Функции в запросах логов Azure Monitor

Функция — это запрос журнала в Azure Monitor, который можно использовать в других запросах журнала, как будто это команда. Вы можете использовать функции для предоставления решений для разных клиентов, а также повторного использования логики запросов в собственной среде. В этой статье описывается, как использовать функции и как создавать собственные.

Требуемые разрешения

Типы функций

Существует два типа функций в Azure Monitor:

• Функции решения Solution: В Azure Monitor включены предварительно созданные функции. Эти функции доступны во всех Log Analytics рабочих областях и не могут быть изменены.

• функции Workspace: Эти функции устанавливаются в определенной рабочей области Log Analytics. Их можно изменить и контролировать пользователем.

Функции представления

Функции решения и функции рабочей области можно просмотреть на вкладке Functions в левой панели текущей рабочей области Log Analytics. Используйте фильтр для фильтрации функций, включенных в список. Используйте Группировать по, чтобы изменить группировку. Введите строку в поле поиска , чтобы найти определенную функцию. Наведите указатель мыши на функцию, чтобы просмотреть сведения о ней, включая описание и параметры.

Использование функции

Используйте функцию в запросе, введя его имя со значениями для всех параметров, аналогичных типу команды. Выходные данные функции можно возвратить в виде результатов или предать другой команде.

Чтобы добавить функцию в текущий запрос, дважды щелкните ее имя или наведите на нее указатель мыши и выберите пункт Использовать в редакторе. Функции рабочей области также будут отображаться в IntelliSense при вводе запроса.

Если запрос требует параметров, предоставьте их с помощью синтаксиса function_name(param1,param2,...).

Создание функции

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "resources": [
        {
            "type": "Microsoft.OperationalInsights/workspaces/savedSearches",
            "apiVersion": "2025-07-01",
            "name": "[concat(parameters('workspaceName'), '/', parameters('functionName'))]",
            "location": "[parameters('location')]",
            "properties": {
                "etag": "*",
                "displayName": "[parameters('functionDisplayName')]",
                "category": "[parameters('category')]",
                "query": "[parameters('query')]",
                "functionAlias": "[parameters('functionAlias')]",
                "version": 1
            }
        }
    ],
    "parameters": {
        "workspaceName": {
            "type": "string",
            "metadata": {
                "description": "Name of the Log Analytics workspace"
            }
        },
        "functionName": {
            "type": "string",
            "metadata": {
                "description": "Name of the function"
            }
        },
        "location": {
            "type": "string",
            "metadata": {
                "description": "Location of the Log Analytics workspace"
            }
        },
        "functionDisplayName": {
            "type": "string",
            "metadata": {
                "description": "Display name of the function"
            }
        },
        "category": {
            "type": "string",
            "metadata": {
                "description": "Category of the function"
            }
        },
        "query": {
            "type": "string",
            "metadata": {
                "description": "Kusto query for the function"
            }
        },
        "functionAlias": {
            "type": "string",
            "metadata": {
                "description": "Alias for the function"
            }
        }
    }
}

@description('Name of the Log Analytics workspace')
param workspaceName string

@description('Name of the function')
param functionName string

@description('Location of the Log Analytics workspace')
param location string

@description('Display name of the function')
param functionDisplayName string

@description('Category of the function')
param category string

@description('Kusto query for the function')
param query string

@description('Alias for the function')
param functionAlias string

resource workspaceName_function 'Microsoft.OperationalInsights/workspaces/savedSearches@2025-07-01' = {
    name: '${workspaceName}/${functionName}'
    location: location
    properties: {
        etag: '*'
        displayName: functionDisplayName
        category: category
        query: query
        functionAlias: functionAlias
        version: 1
    }
}

Параметры функции

Можно добавить параметры в функцию, чтобы вы могли предоставлять значения для определенных переменных при вызове. В результате одна и та же функция может использоваться в разных запросах, каждая из которых предоставляет разные значения для параметров. Параметры определяются следующими свойствами:

Параметры упорядочены по мере их создания. Параметры, не имеющие значения по умолчанию, размещаются перед параметрами, имеющими значение по умолчанию.

Работа с кодом функции

Вы можете просмотреть код функции, чтобы получить представление о том, как он работает, либо чтобы изменить его для рабочей области. Чтобы добавить код функции в текущий запрос в редакторе, щелкните Загрузить код функции.

Если добавить код функции в пустой запрос или первую строку существующего запроса, имя функции добавляется на вкладку. Функция рабочей области позволяет изменять сведения о функции.

Изменение функции

Измените свойства или код функции, создав новый запрос. Наведите указатель мыши на имя функции и выберите код функции Load. Внесите изменения в код и нажмите кнопку "Сохранить". Затем выберите "Изменить сведения о функции". Внесите изменения в свойства и параметры функции и нажмите кнопку "Сохранить".

Пример

В следующем примере функции возвращаются все события в журнале действий Azure с определенной даты и соответствующие определенной категории.

Начните со следующего запроса с помощью жестко закодированных значений, чтобы убедиться, что запрос работает должным образом.

AzureActivity
| where CategoryValue == "Administrative"
| where TimeGenerated > todatetime("2021/04/05 5:40:01.032 PM")

Затем замените жестко закодированные значения именами параметров. Затем сохраните функцию, нажав кнопку "Сохранить>как функцию".

AzureActivity
| where CategoryValue == CategoryParam
| where TimeGenerated > DateParam

Укажите следующие значения свойств функции:

Перед сохранением функции определите следующие параметры:

Создайте запрос и просмотрите новую функцию, наведя на нее указатель мыши. Просмотрите порядок параметров. Они должны быть указаны в этом порядке при использовании функции.

Выберите "Использовать в редакторе ", чтобы добавить новую функцию в запрос. Затем добавьте значения для параметров. Не нужно указывать значение, CategoryParam так как оно имеет значение по умолчанию.

Следующие шаги

См. Операции со строками для получения дополнительной информации о том, как составлять запросы к журналам Azure Monitor.