Добавление или удаление таблиц и столбцов в журналах Azure Monitor

Правила сбора данных позволяют фильтровать и преобразовывать данные журнала перед отправкой данных в таблицу Azure или настраиваемую таблицу. В этой статье объясняется, как создавать пользовательские таблицы и добавлять настраиваемые столбцы в таблицы в рабочей области Log Analytics.

Внимание

При обновлении схемы таблицы обязательно обновите все правила сбора данных, отправляющие данные в таблицу. Схема таблицы, определяемая в правиле сбора данных, определяет, как Azure Monitor передает данные в целевую таблицу. Azure Monitor не обновляет правила сбора данных автоматически при внесении изменений в схему таблицы.

Необходимые компоненты

Для создания пользовательской таблицы необходимо следующее.

  • Рабочая область Log Analytics, в которой у вас есть по крайней мере права участника.

  • Конечная точка сбора данных (DCE).

  • JSON-файл с хотя бы одной записью примера для пользовательской таблицы. Это будет выглядеть примерно так:

    [
      {
        "TimeGenerated": "supported_datetime_format",
        "<column_name_1>": "<column_name_1_value>",
        "<column_name_2>": "<column_name_2_value>"
      },
      {
        "TimeGenerated": "supported_datetime_format",
        "<column_name_1>": "<column_name_1_value>",
        "<column_name_2>": "<column_name_2_value>"
      },
      {
        "TimeGenerated": "supported_datetime_format",
        "<column_name_1>": "<column_name_1_value>",
        "<column_name_2>": "<column_name_2_value>"
      }
    ]
    

    Все таблицы в рабочей области Log Analytics должны иметь столбец с именем TimeGenerated. Если в образце данных есть столбец с именем TimeGenerated, это значение будет использоваться для определения времени приема записи. TimeGenerated В противном случае столбец будет добавлен в преобразование в DCR таблицы. Сведения о формате см. в TimeGenerated поддерживаемых форматах datetime.

Создание настраиваемой таблицы

Таблицы Azure имеют предопределенные схемы. Чтобы хранить данные журнала в другой схеме, используйте правила сбора данных для определения способа сбора, преобразования и отправки данных в настраиваемую таблицу в рабочей области Log Analytics. Сведения о создании настраиваемой таблицы с вспомогательным планом см. в статье "Настройка таблицы с вспомогательным планом (предварительная версия)".

Внимание

Пользовательские таблицы имеют суффикс _CL; например, имя_таблицы_CL. Портал Azure автоматически добавляет суффикс _CL в имя таблицы. При создании пользовательской таблицы с помощью другого метода необходимо добавить суффикс _CL самостоятельно. Tablename_CL свойств DataFlows Streams в правилах сбора данных должны соответствовать имени tablename_CL в рабочей области Log Analytics.

Предупреждение

Имена таблиц используются для выставления счетов, поэтому они не должны содержать конфиденциальную информацию.

Чтобы создать настраиваемую таблицу с помощью портал Azure, выполните следующие действия.

  1. В меню рабочих областей Log Analytics выберите "Таблицы".

    Снимок экрана: экран

  2. Выберите "Создать" и "Создать настраиваемый журнал" (на основе DCR).

    Снимок экрана: новый настраиваемый журнал на основе DCR.

  3. Укажите имя и, при необходимости, описание таблицы. Вам не нужно добавлять суффикс _CL в имя настраиваемой таблицы. Это добавляется автоматически в имя, указанное на портале.

  4. Выберите существующее правило сбора данных в раскрывающемся списке правила сбора данных или выберите команду "Создать новое правило сбора данных" и укажите подписку, группу ресурсов и имя для нового правила сбора данных.

    Снимок экрана: новое правило сбора данных.

  5. Выберите конечную точку сбора данных и нажмите кнопку "Далее".

    Снимок экрана: имя таблицы настраиваемого журнала.

  6. Выберите "Обзор файлов " и найдите JSON-файл с примерами данных для новой таблицы.

    Снимок экрана: поиск файлов в настраиваемом журнале.

    Если образец данных не содержит TimeGenerated столбец, вы получите сообщение о том, что преобразование создается с помощью этого столбца.

  7. Если вы хотите преобразовать данные журнала перед приемом в таблицу:

    1. Выберите редактор преобразования.

      Редактор преобразования позволяет создать преобразование для входящего потока данных. Это запрос KQL, который выполняется в каждой входящей записи. Журналы Azure Monitor хранят результаты запроса в целевой таблице.

      Снимок экрана: предварительный просмотр данных настраиваемого журнала.

    2. Выберите "Выполнить" , чтобы просмотреть результаты.

      Снимок экрана: первичный запрос данных настраиваемого журнала.

  8. Нажмите кнопку "Применить" , чтобы сохранить преобразование и просмотреть схему создаваемой таблицы. Чтобы продолжить, выберите Далее.

    Снимок экрана: окончательная схема настраиваемого журнала.

  9. Проверьте окончательные сведения и нажмите кнопку "Создать ", чтобы сохранить пользовательский журнал.

    Снимок экрана: создание настраиваемого журнала.

Удалить таблицу

В журналах Azure Monitor существует несколько типов таблиц. Вы можете удалить любую таблицу, которая не является таблицей Azure, но то, что происходит с данными при удалении таблицы, отличается для каждого типа таблицы.

Дополнительные сведения см. в разделе "Что происходит с данными при удалении таблицы в рабочей области Log Analytics".

Чтобы удалить таблицу из портал Azure, выполните следующие действия.

  1. В меню рабочей области Log Analytics выберите "Таблицы".

  2. Найдите таблицы, которые нужно удалить по имени или выбрав результаты поиска в поле "Тип".

    Снимок экрана: экран

  3. Выберите таблицу, которую нужно удалить, выберите многоточие ( ... ) справа от таблицы, нажмите кнопку "Удалить" и подтвердите удаление, введя "Да".

    Снимок экрана: экран

Добавление или удаление настраиваемого столбца

Можно изменить схему пользовательских таблиц и добавить настраиваемые столбцы в столбцы или удалить из нее стандартную таблицу.

Примечание.

Имена столбцов должны начинаться с буквы и могут содержать до 45 буквенно-цифровых символов и символов подчеркивания (_). _ResourceId, id, _ResourceIdTypeUniqueId_SubscriptionIdTenantIdи Title являются зарезервированными именами столбцов.

Чтобы добавить настраиваемый столбец в таблицу в рабочей области Log Analytics, или удалить столбец:

  1. В меню рабочих областей Log Analytics выберите "Таблицы".

  2. Выберите многоточие ( ... ) справа от таблицы, которую вы хотите изменить, и выберите " Изменить схему". Откроется экран редактора схем.

  3. Прокрутите вниз до раздела "Настраиваемые столбцы" на экране редактора схем.

    Снимок экрана: экран редактора схем с выделенными кнопками

  4. Чтобы добавить новый столбец, выполните приведенные действия.

    1. Выберите " Добавить столбец".
    2. Задайте имя и описание столбца (необязательно) и выберите ожидаемый тип значения в раскрывающемся списке "Тип ".
    3. Нажмите кнопку "Сохранить", чтобы сохранить новый столбец.
  5. Чтобы удалить столбец, щелкните значок "Удалить " слева от столбца, который требуется удалить.

Следующие шаги

Дополнительные сведения: