0

我在 Microsoft Azure 中设置了基于日志的警报。通过 ARM 模板完成警报的部署。您可以在其中输入查询并设置阈值，如下所示。

 "triggerThresholdOperator": {
        "value": "GreaterThan"
      },
      "triggerThreshold": {
        "value": 0
      },
      "frequencyInMinutes": {
        "value":15
      },
      "timeWindowInMinutes": {
        "value": 15
      },
      "severityLevel": {
        "value": "0"
      },
      "appInsightsQuery": {
        "value": "exceptions\r\n| where A_ != '2000' \r\n| where A_ != '4000' \r\n| where A_ != '3000' "
      }

据我了解，我们只能在整个查询中设置一次阈值。

问题：我的查询中有多个语句，我将其排除在外，因为它只是一种噪音。但现在我想将值 3000 的阈值设置为 5，并且还想在同一个查询中将时间窗口设置为 30 。意味着仅在过去 30 分钟内发生 5 次时排除 3000（当查询运行时）。

exceptions
| where A_ != '2000' 
| where A_ != '4000' 
| where A_ != '3000'

我很确定我不能在查询中设置这样的阈值，唯一的解决方法是为值 3000 创建一个新警报并在 ARM 模板中设置一个阈值。我在 Aure 中没有找到任何重的阈值/时间过滤器。有什么方法可以在单个查询中设置多个阈值和时间过滤器？这再次被 ARM 模板中的不同阈值和时间文件检查。

谢谢。

4

2 回答 2

0

您可以轻松地在查询中设置它并根据聚合结果触发。

exceptions
| where timestamp > ago(30m)
| summarize count2000 = countif(A_ == '2000'), count3000 = countif(A_ == '3000'), count4000 = countif(A_ == '4000')
| where count2000 > 5 or count3000 > 3 or count4000 > 4

如果结果数大于 1，则应用聚合条件。

于 2021-01-04T16:29:39.717 回答
0

我不完全理解你的问题。

但是对于您的时间窗口问题，您可以执行类似的操作

exceptions
| summarize count() by A_, bin(TimeGenerated, 30m)

这样，您将在 30 分钟内获得 A_ 的计数。

另一种方法是：

let Materialized = materialize(
exceptions
| summarize Count=count(A_) by bin(TimeGenerated, 30m)
); 
Materialized | where Count == 10

但是话又说回来，这一切都取决于您想要实现的目标

于 2021-01-03T21:14:32.047 回答