Consultar dados em uma tabela Básica e Auxiliar nos Logs do Azure Monitor

As tabelas de logs básicos e auxiliares reduzem o custo de ingestão de logs detalhados de alto volume e permitem que você consulte os dados que eles armazenam com algumas limitações. Este artigo explica como consultar dados de tabelas de logs Básico e Auxiliar.

Para obter mais informações sobre planos de tabela Básico e Auxiliar, consulte Visão geral de logs do Azure Monitor: Planos de tabela.

Permissões necessárias

Você deve ter Microsoft.OperationalInsights/workspaces/query/*/read permissões para os espaços de trabalho do Log Analytics consultados, conforme fornecido pela função interna do Log Analytics Reader, por exemplo.

Limitações

As consultas de dados nas tabelas Básica e Auxiliar estão sujeitas às seguintes limitações:

Limitações do idioma Kusto Query Language (KQL)

As consultas de dados em tabelas Básicas ou Auxiliares suportam todas as funções escalares e de agregação do KQL. No entanto, as consultas de tabela Básica ou Auxiliar são limitadas a uma única tabela. Por conseguinte, estas limitações aplicam-se:

• Os operadores que unem dados de várias tabelas são limitados:

  • Não há suporte para Join, Find, Search e ExternalData.
  • lookup e union são suportadas, mas limitadas a no máximo cinco tabelas de Analytics.

• Não há suporte para funções definidas pelo usuário.

• Não há suporte para consultas entre serviços e entre recursos.

Intervalo de tempo

Especifique a data/hora de início e término usando o seletor de intervalo de tempo no Log Analytics ou usando a sintaxe do intervalo de tempo com uma chamada de API. Se você especificar o intervalo de tempo na consulta, a união do seletor de intervalo de tempo e o intervalo de tempo KQL será usada.

As tabelas de log auxiliares suportam um intervalo de tempo para o período total de retenção. As tabelas de log básicas suportam um intervalo de tempo até os últimos 30 dias. Se precisar encontrar dados entre 30 dias atrás e o período total de retenção da tabela Básica, use um trabalho de pesquisa. Para obter mais informações, consulte Pesquisar vagas em tabelas básicas.

Âmbito de consulta

Defina o espaço de trabalho do Log Analytics como o escopo da sua consulta. Não é possível executar consultas usando outro recurso para o escopo. Para obter mais informações sobre o escopo da consulta, consulte Escopo e intervalo de tempo da consulta de log no Azure Monitor Log Analytics.

Consultas simultâneas

Você pode executar duas consultas simultâneas por usuário. Para obter mais informações, consulte Limites de consulta do Log Analytics.

Desempenho da consulta de log auxiliar

As consultas de dados em tabelas auxiliares não são otimizadas e podem levar mais tempo para retornar resultados do que as consultas executadas nas tabelas Analytics e Basic.

Remover

Não é possível limpar dados pessoais das tabelas Básica e Auxiliar.

Executar uma consulta em uma tabela Básica ou Auxiliar

A execução de uma consulta em tabelas Básicas ou Auxiliares segue as mesmas etapas que a consulta de qualquer outra tabela no Log Analytics. Para obter mais informações, consulte o tutorial do Log Analytics.

https://api.loganalytics.io/v1/workspaces/{workspaceId}/search?timespan=P1D

{
    "query": "ContainerLogV2 | where Computer == \"some value\"\n",
}

Modelo de preços

A cobrança por uma consulta nas tabelas Básica e Auxiliar é baseada na quantidade de dados que a consulta examina, que depende do tamanho da tabela e do intervalo de tempo da consulta. Os dados digitalizados são definidos como o volume de dados que foi ingerido dentro do intervalo de tempo especificado pela consulta para a tabela que está sendo consultada. Por exemplo, uma consulta que verifica três dias de dados em uma tabela que ingere 100 GB por dia seria cobrada por 300 GB.

Para obter mais informações, consulte Preços do Azure Monitor.

Conteúdo relacionado

• Saiba mais sobre os planos de tabela do Azure Monitor Logs.