Azure 监视器规则的自定义条件不显示预期数据

Posted 2023-02-19

【中文标题】Azure 监视器规则的自定义条件不显示预期数据

【英文标题】：Custom condition for Azure monitor rule doesn't show expected data

【发布时间】：2021-08-20 15:54:35

【问题描述】：

我正在尝试为 Azure 监视器警报设置 新的自定义条件 规则，但是当我输入我的 kql 查询时，它没有显示预期的数据。当我在 Logs 中运行 same query 时，它会输出 9 行满足我的条件，但由于某种原因，Monitor Alerts 中没有显示任何数据。

我可以看到问题出在最后一个条件 | where Anomaly has "1" 中，因为我在删除此条件时获取了数据 - 但我需要将其包含在查询中（或至少是它的类似版本）。有什么建议？ （我也试过 contains 和 == 但它给出了同样的问题）

ADFPipelineRun 
| where TimeGenerated >= ago(30d)
| where PipelineName startswith "Dataflow"
| extend customerName = extractjson("$.customerName", Parameters, typeof(string))
| extend customerBranchName = extractjson("$.customerBranchName", Parameters, typeof(string))
| extend databaseName = extractjson("$.databaseName", Parameters, typeof(string))
| join (ADFActivityRun
        | where ActivityType == "Copy" and Status == "Succeeded"
        | extend RowsCopied = extractjson("$.rowsCopied", Output, typeof(int)))
    on CorrelationId
| summarize AggregatedValue=any(RowsCopied) by customerName, customerBranchName, databaseName, PipelineName, bin(TimeGenerated,1d)
| order by TimeGenerated
| summarize EventCount=make_list(AggregatedValue),TimeGenerated=make_list(TimeGenerated) by customerName, customerBranchName, databaseName, PipelineName
| extend (anomalies, score, baseline)=series_decompose_anomalies(EventCount, 5, 0, "avg")
| extend Anomaly = array_slice(anomalies,0,0)
| where Anomaly has "1"

感谢任何好的想法和帮助:)

【问题讨论】：

你能检查has_any("1")是否有效吗？

【参考方案1】：

最一般的答案：从逆向工作开始并验证您的假设。

删除最后的| where... 行并查看查询返回的内容。 有1s吗？

has 和 has_any 和 contains 都有细微的不同语义，所以你可能需要使用其中一个或其他什么的。

如果您的结果没有 1，那么再返回一行，您的 array_slice 调用是否返回您认为的项目？

如果你只想要第 0 项，为什么还要使用 slice？为什么不直接使用Anomaly=anomalies[0]？

如果没有您的确切数据集，我们无法准确地重现查询/结果。

【参考方案2】：

问题最终出在 Azure Monitor 警报功能上。自定义警报有一个预定义的时间范围，它会在该时间范围内评估查询，并且不能手动扩展。

在Azure给定的预定义时间段内，没有找到任何记录（时间太短，无法评估是否出现异常......）

我通过创建一个使用上述 M 查询的 power bi 报告解决了这个问题，并使用了 power bi 服务提供的警报功能。