在 Azure Monitor 中运行搜索作业

若要运行搜索作业，请在 Azure 门户中执行以下操作：

1. 在“Log Analytics 工作区”菜单中，选择“日志”。

2. 请选择屏幕右侧的省略号菜单，然后将“搜索作业模式”切换为开启状态。

   

   Azure Monitor 日志 intellisense 支持搜索作业模式下的 KQL 查询限制，有助于写入搜索作业查询。

3. 使用时间选取器指定搜索作业日期范围。

4. 请键入搜索作业查询，并选择“搜索作业”按钮。

   Azure Monitor 日志会提示你提供结果集表的名称，并通知你会对搜索作业进行计费。

   

5. 请输入搜索作业结果表的名称，然后选择“运行搜索作业”。

   Azure Monitor 日志运行搜索作业，并在工作区中为搜索作业结果创建新表。

   

6. 新表准备就绪后，选择“查看 tablename_SRCH”，即可在 Log Analytics 中查看该表。

   

   当搜索作业结果开始流入新创建的搜索作业结果表时，可以看到它们。

   

   Azure Monitor 日志会在搜索作业结束时显示“搜索作业已完成”这一消息。 结果表现已准备就绪，其中包含与搜索查询匹配的所有记录。

   

若要运行搜索作业，请调用表 - 创建或更新 API。 该调用包括要创建的结果表的名称。 结果表的名称必须以 _SRCH 结尾。

PUT https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/<TableName>_SRCH?api-version=2021-12-01-preview

请求正文

在请求正文中包含以下值：

示例请求

此示例创建一个名为 Syslog_suspected_SRCH 的表，其中包含在 Syslog 表中搜索特定记录的查询结果。

请求

PUT https://management.chinacloudapi.cn/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Syslog_suspected_SRCH?api-version=2021-12-01-preview

请求正文

{
    "properties": { 
        "searchResults": {
                "query": "Syslog | where * has 'suspected.exe'",
                "limit": 1000,
                "startSearchTime": "2020-01-01T00:00:00Z",
                "endSearchTime": "2020-01-31T00:00:00Z"
            }
    }
}

响应

状态代码：202 已接受。

若要运行搜索作业，请运行 az monitor log-analytics workspace table search-job create 命令。 你使用 --name 参数设置的结果表的名称必须以“_SRCH”结尾。

示例

az monitor log-analytics workspace table search-job create --subscription ContosoSID --resource-group ContosoRG  --workspace-name ContosoWorkspace --name HeartbeatByIp_SRCH --search-query 'Heartbeat | where ComputerIP has "00.000.00.000"' --limit 1500 --start-search-time "2022-01-01T00:00:00.000Z" --end-search-time "2022-01-08T00:00:00.000Z" --no-wait

若要运行搜索作业，请运行 New-AzOperationalInsightsSearchTable 命令。 你使用 TableName 参数设置的结果表的名称必须以“_SRCH”结尾。

示例

New-AzOperationalInsightsSearchTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName HeartbeatByIp_SRCH -SearchQuery "Heartbeat" -StartSearchTime "01-01-2022 00:00:00" -EndSearchTime "01-01-2022 00:00:00"

1. 在“Log Analytics 工作区”菜单中，选择“日志”。

2. 在“表”选项卡中，选择“搜索结果”以查看所有搜索作业结果表。

   在搜索作业完成之前，搜索作业结果表上的图标都会显示更新指示。

   

调用 Tables - Get API 获取搜索作业的状态和详细信息：

GET https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/<TableName>_SRCH?api-version=2021-12-01-preview

表状态

每个搜索作业表都有一个名为 provisioningState 的属性，该属性可以具有下列值之一：

示例请求

本示例检索上一示例中搜索作业的表状态。

请求

GET https://management.chinacloudapi.cn/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Syslog_SRCH?api-version=2021-12-01-preview

响应

{
        "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 30,
        "archiveRetentionInDays": 0,
        "plan": "Analytics",
        "lastPlanModifiedDate": "Mon, 01 Nov 2021 16:38:01 GMT",
        "schema": {
            "name": "Syslog_SRCH",
            "tableType": "SearchResults",
            "description": "This table was created using a Search Job with the following query: 'Syslog | where * has 'suspected.exe'.'",
            "columns": [...],
            "standardColumns": [...],
            "solutions": [
                "LogManagement"
            ],
            "searchResults": {
                "query": "Syslog | where * has 'suspected.exe'",
                "limit": 1000,
                "startSearchTime": "Wed, 01 Jan 2020 00:00:00 GMT",
                "endSearchTime": "Fri, 31 Jan 2020 00:00:00 GMT",
                "sourceTable": "Syslog"
            }
        },
        "provisioningState": "Succeeded"
    },
    "id": "subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Syslog_SRCH",
    "name": "Syslog_SRCH"
}

若要检查搜索作业表的状态和详细信息，请运行 az monitor log-analytics workspace table show 命令。

示例

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name HeartbeatByIp_SRCH --output table \

若要检查搜索作业表的状态和详细信息，请运行 Get-AzOperationalInsightsTable 命令。

示例

Get-AzOperationalInsightsTable -ResourceGroupName "ContosoRG" -WorkspaceName "ContosoWorkspace" -tableName "HeartbeatByIp_SRCH"