas dengan hasilnya. Bidang isian kustom sekarang ditentukan, tetapi belum akan ditambahkan ke rekaman apa pun.
- Tunggu hingga rekaman baru yang cocok dengan kriteria yang ditentukan dikumpulkan lalu jalankan pencarian log lagi. Rekaman baru harus memiliki bidang isian kustom.
- Gunakan bidang isian kustom seperti properti rekaman lainnya. Anda dapat menggunakannya untuk menggabungkan dan mengelompokkan data dan bahkan menggunakannya untuk menghasilkan insight baru.
Menghapus bidang isian kustom
Ada dua cara untuk menghapus bidang isian kustom. Yang pertama adalah opsi Hapus untuk setiap bidang saat menampilkan daftar lengkap seperti yang dijelaskan di Langkah 2: Lakukan ekstrak awal. Metode lainnya adalah mengambil rekaman dan mengklik tombol di sebelah kiri bidang. Menu memiliki opsi untuk menghapus bidang kustom.
Panduan sampel
Bagian berikut ini memandu Anda menelusuri contoh lengkap pembuatan bidang isian kustom. Contoh ini mengekstrak nama layanan dalam peristiwa Windows yang mengindikasikan status perubahan layanan. Hal ini bergantung pada kejadian yang dibuat oleh Manajer Kontrol Layanan selama pengaktifan sistem pada komputer Windows. Jika Anda ingin mengikuti contoh ini, Anda harus mengumpulkan peristiwa Informasi untuk log Sistem.
Kita masukkan kueri berikut untuk menampilkan semua peristiwa dari Manajer Kontrol Layanan yang memiliki ID Peristiwa 7036 yang merupakan peristiwa yang menunjukkan layanan dimulai atau berhenti.
Kami kemudian mengeklik kanan di rekaman mana pun dengan ID peristiwa 7036 dan memilih Ekstrak bidang dari `Peristiwa`.
Wizard Ekstraksi Bidang dibuka dengan bidang EventLog dan EventID yang dipilih di kolom Contoh Utama. Hal ini menunjukkan bahwa bidang isian kustom akan didefinisikan untuk peristiwa dari log Sistem dengan ID peristiwa 7036. Hal ini cukup sehingga kita tidak perlu memilih bidang lain.
Kita menyoroti nama layanan di properti RenderedDescription dan menggunakan Layanan untuk mengidentifikasi nama layanan. Bidang isian kustom akan dinamai Service_CF. Jenis bidang dalam hal ini adalah string, sehingga kita tidak perlu mengubahnya.
Kita melihat bahwa nama layanan diidentifikasi dengan benar untuk beberapa rekaman tetapi tidak untuk beberapa lainnya. Hasil Pencarian memperlihatkan bahwa bagian dari nama untuk WMI Performance Adapter tidak dipilih. Ringkasan menunjukkan bahwa satu rekaman diidentifikasi Pemasang Modul bukan Windows Module Installer.
Kita mulai dengan rekaman WMI Performance Adapter. Kita klik ikon edit-nya lalu Mengubah sorotan ini.
Kita meningkatkan sorotan untuk menyertakan kata WMI dan kemudian menjalankan ekstraknya kembali.
Kita dapat melihat bahwa entri untuk Adaptor Performa WMI dikoreksi, dan Analitik Log juga menggunakan informasi tersebut untuk memperbaiki rekaman untuk Penginstal Modul Windows.
Kita sekarang dapat menjalankan kueri yang memverifikasi Service_CF dibuat tetapi belum ditambahkan ke rekaman apa pun. Itu karena bidang isian kustom tidak berfungsi untuk rekaman yang ada sehingga kita perlu menunggu rekaman baru dikumpulkan.
Setelah beberapa waktu, peristiwa baru dikumpulkan dan kita dapat melihat bidang Service_CF ditambahkan ke rekaman yang sesuai dengan kriteria kita.
Sekarang kita dapat menggunakan bidang isian kustom seperti properti rekaman lainnya. Untuk mengilustrasikan ini, kita membuat kueri yang dikelompokkan menurut bidang Service_CF baru untuk memeriksa layanan mana yang paling aktif.
