0

我正在尝试为 Azure 监视器警报规则设置新的自定义条件，但是当我输入我的 kql 查询时，它没有显示预期的数据。当我在 Logs 中运行相同的查询时，它会输出 9 行满足我的条件，但由于某种原因，Monitor Alerts 中没有显示任何数据。

我可以看到问题出在最后一个条件| where Anomaly has "1"中，因为我在删除此条件时获取数据 - 但我需要将其包含在查询中（或至少是它的类似版本）。有什么建议么？（我也试过 contains 和 == 但它给出了同样的问题）

ADFPipelineRun 
| where TimeGenerated >= ago(30d)
| where PipelineName startswith "Dataflow"
| extend customerName = extractjson("$.customerName", Parameters, typeof(string))
| extend customerBranchName = extractjson("$.customerBranchName", Parameters, typeof(string))
| extend databaseName = extractjson("$.databaseName", Parameters, typeof(string))
| join (ADFActivityRun
        | where ActivityType == "Copy" and Status == "Succeeded"
        | extend RowsCopied = extractjson("$.rowsCopied", Output, typeof(int)))
    on CorrelationId
| summarize AggregatedValue=any(RowsCopied) by customerName, customerBranchName, databaseName, PipelineName, bin(TimeGenerated,1d)
| order by TimeGenerated
| summarize EventCount=make_list(AggregatedValue),TimeGenerated=make_list(TimeGenerated) by customerName, customerBranchName, databaseName, PipelineName
| extend (anomalies, score, baseline)=series_decompose_anomalies(EventCount, 5, 0, "avg")
| extend Anomaly = array_slice(anomalies,0,0)
| where Anomaly has "1"

感谢您的任何好主意和帮助:)

4

2 回答 2

0

最普遍的答案是：从逆向工作开始并验证您的假设。

删除最后| where...一行并查看查询返回的内容。有1s吗？

has并且has_any都contains具有微妙的不同语义，因此您可能需要使用其中一个或其他或其他东西。

如果您的结果没有 1，那么再返回一行，您的array_slice呼叫是否返回您认为的项目？

如果您只想要第 0 项，为什么还要使用切片？为什么不直接使用Anomaly=anomalies[0]？

如果没有您的确切数据集，我们无法准确地重现查询/结果。

于 2021-06-03T00:01:21.723 回答
0

最后，问题出在 Azure Monitor 警报功能中。自定义警报有一个预定义的时间范围，在该时间范围内评估查询，并且不能手动扩展。

在 Azure 给定的预定义时间段内，没有找到任何记录（时间太短，无法评估是否出现异常..）

我通过创建使用上述 M 查询的 power bi 报告解决了这个问题，并使用了 power bi 服务提供的警报功能。

于 2021-06-08T08:40:58.870 回答