Log Analytics und Abfragen in KQL

Die Nordlicht Reisen GmbH leitet die Protokolle ihrer Speicherkonten in einen Arbeitsbereich (Lektion 5.1). Nun fragt die Revision: „Wie viele Schreibvorgänge gab es gestern, und wie viele davon sind gescheitert?“ Die Antwort steht nicht in einem Diagramm, sie steht in Tabellen, und man holt sie mit einer Abfrage. Die Prüfung nennt es Protokolle in Azure Monitor abfragen und analysieren.

Vorwissen. Die Sprache KQL (Kusto Query Language) lehrt K3 ausführlich als Handwerk für Telemetrie von Anwendungen: K3, Lektion 3.4.4 mit Application Insights, Sampling, Joins und Abfragen als Dateien. Das wiederholt diese Lektion nicht. Hier steht der Betrieb: der Arbeitsbereich, seine Tarife, Aufbewahrung und Kosten, die Abfrage im Portal und auf der Kommandozeile, und so viel KQL, wie die Aufgaben der Administration brauchen. Die Diagnoseeinstellungen, die den Arbeitsbereich füllen, stehen in Lektion 5.1, Warnungen aus Abfragen in Lektion 5.3.

Der Arbeitsbereich

Ein Log-Analytics-Arbeitsbereich (workspace) ist der Speicher für Protokolldaten von Azure Monitor. Er enthält Tabellen; jede Tabelle hat Spalten und Zeilen. Die Daten kommen aus Diagnoseeinstellungen von Ressourcen, vom Aktivitätsprotokoll, von Agenten auf Maschinen und von Anwendungen. Typische Tabellen:

Welche Tabellen und Spalten es gibt, zeigt die Registerkarte Tables im Abfrage-Editor.

Tabellenpläne

Jede Tabelle hat einen Plan:

• Analytics: voller Funktionsumfang, Abfragen, Warnungen; der Normalfall.
• Basic: billiger zu speichern, eingeschränkte Abfragen; fest 30 Tage abfragbar.
• Auxiliary: noch billiger für seltene Zugriffe, bei Alarmen nicht nutzbar.

Ein Wechsel ist je Tabelle nur einmal pro Woche möglich, und nicht jede Tabelle unterstützt alle Pläne. Wer Daten nur aufheben will, nimmt Basic oder Auxiliary; wer Warnungen auf der Tabelle braucht, bleibt bei Analytics.

Aufbewahrung

• Standard: 30 Tage für Tabellen mit dem Plan Analytics (einzelne Tabellen haben 90 Tage). Sie erhöhen den Wert auf bis zu zwei Jahre (730 Tage). 31 Tage sind im Aufnahmepreis enthalten; ein kürzerer Wert spart nichts.
• Gesamtaufbewahrung (total retention): Danach bleiben die Daten in der Tabelle als Langzeitaufbewahrung und sind über Suchaufträge (search jobs) abrufbar, insgesamt bis zu 12 Jahre. Der Befehl az monitor log-analytics workspace table update nimmt --total-retention-time bis 2556 Tage; für mehr nutzen Sie das Portal.
• Der Standardwert gilt für den Arbeitsbereich (Portal: Usage and estimated costs → Data Retention), kann aber je Tabelle abweichen (Tables → Manage table).

az monitor log-analytics workspace update --resource-group <gruppe> `
  --workspace-name <arbeitsbereich> --retention-time 60
az monitor log-analytics workspace table update --resource-group <gruppe> `
  --workspace-name <arbeitsbereich> --name AzureActivity `
  --retention-time 90 --total-retention-time 365

Preis, Tagesgrenze, Zugriff

Abgerechnet wird die aufgenommene Datenmenge. Der Standardtarif ist laut CLI-Referenz PerGB2018; daneben gibt es Tarife mit reservierter Kapazität (CapacityReservation). Eine Tagesgrenze (daily cap) beendet die Aufnahme abrechenbarer Daten für den Rest von 24 Stunden, wenn sie erreicht ist; ein Ereignis in der Tabelle Operation zeigt es an. Microsoft warnt: Sie ist ein Schutz vor Ausreißern, kein Werkzeug zum Sparen, denn danach sind Sie für Warnungen und Überwachung blind. Ein Alarm vor der Grenze ist besser. Einstellen: Portal Usage and estimated costs → Daily Cap, oder --quota <GB-pro-Tag> bei az monitor log-analytics workspace create und update.

Zugriff gewähren Sie mit Azure RBAC (Lektion 1.3): Die eingebaute Rolle Log Analytics Reader erlaubt das Lesen und Abfragen, Log Analytics Contributor zusätzlich das Verwalten. Der Arbeitsbereich ist eine Ressource wie jede andere und liegt in einer Ressourcengruppe.