Суммируйте данные в рабочей области Log Analytics с использованием правил сводки

Правило сводки позволяет агрегировать данные журнала по регулярному курсу и отправлять агрегированные результаты в настраиваемую таблицу журналов в рабочей области Log Analytics. Используйте сводные правила для оптимизации данных:

Анализ и отчеты, особенно с большими наборами данных и диапазонами времени, например, анализ безопасности и инцидентов, а также месячные и ежегодные бизнес-отчеты. Часто истекает время ожидания сложных запросов к большому набору данных. Проще и эффективнее анализировать и сообщать о чистых и агрегированных сводных данных.
Снижение затрат на подробные журналы, которые можно хранить в недорогой таблице журналов Basic столько, сколько нужно — от минимального до длительного срока, а сводные данные отправлять в таблицу Analytics для анализа и подготовки отчетов.
Безопасность и конфиденциальность данных путем удаления или скрытия сведений о конфиденциальности в обобщенных общих данных и ограничения доступа к таблицам с необработанными данными.

В этой статье описывается, как работают правила сводки и как определять и просматривать сводные правила, а также приведены некоторые примеры использования и преимуществ сводных правил.

Ниже приведено видео, в которое представлен обзор некоторых преимуществ сводных правил:

Как работают сводные правила

Сводные правила выполняют пакетную обработку непосредственно в рабочей области Log Analytics. Сводное правило агрегирует фрагменты данных, определенные размером интервалов, на основе KQL-запроса и снова вносит суммированные результаты в пользовательскую таблицу с использованием плана журнала Analytics в рабочей области Log Analytics.

Диаграмма, показывающая, как данные поступают в пространство Log Analytics и агрегируются и повторно принимаются в пространство с помощью правила суммирования.

Сводные правила агрегируют данные из любой таблицы независимо от того, имеет ли таблица план аналитики или базовый план данных. Azure Monitor создает схему целевой таблицы на основе определяемого запроса. Если целевая таблица уже существует, Azure Monitor добавляет все столбцы, необходимые для поддержки результатов запроса. Все целевые таблицы также включают набор стандартных полей с информацией о сводных правилах, в том числе включая:

_RuleName: сводное правило, создающее агрегированную запись журнала.
_RuleLastModifiedTime: когда правило было в последний раз изменено.
_BinSize: интервал агрегирования.
_BinStartTime: время начала агрегирования.

Настройте до 100 активных правил для агрегирования данных из нескольких таблиц и отправки агрегированных данных в отдельные целевые таблицы или одну и ту же таблицу.

Чтобы экспортировать суммированные данные из пользовательской таблицы журналов в учетную запись хранения или Центры событий для дальнейшей интеграции, определите правило экспорта данных.

Пример. Сводка данных ContainerLogV2

Если вы отслеживаете контейнеры, вы загружаете большой объем подробных журналов в таблицу ContainerLogV2.

Вы можете использовать этот запрос в правиле формирования сводки для агрегирования уникальных записей в течение 60 минут, передавая в таблицу назначения только те данные, которые полезны для анализа:

ContainerLogV2 
| summarize Count = count() 
  by
  Computer, 
  ContainerName,
  PodName, 
  PodNamespace, 
  LogSource, 
  LogLevel, 
  Message = tostring(LogMessage.Message)

Ниже приведены необработанные данные в ContainerLogV2 таблице:

Ниже приведены агрегированные данные, которые правило сводки отправляет в целевую таблицу:

Вместо ведения журнала сотен аналогичных записей в течение часа в целевой таблице отображается количество каждой уникальной записи, как определено в запросе KQL. Задайте базовый план данных в ContainerLogV2 таблице для хранения необработанных данных с низкой стоимостью и используйте суммированные данные в целевой таблице для ваших потребностей в анализе.

Требуемые разрешения

Действие	Требуемые разрешения
Создание или обновление сводного правила	`Microsoft.Operationalinsights/workspaces/summarylogs/write` разрешения для рабочей области Log Analytics, предоставляемые встроенной ролью Участник Log Analytics, например
Создание или обновление целевой таблицы	`Microsoft.OperationalInsights/workspaces/tables/write` разрешения для рабочей области Log Analytics, предоставляемые встроенной ролью Участник Log Analytics, например
Включение функции запроса в рабочей области	`Microsoft.OperationalInsights/workspaces/query/read` разрешения для рабочей области Log Analytics, как указано встроенной ролью Log Analytics Reader, например
Запросить все таблицы в рабочей области	`Microsoft.OperationalInsights/workspaces/query/*/read` разрешения для рабочей области Log Analytics, как указано встроенной ролью Log Analytics Reader, например
Запрос данных журналов в таблице	`Microsoft.OperationalInsights/workspaces/query/<table>/read` разрешения для рабочей области Log Analytics, как указано встроенной ролью Log Analytics Reader, например
Журналы запросов в таблице (действие таблицы)	`Microsoft.OperationalInsights/workspaces/tables/query/read` разрешения для рабочей области Log Analytics, как указано встроенной ролью Log Analytics Reader, например
Использование запросов, зашифрованных в управляемой клиентом учетной записи хранения	`Microsoft.Storage/storageAccounts/*` разрешения для учетной записи хранилища, определенные встроенной ролью Участника учетной записи хранилища, например

Вопросы реализации

Максимальное количество активных правил в рабочей области — 100.
Сводные правила в настоящее время доступны только в общедоступном облаке.
Сводное правило обрабатывает входящие данные и не разрешает исторический диапазон времени. Данные могут обрабатываться только за последние до 24 часов. Это соответствует максимальному binSize 1440 минутам, если binStartTime установлено на полный 24-часовой период.
Создание сводного правила с запросом в другом клиенте в Lighthouse не поддерживается.
Добавление преобразования рабочей области в целевую таблицу правила агрегирования не поддерживается.
Использование union * и isfuzzy=true в запросах сводных правил не поддерживается.

Модель ценообразования сводного правила

Сводные правила не несут дополнительных затрат. Вы платите только за запрос и прием результатов в целевую таблицу на основе плана таблицы исходной таблицы, в которой выполняется запрос:

План исходной таблицы	Затраты на запросы	Общая стоимость интеграции результатов
Аналитика	Бесплатны.	Прием журналов Аналитики
Базовый и вспомогательный	Сканирование данных	Прием журналов Аналитики

Например, вычисление затрат для почасового правила, возвращающего 100 записей за ячейку, составляет:

План исходной таблицы	Ежемесячное вычисление цен
Аналитика	Цена приема x объем записей x количество записей x 24 часа x 30 дней.
Базовый и вспомогательный	Цена сканирования данных x отсканированный объем и цена приема x объем записи x количество записей x 24 часа x 30 дней. Для непрерывного выполнения правила выполняется проверка всех входящих данных в исходную таблицу.

Дополнительные сведения см. в разделе цены Azure Monitor.

Создание или обновление сводного правила

Операторы, доступные в запросе сводного правила, зависят от плана исходной таблицы в запросе.

Аналитика: поддерживает все операторы и функции KQL, кроме следующих:
- Запросы между различными ресурсами, использующие выражения , workspaces() и app(), и запросы между различными службами, использующие выражения resource() и .
- Подключаемые модули, которые переделывают схему данных, включая распаковку, сужение и поворот.
Базовый: поддерживает все операторы KQL в одной таблице. Объединяйте до пяти таблиц Analytics с помощью оператора lookup.
Функции: определяемые пользователем функции не поддерживаются. Поддерживаются системные функции, предоставляемые Microsoft.

Правила сводки обеспечивают наибольшую выгоду с точки зрения затрат и эффективности запросов, если запрос правила включает оператор summarize и количество или объём результатов значительно уменьшается. Например, старайтесь добиться объёма результата, составляющего 0,01% или менее от объёма исходных данных. Перед созданием правила проверьте запрос в Log Analytics и проверьте следующее:

Запрос создает предполагаемые результаты и схему.
Запрос не достигает или приближается к ограничениям API запросов. Если запрос близок к ограничениям запроса, рассмотрите возможность использования меньшего размера binSize для обработки меньшего числа данных на ячейку. В качестве альтернативы измените запрос, чтобы вернуть меньше записей или меньше полей с большим объемом.
Размер записи в результатах меньше 1 МБ.

Замечание

Не используйте фильтр времени в запросе сводного правила, так как запрос уже работает в течение диапазона времени, определенного размером ячейки. Если добавить фильтр времени, он объединяется с размером ячейки, что приводит к использованию только перекрывающийся период времени.

При обновлении запроса, если сводные результаты содержат меньше полей, Azure Monitor не удаляет автоматически столбцы из целевой таблицы. При необходимости удалите столбцы из таблицы вручную.

Чтобы создать или обновить сводное правило, выполните приведенные ниже действия.

На портале Azure перейдите в рабочую область Log Analytics.
В меню слева в разделе "Параметры" выберите "Правила".
Перейдите на вкладку "Сводка правил ".
Нажмите кнопку +Создать , чтобы создать новое правило сводки.
Введите имя правила, описание и целевую таблицу, а затем нажмите кнопку "Далее: задать логику правила".
Шаг логики правила начинается в интерфейсе запроса Log Analytics. Создайте и протестируйте запрос здесь, а затем примените его после получения ожидаемых результатов.
Выберите значение Сводка о выполнении каждые, соответствующее binSize, и при необходимости настройте другие параметры планирования. Затем выберите Далее: Проверка + создание.
Просмотрите параметры сводного правила, а затем нажмите кнопку "Создать".

Используйте следующую команду, чтобы создать или обновить сводное правило с помощью Azure CLI. <RuleName> становится свойством name для правила, а необязательный параметр displayName — это удобочитаемое имя, отображаемое в портале Azure для более удобной идентификации.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method put --url "$url" --body @body.json

Сохраните следующий код JSON , какbody.json в том же каталоге перед выполнением команды:

{
  "properties": {
    "ruleType": "User",
    "description": "My test rule",
    "ruleDefinition": {
      "query": "StorageBlobLogs | summarize count() by AccountName",
      "binSize": 30,
      "destinationTable": "MySummaryLogs_CL"
    }
  }
}

Используйте следующую команду, чтобы создать или обновить сводное правило с помощью Azure PowerShell. <RuleName> становится свойством name для правила, а необязательный параметр displayName — это удобочитаемое имя, отображаемое в портале Azure для более удобной идентификации.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

$body = @{
    properties = @{
        ruleType = "User"
        description = "My test rule"
        ruleDefinition = @{
            query = "StorageBlobLogs | summarize count() by AccountName"
            binSize = 30
            destinationTable = "MySummaryLogs_CL"
        }
    }
} | ConvertTo-Json -Depth 10

Invoke-AzRestMethod -Method PUT -Path $url -Payload $body

Используйте следующий PUT запрос для группы операций API управления журналамиПравила сводки, чтобы create or update правило сводки. <RuleName> становится свойством name для правила, а необязательный параметр displayName — это удобочитаемое имя, отображаемое в портале Azure для более удобной идентификации.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

{
  "properties": {
    "ruleType": "User",
    "description": "My test rule",
    "ruleDefinition": {
      "query": "StorageBlobLogs | summarize count() by AccountName",
      "binSize": 30,
      "destinationTable": "MySummaryLogs_CL"
    }
  }
}

Используйте этот шаблон для создания или обновления правила краткого изложения. Дополнительные сведения об использовании и развертывании шаблонов Azure Resource Manager см. в разделе Azure Resource Manager шаблоны. ПараметрsummaryRuleName, соответствующий входным данным<RuleName>, становится name свойством правила, а необязательный displayName — понятное имя, отображаемое на портале Azure для упрощения идентификации.

Создание или обновление шаблона правила сводки

Файл шаблона

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "String",
      "metadata": {
        "description": "The workspace name where summary rule is deployed."
      }
    },
    "summaryRuleName": {
      "type": "String",
      "metadata": {
        "description": "The summary rule name."
      }
    },
    "description": {
      "type": "String",
      "metadata": {
        "description": "A description of the rule."
      }
    },
    "location": {
      "defaultValue": "[resourceGroup().location]",
      "type": "String",
      "metadata": {
        "description": "The Location of the workspace summary rule is deployed."
      }
    },
    "ruleType": {
      "defaultValue": "User",
      "allowedValues": [
        "User"
      ],
      "type": "String",
      "metadata": {
        "description": "The summary rule type (User,System). Should be 'User' for and rule with query that you define."
      }
    },
    "query": {
      "type": "String",
      "metadata": {
      "description": "The query used in summary rules."
      }
    },
    "binSize": {
      "defaultValue": 60,
      "allowedValues": [
        20,
        30,
        60,
        120,
        180,
        360,
        720,
        1440
      ],
      "type": "Int",
      "metadata": {
        "description": "The execution interval in minutes, and the lookback time range."
      }
    },
    "destinationTable": {
      "type": "String",
      "metadata": {
        "description": "The name of the custom log table that the summary results are sent to. Name must end with '_CL'."
      }
    }
    // ----- optional -----
    // "displayName": {
    //   "type": "String",
    //   "metadata": {
    //     "description": "Optional - The summary rule display name when provided."
    //   }
    // },
    // "binDelay": {
    //   "type": "Int",
    //   "metadata": {
    //     "description": "Optional - The minimum wait time in minutes before bin execution. For example, value of '10' cause bin (01:00-02:00) to be executed after 02:10."
    //   }
    // },
    // "timeSelector": {
    //   "defaultValue": "TimeGenerated",
    //   "allowedValues": [
    //     "TimeGenerated"
    //   ],
    //   "type": "String",  
    //   "metadata": {
    //     "description": "Optional - The time field to be used by the summary rule. Must be 'TimeGenerated'."
    //   }
    // },
    // "binStartTime": {
    //   "type": "String",
    //   "metadata": {
    //     "description": "Optional - The Time of initial bin. Can start at current time minus binSize, or future, and in whole hours. For example: '2024-01-01T08:00'."
    //   }
    // }
  },
  "variables": {},
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/summaryLogs",
      "apiVersion": "2025-07-01",
      //"name": "[format('{0}/{1}', parameters('workspaceName'), parameters('summaryRuleName'))]",
      "name": "[concat(parameters('workspaceName'), '/', parameters('summaryRuleName'))]",
      "properties": {
        "ruleType": "[parameters('ruleType')]",
        "description": "[parameters('description')]",
        "ruleDefinition": {
          "query": "[parameters('query')]",
          "binSize": "[parameters('binSize')]",
          "destinationTable": "[parameters('destinationTable')]"
          // ----- optional -----
          //"binDelay": "[parameters('binDelay')]",
          //"timeSelector": "[parameters('timeSelector')]",
          //"binStartTime": "[parameters('binStartTime')]"
        }
      }
    }
  ]
}

Файл параметров

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "<WorkspaceName>"
    },
    "summaryRuleName": {
      "value": "<RuleName>"
    },
    "description": {
      "value": "My rule description"
    },
    "location": {
      "value": "<AzureRegion>" //Log Analytics workspace region
    },
    "ruleType": {
      "value": "User"
    },
    "query": {
      "value": "StorageBlobLogs | summarize Count = count(), DurationMs98 = percentile(DurationMs, 90) by StatusCode, CallerIpAddress, OperationName"
    },
    "binSize": {
      "value": 20
    },
    "destinationTable": {
      "value": "MySummaryLogs_CL"
    }
  }
}

Свойства сводного правила

В этой таблице описываются параметры, доступные для создания сводного правила и управления.

Параметр	Допустимые значения	Описание
`ruleType`	`User` или `System`	Указывает тип правила. - `User`: определяемые правила. - `System`: предопределенные правила, управляемые службами Azure.
`description`	Строка	Описывает правило и ее функцию. Этот параметр полезен при наличии нескольких правил и может помочь в управлении правилами.
`binSize`	`20`, `30`, `60120180360720`или `1440` (минуты)	Определяет интервал агрегирования и диапазон времени обратного просмотра. Например, если задано `"binSize": 120`, вы можете получить записи для `02:00 to 04:00` и `04:00 to 06:00`.
`query`	Запрос языка запросов Kusto (KQL)	Определяет запрос, выполняемый в правиле. Не нужно указывать диапазон времени, так как `binSize` параметр определяет интервал агрегирования, например, `02:00 to 03:00` если `"binSize": 60`. При добавлении фильтра времени в запросе диапазон времени, используемый в запросе, является пересечением между фильтром и размером ячейки.
`destinationTable`	tablename_CL	Указывает имя конечной настраиваемой таблицы журналов. Значение имени должно иметь суффикс `_CL`. Azure Monitor создает таблицу в рабочей области, если она еще не существует, на основе запроса, заданного в правиле. Если таблица уже существует в рабочей области, Azure Monitor добавляет новые столбцы, представленные в запросе. Если результаты сводки содержат зарезервированное имя столбца, например `TimeGenerated`, `_IsBillable`, `_ResourceId`, `TenantId` или `Type` - Azure Monitor добавляет префикс `_Original` к исходным полям, чтобы сохранить их исходные значения.
`binDelay` (необязательно)	Целое число (минуты)	Задает время ожидания перед выполнением пакета данных, что обычно полезно при работе с поздно поступающими данными, также известными как задержка загрузки, чтобы позволить основным данным прибыть. Задержка по умолчанию составляет от трех с половиной минут до 10 % `binSize` значения. Если вы знаете, что данные, которые вы запрашиваете, обычно приемируются с задержкой, задайте `binDelay` параметр с известным значением задержки или больше, до 1440 минут. Дополнительные сведения см. в разделе "Настройка времени агрегирования". В некоторых случаях Azure Monitor может начать выполнение биннинга чуть позже после задержки бина, чтобы обеспечить надежность службы и успешность запроса.
`retryBinStartTime`	Дата/время в `%Y-%n-%eT%H:%M %Z` формат	Повторно выполните корзину с помощью предоставленного `retryBinStartTime`. Остальные определения правила остаются без изменений с момента последнего обновления. Выбранное `retryBinStartTime` значение должно быть после `RuleLastModifiedTime` и соответствовать разделяниям `binSize`. Например, если правило `binSize` равно 20 минут, можно задать `retryBinStartTime` значение "2026-02-16T10:00:00Z", "2026-02-16T10:20:00Z" или "2026-02-16T10:40:00Z".
`binStartTime` (необязательно)	Дата/время в `%Y-%n-%eT%H:%M %Z` формат	Указывает дату и время начального выполнения ячейки. Значение может начинаться с даты создания правила минус значение или более поздние `binSize` и целые часы. Например, если дата и время имеет `2023-12-03T12:13ZbinSize` значение 1440, самое раннее допустимое `binStartTime` значение равно `2023-12-02T13:00Z`, а агрегирование включает данные, зарегистрированные в диапазоне от 02T13:00 до 03T13:00. В этом сценарии правила начинают агрегировать 03T13:00 плюс значение по умолчанию или указанную задержку. Параметр `binStartTime` полезен в ежедневных сценариях сводки. Предположим, что вы находитесь в часовом поясе UTC-8, и вы создаете ежедневное правило в `2023-12-03T12:13Z`. Вы хотите, чтобы правило завершилось до начала вашего дня, который начинается в 8:00 (00:00 UTC). Установите для параметра `binStartTime` значение `2023-12-02T22:00Z`. Первая агрегирование включает все данные, зарегистрированные в диапазоне от 02T:06:00 до 03T:06:00, а правило выполняется одновременно ежедневно. Дополнительные сведения см. в разделе "Настройка времени агрегирования". При обновлении правил выберите один из следующих параметров: — Используйте существующее `binStartTime` значение или удалите `binStartTime` параметр, в этом случае выполнение продолжается на основе начального определения. — Обновите правило, установив новое значение `binStartTime`, чтобы задать новое значение даты и времени.
`name`	Строка	Указывает имя правила. Имя должно быть уникальным в рабочей области и может содержать буквы, цифры, подчеркивания, дефисы и периоды (без пробелов). Значение имени используется в `_RuleName` поле в целевой таблице.
`displayName` (необязательно)	Строка	Указывает отображаемое имя правила в интерфейсе портала Azure.
`timeSelector` (необязательно)	`TimeGenerated`	Определяет поле метки времени, которое Azure Monitor используется для статистической обработки данных. Например, если задано `"binSize": 120`, можно получить записи со значением `TimeGenerated` между `02:00` и `04:00`.

Настройка времени агрегирования

По умолчанию сводное правило создает первую агрегирование вскоре после следующего часа.

Небольшая задержка, добавляемая Azure Monitor, учитывает задержку приема данных, то есть время между созданием данных в отслеживаемой системе и их доступностью для анализа в Azure Monitor. По умолчанию эта задержка составляет от трех до 10 минут до 10% значения размера ячейки перед агрегированием каждой ячейки. В большинстве случаев эта задержка гарантирует, что Azure Monitor агрегирует все данные, зарегистрированные в течение каждого периода bin.

Например:

Вы создаете сводное правило с интервалом в 30 минут в 14:44. Первая агрегация создается в 15:04, что является следующим целым часом плюс 4 минуты задержки.
Вы создаете сводное правило с размером 720 минут в 14:44. Первая агрегирование создается в 16:12, что является следующим целым часом плюс 72 минут (10% размером 720 ячеек) задержки.

Используйте параметры binStartTime и binDelay, чтобы изменить время первой агрегации и задержку, которую Azure Monitor добавляет перед каждой агрегацией.

В следующих разделах приведены примеры времени агрегирования по умолчанию и более сложные параметры времени агрегирования.

Использование времени агрегирования по умолчанию

В этом примере правило сводки создается в 2023-06-07 в 14:44 и Azure Monitor добавляет задержку по умолчанию в четыре минуты.

binSize (минуты)	Начальное выполнение правила	Первое агрегирование	Второе агрегирование
1440	2023-06-07 15:04	2023-06-06 15:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-08 15:00
720	2023-06-07 15:04	2023-06-07 03:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-08 03:00
360	2023-06-07 15:04	2023-06-07 09:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 21:00
180	2023-06-07 15:04	2023-06-07 12:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 18:00
120	2023-06-07 15:04	2023-06-07 13:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 17:00
шестьдесят	2023-06-07 15:04	2023-06-07 14:00 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 16:00
30	2023-06-07 15:04	2023-06-07 14:30 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 15:30
20	2023-06-07 15:04	2023-06-07 14:40 - 2023-06-07 15:00	2023-06-07 15:00 - 2023-06-07 15:20

Настройка необязательных параметров времени агрегирования

В этом примере сводное правило создается в 2023-06-07 в 14:44, а правило включает следующие дополнительные параметры конфигурации:

binStartTime: 08.06.2023 07:00
binDelay: 8 минут

binSize (минуты)	Начальное выполнение правила	Первое агрегирование	Второе агрегирование
1440	2023-06-09 07:08	2023-06-08 07:00 - 2023-06-09 07:00	2023-06-09 07:00 - 2023-06-10 07:00
720	2023-06-08 19:08	2023-06-08 07:00 - 2023-06-08 19:00	2023-06-08 19:00 - 2023-06-09 07:00
360	2023-06-08 13:08	2023-06-08 07:00 - 2023-06-08 13:00	2023-06-08 13:00 - 2023-06-08 19:00
180	2023-06-08 10:08	2023-06-08 07:00 - 2023-06-08 10:00	2023-06-08 10:00 - 2023-06-08 13:00
120	2023-06-08 09:08	2023-06-08 07:00 - 2023-06-08 09:00	2023-06-08 09:00 - 2023-06-08 11:00
шестьдесят	2023-06-08 08:08	2023-06-08 с 07:00 по 08:00	08.06.2023 08:00 - 08.06.2023 09:00
30	2023-06-08 07:38	2023-06-08 07:00 - 2023-06-08 07:30	2023-06-08 07:30 - 2023-06-08 08:00
20	2023-06-08 07:28	2023-06-08 07:00 - 2023-06-08 07:20	2023-06-08 07:20 - 2023-06-08 07:40

Просмотр всех правил сводки

Просмотреть или перечислить все сводные правила в вашей рабочей области.

Свойство displayName сводного правила, видимое на портале Azure, отличается от name свойства, используемого в вызовах API, особенно если вы создали правило через портал. Это name свойство является уникальным идентификатором правила и используется в вызовах API для управления правилом. displayName — это понятное пользователю имя, отображаемое в портале Azure для упрощения идентификации.

На портале Azure перейдите в рабочую область Log Analytics.
В меню слева в разделе "Параметры" выберите "Правила".
Перейдите на вкладку "Сводка правил ".

Используйте следующую команду, чтобы просмотреть все правила сводки с помощью Azure CLI.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs?api-version=$apiVersion"

az rest --method get --url "$url"

Используйте следующую команду, чтобы просмотреть все правила сводки с помощью Azure PowerShell.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs?api-version=$apiVersion"

Invoke-AzRestMethod -Method GET -Path $url

Используйте следующий GET запрос для группы операций API управления журналамиСводные правила, чтобы view все правила сводки.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Просмотр сводного правила

Просмотр или обновление конфигурации для определенного сводного правила.

На портале Azure перейдите в рабочую область Log Analytics.
В меню слева в разделе "Параметры" выберите "Правила".
Перейдите на вкладку "Сводка правил ".
В списке выберите многоточие (...) рядом с правилом сводки, которое хотите просмотреть.
Выберите "Изменить", чтобы просмотреть конфигурацию сводного правила.
Нажмите кнопку Далее: задайте логику правила для просмотра запроса, используемого в сводном правиле.

Используйте следующую команду, чтобы просмотреть сводное правило с помощью Azure CLI. <RuleName> — это свойство name для правила, а displayName — это понятное пользователю имя, отображаемое в портале Azure для удобства идентификации.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method get --url "$url"

Используйте следующую команду, чтобы просмотреть сводное правило с помощью Azure PowerShell.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

Invoke-AzRestMethod -Method GET -Path $url

Используйте следующий GET запрос для группы операций API управления журналамиПравила сводки, чтобы view правило сводки.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Остановка сводного правила

Остановите правило в течение определенного периода времени. Одним из примеров использования является проверка приема данных в таблицу без влияния на сводную таблицу и отчеты.

Чтобы остановить правило, выполните приведенные действия.

На портале Azure перейдите в рабочую область Log Analytics.
В меню слева в разделе "Параметры" выберите "Правила".
Перейдите на вкладку "Сводка правил ".
Нажмите кнопку-переключатель Активный статус и убедитесь, что статус изменился на Неактивный.

Используйте следующую команду, чтобы остановить сводное правило с помощью Azure CLI.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName/stop?api-version=$apiVersion"

az rest --method post --url "$url"

Используйте следующую команду, чтобы остановить сводное правило с помощью Azure PowerShell.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName/stop?api-version=$apiVersion"

Invoke-AzRestMethod -Method POST -Path $url

Используйте следующий POST запрос для группы операций API управления журналамиПравила сводки, чтобы stop правило сводки.

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}/stop?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Запуск правила сводки

При перезапуске правила Azure Monitor начинает обработку данных со следующего часа или на основе определенного параметра binStartTime (необязательно).

Чтобы запустить правило, выполните приведенные далее действия.

На портале Azure перейдите в рабочую область Log Analytics.
В меню слева в разделе "Параметры" выберите "Правила".
Перейдите на вкладку "Сводка правил ".
Нажмите кнопку " Неактивноесостояние " и подтвердите изменения состояния в "Активный".

Используйте следующую команду, чтобы запустить сводное правило с помощью Azure CLI.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName/start?api-version=$apiVersion"

az rest --method post --url "$url"

Используйте следующую команду, чтобы запустить сводное правило с помощью Azure PowerShell.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName/start?api-version=$apiVersion"

Invoke-AzRestMethod -Method POST -Path $url

Используйте следующий POST запрос для группы операций API управления журналамиПравила сводки, чтобы start правило сводки.

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}/start?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Удалить правило сводки

Рабочая область Log Analytics поддерживает до 100 активных правил сводки. Если у вас уже есть 100 активных правил и вы хотите создать новый, необходимо сначала остановить или удалить активное правило сводки.

Удаление правила:

На портале Azure перейдите в рабочую область Log Analytics.
В меню слева в разделе "Параметры" выберите "Правила".
Перейдите на вкладку "Сводка правил ".
В списке выберите многоточие (...) рядом с правилом сводки, которое хотите просмотреть.
Нажмите кнопку "Удалить".

Используйте следующую команду, чтобы удалить правило сводки с помощью Azure CLI.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method delete --url "$url"

Используйте следующую команду, чтобы удалить правило сводки с помощью Azure PowerShell.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

Invoke-AzRestMethod -Method DELETE -Path $url

Используйте следующий DELETE запрос для группы операций API управления журналамиПравила сводки, чтобы delete правило сводки.

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Контроль правил сводки

Чтобы отслеживать сводные правила, включите категорию Summary Logs в diagnostic settings рабочей области Log Analytics. Azure Monitor отправляет сведения о выполнении сводного правила, включая время начала (Start), успешного (Succeeded) и неудавшегося (Failed) выполнения, в таблицу LASummaryLogs в рабочей области.

Настройте правила оповещений журнала, чтобы получать уведомления о сбоях bin или о том, что время выполнения bin приближается к тайм-ауту, как показано в следующих примерах. В зависимости от причины сбоя уменьшите размер ячейки, чтобы обрабатывать меньше данных при каждом выполнении, или измените запрос, чтобы вернуть меньше записей или меньше полей большого объема.

Этот запрос возвращает неудачные запуски:

LASummaryLogs | where Status == "Failed"

Этот запрос возвращает запуски бинов, в которых значение QueryDurationMs превышает 90 % от максимального времени выполнения запроса:

LASummaryLogs | where QueryDurationMs > 0.9 * 600000

Проверка полноты данных

Сводные правила предназначены для масштабирования и включают механизм повторных попыток для преодоления временных сбоев службы или запросов, связанных с ограничениями запросов. Механизм повторных попыток делает 10 попыток агрегировать неудачный контейнер в течение восьми часов и пропускает ячейку, если все попытки исчерпаны. Правило isActive: false устанавливается и приостанавливается после восьми последовательных повторных попыток bin.

Если вы включите диагностический параметр для отслеживания правил сводки, Azure Monitor будет регистрировать события в таблице LASummaryLogs в вашей рабочей области, позволяя просматривать запуски и повторно запускать неудавшиеся. Просмотр выполняется с помощью следующего запроса или через портал.

let startTime = datetime("2024-02-16");
let endTime = datetime("2024-03-03");
let ruleName = "myRuleName";
let stepSize = 20m; // The stepSize value is equal to the bin size defined in the rule
LASummaryLogs
| where RuleName == ruleName
| where Status == 'Succeeded'
| make-series dcount(BinStartTime) default=0 on BinStartTime from startTime to endTime step stepSize
| render timechart

Этот запрос отображает результаты в виде диаграммы времени:

См. раздел правил сводки монитора для вариантов исправления правил и упреждающих оповещений.

Повторите попытку ячейки правила сводки

Сводные правила предназначены для масштабирования и включают механизм повторных попыток для преодоления временных проблем службы или сбоев ограничения запросов. Если служба исчерпала все попытки повтора, перезапустите неудавшийся запуск (или bin) вручную.

Выберите многоточие (...) в правом углу правила сводки, которое необходимо повторить.
Выберите Просмотреть запуски в меню.
Измените фильтр, чтобы отобразить неудачные запуски .
Найдите время выполнения , которое нужно повторить, и выберите многоточие (...) в конце строки.
Выберите в меню Повторно запустить этот контейнер.

Чтобы повторить конкретный запуск правила сводки, найдите BinStartTime бина, для которого произошёл сбой, и укажите его в качестве значения retryBinStartTime. Например, если у вас есть правило сводки с параметром binSize, равным 60 минутам, и вы хотите повторить попытку для интервала, включающего данные с 2026-02-16T10:00:00Z по 2026-02-16T11:00:00Z, задайте для параметра retryBinStartTime значение 2026-02-16T10:00:00Z.

Используйте следующую команду, чтобы повторно обработать контейнер правила сводки с помощью Azure CLI.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method put --url "$url" --body @body.json

Сохраните следующий JSON как body.json, заменив значение retryBinStartTime на BinStartTime, чтобы повторить попытку:

{
  "properties": {
    "retryBinStartTime": "2026-02-16T10:00:00Z"
  }
}

Используйте следующую команду, чтобы повторно выполнить обработку контейнера правила сводки с помощью Azure PowerShell.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$retryBinStartTime = "2026-02-16T10:00:00Z"
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

$body = @{
    properties = @{
        retryBinStartTime = $retryBinStartTime
    }
} | ConvertTo-Json -Depth 10

Invoke-AzRestMethod -Method PUT -Path $url -Payload $body

Используйте следующий PUT запрос для группы операций с сводными правиламиAPI управления журналами в retry ячейку сводного правила.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

{
  "properties": {
    "retryBinStartTime": "2026-02-16T10:00:00Z"
  }
}

Используйте этот шаблон и параметры для повтора ячейки:

Повторите попытку ячейки правила сводки

Файл шаблона

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "string"
    },
    "ruleName": {
      "type": "string"
    },
    "retryBinStartTime": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/summarylogs",
      "apiVersion": "2025-07-01",
      "name": "[format('{0}/{1}', parameters('workspaceName'), parameters('ruleName'))]",
      "properties": {
        "retryBinStartTime": "[parameters('retryBinStartTime')]"
      }
    }
  ]
}

Файл параметров

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "my-law-workspace"
    },
    "ruleName": {
      "value": "my-summary-rule"
    },
    "retryBinStartTime": {
      "value": "<YYYY-MM-DDTHH:mm:ssZ>"
    }
  }
}

Шифрование запросов сводного правила с помощью ключей, управляемых клиентом

Запрос KQL может содержать конфиденциальную информацию в комментариях или синтаксисе запроса. Чтобы зашифровать запросы по сводным правилам, свяжите учетную запись хранения с рабочей областью Log Analytics и используйте ключи, управляемые клиентом.

Рекомендации при работе с зашифрованными запросами:

Связывание учетной записи хранения для шифрования запросов не прерывает существующие правила.
По умолчанию запросы сводного правила Azure Monitor сохраняются в хранилище Log Analytics. Если у вас есть правила сводки перед связыванием учетной записи хранения с рабочей областью Log Analytics, обновите эти правила, чтобы запросы сохранялись в учетной записи хранения.
Запросы, сохраненные в учетной записи хранения, находятся в таблице CustomerConfigurationStoreTable. Эти запросы считаются артефактами службы и их формат может измениться.
Та же учетная запись хранения поддерживает запросы сводного правила, сохраненные запросы в Log Analytics и оповещения журнала.

Устранение неполадок с правилами сводки

В этом разделе представлены советы по устранению неполадок со сводными правилами.

Таблица назначения сводного правила случайно удалена

Если удалить целевую таблицу во время действия сводного правила, правило приостанавливается и Azure Monitor отправляет событие в таблицу LASummaryLogs с сообщением о том, что правило приостановлено.

Если не требуется сводка результатов в целевой таблице, удалите правило и таблицу. Если вам нужны сводные результаты, выполните действия, описанные в разделе "Создание или обновление сводных правил ", чтобы повторно создать целевую таблицу и восстановить все данные, включая данные, принятые перед удалением, в зависимости от политики хранения в таблице.

Запрос использует операторы, создающие новые столбцы в целевой таблице

Схема целевой таблицы определяется при создании или обновлении правила сводки. Если запрос включает операторы, которые позволяют расширять выходную схему на основе входящих данных (например, функцию arg_max(expression, *)), Azure Monitor не добавляет новые столбцы в целевую таблицу после создания или обновления правила, а выходные данные, для которых требуются эти столбцы, отбрасываются. Чтобы добавить новые поля в целевую таблицу, обновите сводное правило или добавьте столбец в таблицу вручную.

Данные в удаленных столбцах остаются в рабочей области на основе параметров хранения таблицы

При удалении поля из запроса столбцы и данные остаются в целевой таблице на основе периода хранения , определенного в таблице или рабочей области. Если вам не нужны удаленные столбцы в целевой таблице, удалите столбцы из схемы таблицы. Если вы добавите столбцы с тем же именем, все данные, не превышающие период хранения, отображаются снова.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-06-15

Суммируйте данные в рабочей области Log Analytics с использованием правил сводки

Как работают сводные правила

Пример. Сводка данных ContainerLogV2

Требуемые разрешения

Вопросы реализации

Модель ценообразования сводного правила

Создание или обновление сводного правила

Свойства сводного правила

Настройка времени агрегирования

Использование времени агрегирования по умолчанию

Настройка необязательных параметров времени агрегирования

Просмотр всех правил сводки

Просмотр сводного правила

Остановка сводного правила

Запуск правила сводки

Удалить правило сводки

Контроль правил сводки

Проверка полноты данных

Повторите попытку ячейки правила сводки

Шифрование запросов сводного правила с помощью ключей, управляемых клиентом

Устранение неполадок с правилами сводки

Таблица назначения сводного правила случайно удалена

Запрос использует операторы, создающие новые столбцы в целевой таблице

Данные в удаленных столбцах остаются в рабочей области на основе параметров хранения таблицы

Связанный контент

Обратная связь

Дополнительные ресурсы