问题描述
我正在尝试为 Azure 监视器警报设置新的自定义条件规则，但是当我输入我的 kql 查询时，它没有显示预期的数据。当我在日志中运行相同查询时，它输出 9 行满足我的条件，但由于某种原因，监视器警报中没有显示任何数据。
我可以看到问题出在最后一个条件 | where Anomaly has "1" 中，因为我在删除此条件时获取数据 - 但我需要将其包含在查询中（或至少包含它的类似版本）。有什么建议么？ （我也试过 contains 和 == 但它给出了同样的问题）
ADFPipelineRun
| where TimeGenerated >= ago(30d)
| where PipelineName startswith "Dataflow"
| extend customerName = extractjson("$.customerName",Parameters,typeof(string))
| extend customerBranchName = extractjson("$.customerBranchName",typeof(string))
| extend databaseName = extractjson("$.databaseName",typeof(string))
| join (ADFActivityRun
| where ActivityType == "copy" and Status == "Succeeded"
| extend Rowscopied = extractjson("$.rowscopied",Output,typeof(int)))
on CorrelationId
| summarize AggregatedValue=any(Rowscopied) by customerName,customerBranchName,databaseName,PipelineName,bin(TimeGenerated,1d)
| order by TimeGenerated
| summarize EventCount=make_list(AggregatedValue),TimeGenerated=make_list(TimeGenerated) by customerName,PipelineName
| extend (anomalies,score,baseline)=series_decompose_anomalies(EventCount,5,"avg")
| extend Anomaly = array_slice(anomalies,0)
| where Anomaly has "1"
感谢您的任何好主意和帮助:)
解决方法
最普遍的答案：从逆向工作开始并验证您的假设。
删除最后的 | where... 行并查看查询返回的内容。
有 1s 吗？
has 和 has_any 和 contains 都具有微妙的不同语义，因此您可能需要使用其中之一或其他。
如果您的结果没有 1，那么再返回一行，您的 array_slice 调用是否返回了您认为的项目？
如果您只想要第 0 个项目，为什么还要使用切片？为什么不直接使用 Anomaly=anomalies[0] ？
如果没有您的确切数据集，我们就无法准确重现查询/结果。
,问题最终出在 Azure Monitor 警报功能上。自定义警报有一个预定义的时间范围，它会在该时间范围内评估查询，并且无法手动扩展。
在Azure给出的预定义时间段内，没有发现任何记录（时间太短，无法评估是否发生异常..）
我通过创建使用上述 M 查询的 power bi 报告解决了这个问题，并使用了 power bi 服务提供的警报功能。