Azure 监控规则的自定义条件不显示预期数据
Custom condition for Azure monitor rule doesn't show expected data
我正在尝试为 Azure 监视器警报 规则设置新的自定义条件，但是当我输入我的 kql 查询时，它没有显示预期的数据。当我 运行 日志中的 相同查询 时，它输出 9 行满足我的条件，但由于某种原因，监视器警报中没有显示任何数据。
我可以看到问题出在最后一个条件 | where Anomaly has "1" 中，因为我在删除此条件时获取数据 - 但我需要将其包含在查询中（或至少是它的类似版本） ).有什么建议么？ （我也试过 contains 和 == 但它给出了同样的问题）
ADFPipelineRun
| where TimeGenerated >= ago(30d)
| where PipelineName startswith "Dataflow"
| extend customerName = extractjson("$.customerName", Parameters, typeof(string))
| extend customerBranchName = extractjson("$.customerBranchName", Parameters, typeof(string))
| extend databaseName = extractjson("$.databaseName", Parameters, typeof(string))
| join (ADFActivityRun
| where ActivityType == "Copy" and Status == "Succeeded"
| extend RowsCopied = extractjson("$.rowsCopied", Output, typeof(int)))
on CorrelationId
| summarize AggregatedValue=any(RowsCopied) by customerName, customerBranchName, databaseName, PipelineName, bin(TimeGenerated,1d)
| order by TimeGenerated
| summarize EventCount=make_list(AggregatedValue),TimeGenerated=make_list(TimeGenerated) by customerName, customerBranchName, databaseName, PipelineName
| extend (anomalies, score, baseline)=series_decompose_anomalies(EventCount, 5, 0, "avg")
| extend Anomaly = array_slice(anomalies,0,0)
| where Anomaly has "1"
感谢任何好的想法和帮助:)
最一般的答案：从逆向工作开始并验证您的假设。
删除最后的 | where... 行并查看查询 return 的内容。
它有 1 吗？
has 和 has_any 以及 contains 都有微妙的不同语义，因此您可能需要使用其中一个或其他东西。
如果你的结果没有 1，那么再往回写一行，你的 array_slice 调用 return 是你认为有的项目吗？
如果你只想要第 0 项，为什么还要使用 slice？为什么不直接使用 Anomaly=anomalies[0] 呢？
没有您的确切数据集，我们无法准确重现查询/结果。
问题最终出在 Azure Monitor Alert 功能上。自定义警报有一个预定义的时间范围，它会在该范围内评估查询并且不能手动延长。
在Azure给定的预定义时间段内，没有找到任何记录（时间太短无法评估是否发生异常..）
我通过创建一个使用上面 M 查询的 power bi 报告解决了这个问题，我使用了 power bi 服务提供的警报功能。
我正在尝试为 Azure 监视器警报 规则设置新的自定义条件，但是当我输入我的 kql 查询时，它没有显示预期的数据。当我 运行 日志中的 相同查询 时，它输出 9 行满足我的条件，但由于某种原因，监视器警报中没有显示任何数据。
我可以看到问题出在最后一个条件 | where Anomaly has "1" 中，因为我在删除此条件时获取数据 - 但我需要将其包含在查询中（或至少是它的类似版本） ).有什么建议么？ （我也试过 contains 和 == 但它给出了同样的问题）
ADFPipelineRun
| where TimeGenerated >= ago(30d)
| where PipelineName startswith "Dataflow"
| extend customerName = extractjson("$.customerName", Parameters, typeof(string))
| extend customerBranchName = extractjson("$.customerBranchName", Parameters, typeof(string))
| extend databaseName = extractjson("$.databaseName", Parameters, typeof(string))
| join (ADFActivityRun
| where ActivityType == "Copy" and Status == "Succeeded"
| extend RowsCopied = extractjson("$.rowsCopied", Output, typeof(int)))
on CorrelationId
| summarize AggregatedValue=any(RowsCopied) by customerName, customerBranchName, databaseName, PipelineName, bin(TimeGenerated,1d)
| order by TimeGenerated
| summarize EventCount=make_list(AggregatedValue),TimeGenerated=make_list(TimeGenerated) by customerName, customerBranchName, databaseName, PipelineName
| extend (anomalies, score, baseline)=series_decompose_anomalies(EventCount, 5, 0, "avg")
| extend Anomaly = array_slice(anomalies,0,0)
| where Anomaly has "1"
感谢任何好的想法和帮助:)
最一般的答案：从逆向工作开始并验证您的假设。
删除最后的 | where... 行并查看查询 return 的内容。
它有 1 吗？
has 和 has_any 以及 contains 都有微妙的不同语义，因此您可能需要使用其中一个或其他东西。
如果你的结果没有 1，那么再往回写一行，你的 array_slice 调用 return 是你认为有的项目吗？
如果你只想要第 0 项，为什么还要使用 slice？为什么不直接使用 Anomaly=anomalies[0] 呢？
没有您的确切数据集，我们无法准确重现查询/结果。
问题最终出在 Azure Monitor Alert 功能上。自定义警报有一个预定义的时间范围，它会在该范围内评估查询并且不能手动延长。
在Azure给定的预定义时间段内，没有找到任何记录（时间太短无法评估是否发生异常..）
我通过创建一个使用上面 M 查询的 power bi 报告解决了这个问题，我使用了 power bi 服务提供的警报功能。