Azure Monitor에서 검색 작업 실행

Azure Portal에서 검색 작업을 실행하려면 다음을 수행합니다.

1. Log Analytics 작업 영역 메뉴에서 로그를 선택합니다.

2. 검색 작업 쿼리를 입력하거나 원하는 테이블을 선택합니다.

3. 화면 오른쪽에 있는 줄임표 메뉴를 선택하고 검색 작업을 선택합니다.

   

4. 또는 실행 풀다운 메뉴를 사용하고 검색 작업으로 실행을 선택합니다.

   

5. 시간 선택기를 사용하여 검색 작업 날짜 범위를 지정합니다. 총 보존 기간 내의 기간을 선택합니다.

   Kusto 쿼리에서 시간 범위도 지정하는 경우 시간 범위의 합은 검색 작업에 사용됩니다.

   

6. 검색 작업 결과 테이블의 이름을 입력하고 검색 작업 실행을 선택합니다.

   Azure Monitor 로그는 검색 작업을 실행하고 검색 작업 결과에 대한 작업 영역에 새 테이블을 만듭니다.

7. 새 테이블이 준비되면 '<searchtablename>_SRCH' 보기를 선택하여 Log Analytics에서 테이블을 봅니다.

   검색 작업 결과는 새로 만든 검색 작업 결과 테이블로 전달되기 시작할 때 사용할 수 있습니다.

   

   Azure Monitor 로그는 검색 작업이 완료되면 완료 된 메시지를 표시합니다. 해당 메시지가 보이거나 진행률이%100%로 표시되면, 이제 검색과 일치하는 모든 레코드가 결과 테이블에 준비됩니다.

다음 Azure CLI 예제에서는 명령을 사용합니다az monitor log-analytics workspace table search-job create. 검색 작업을 실행하여 Log Analytics 작업 영역 검색 결과 테이블을 만듭니다. 매개 변수를 사용하여 --name 설정한 결과 테이블의 이름은 .로 _SRCH끝나야 합니다.

# Set variables
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
tableName="<TableName>_SRCH"
searchQuery="<SearchQuery>"
startSearchTime="<StartSearchTime>"
endSearchTime="<EndSearchTime>"
limit="1500"

# Create the Log Analytics workspace search results table
az monitor log-analytics workspace table search-job create \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --name "$tableName" \
  --search-query "$searchQuery" \
  --limit "$limit" \
  --start-search-time "$startSearchTime" \
  --end-search-time "$endSearchTime" \
  --no-wait

다음 Azure PowerShell 예제에서는 cmdlet을 New-AzOperationalInsightsSearchTable 사용합니다. 검색 작업을 실행하여 Log Analytics 작업 영역 검색 결과 테이블을 만듭니다. 매개 변수를 사용하여 -TableName 설정한 결과 테이블의 이름은 .로 _SRCH끝나야 합니다.

# Set variables
$resourceGroupName = "<ResourceGroupName>"
$workspaceName = "<WorkspaceName>"
$tableName = "<TableName>_SRCH"
$searchQuery = "<SearchQuery>"
$startSearchTime = "<StartSearchTime>"
$endSearchTime = "<EndSearchTime>"
$limit = 1500

# Define parameters for New-AzOperationalInsightsSearchTable
$newAzOperationalInsightsSearchTableParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = $workspaceName
    TableName         = $tableName
    SearchQuery       = $searchQuery
    Limit             = $limit
    StartSearchTime   = $startSearchTime
    EndSearchTime     = $endSearchTime
}

# Create the Log Analytics workspace search results table
New-AzOperationalInsightsSearchTable @newAzOperationalInsightsSearchTableParams

다음 REST 예제에서는 REST API 작업을 사용합니다 Tables - Create Or Update . 검색 작업을 실행하여 Log Analytics 작업 영역 검색 결과 테이블을 만듭니다. 결과 테이블의 이름은 .로 _SRCH끝나야 합니다.

요청 본문에 다음 값을 포함합니다.

샘플 요청

다음은 지정한 쿼리 및 시간 범위에 대한 검색 결과 테이블을 만드는 예제입니다.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}_SRCH?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
  "properties": {
    "searchResults": {
      "query": "<SearchQuery>",
      "limit": 1500,
      "startSearchTime": "<StartSearchTime>",
      "endSearchTime": "<EndSearchTime>"
    }
  }
}

응답

상태 코드: 202 수락됨. 요청이 수락되었지만 검색 작업이 계속 실행 중일 수 있습니다. 테이블 상태를 확인 하여 진행률을 모니터링합니다.

다음 Bicep 예제에서는 리소스 종류를 사용합니다Microsoft.OperationalInsights/workspaces/tables. 작업 영역이 포함된 리소스 그룹에 배포합니다.

param workspaceName string = '<WorkspaceName>'
param tableName string = '<TableName>_SRCH'
param searchQuery string = '<SearchQuery>'
param startSearchTime string = '<StartSearchTime>'
param endSearchTime string = '<EndSearchTime>'

resource searchTable 'Microsoft.OperationalInsights/workspaces/tables@<ApiVersion>' = {
  name: '${workspaceName}/${tableName}'
  properties: {
    searchResults: {
      query: searchQuery
      limit: 1500
      startSearchTime: startSearchTime
      endSearchTime: endSearchTime
    }
  }
}

다음 ARM 템플릿 예제에서는 리소스 유형을 사용합니다 Microsoft.OperationalInsights/workspaces/tables . 작업 영역이 포함된 리소스 그룹에 배포합니다.

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "string",
      "defaultValue": "<WorkspaceName>"
    },
    "tableName": {
      "type": "string",
      "defaultValue": "<TableName>_SRCH"
    },
    "searchQuery": {
      "type": "string",
      "defaultValue": "<SearchQuery>"
    },
    "startSearchTime": {
      "type": "string",
      "defaultValue": "<StartSearchTime>"
    },
    "endSearchTime": {
      "type": "string",
      "defaultValue": "<EndSearchTime>"
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/tables",
      "apiVersion": "<ApiVersion>",
      "name": "[format('{0}/{1}', parameters('workspaceName'), parameters('tableName'))]",
      "properties": {
        "searchResults": {
          "query": "[parameters('searchQuery')]",
          "limit": 1500,
          "startSearchTime": "[parameters('startSearchTime')]",
          "endSearchTime": "[parameters('endSearchTime')]"
        }
      }
    }
  ]
}

1. Log Analytics 작업 영역 메뉴에서 로그를 선택합니다.

2. 테이블>검색 결과에서 검색 결과 테이블을 마우스로 가리켜 진행률을 확인합니다.

   검색 작업 결과 테이블의 아이콘은 검색 작업이 완료될 때까지 업데이트 표시기 아이콘을 표시합니다.

   

다음 Azure CLI 예제에서는 명령을 사용합니다az monitor log-analytics workspace table show. 검색 작업 테이블의 상태 및 세부 정보를 검색합니다.

# Set variables
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
tableName="<TableName>_SRCH"

# Get the status and details of the search job table
az monitor log-analytics workspace table show \
  --resource-group "$resourceGroupName" \
  --workspace-name "$workspaceName" \
  --name "$tableName" \
  --output table

다음 Azure PowerShell 예제에서는 cmdlet을 Get-AzOperationalInsightsTable 사용합니다. 검색 작업 테이블의 상태 및 세부 정보를 검색합니다.

# Set variables
$resourceGroupName = "<ResourceGroupName>"
$workspaceName = "<WorkspaceName>"
$tableName = "<TableName>_SRCH"

# Define parameters for Get-AzOperationalInsightsTable
$getAzOperationalInsightsTableParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = $workspaceName
    TableName         = $tableName
}

# Get the status and details of the search job table
Get-AzOperationalInsightsTable @getAzOperationalInsightsTableParams

-TableName을 제공하지 않으면 cmdlet이 작업 영역에 연결된 모든 테이블을 나열합니다.

다음 REST 예제에서는 REST API 작업을 사용합니다 Tables - Get . 검색 작업 테이블의 상태 및 세부 정보를 검색합니다.

작업 테이블 상태 검색

이 속성은 provisioningState 검색 작업의 현재 상태를 나타냅니다. API는 검색 작업을 시작할 때 이 속성을 반환하고 나중에 테이블에서 작업을 사용하여 GET 이 속성을 검색합니다. 속성에는 provisioningState 다음 값 중 하나가 있습니다.

샘플 요청

이 예에서는 이전 예의 검색 작업에 대한 테이블 상태를 검색합니다.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}_SRCH?api-version={apiVersion}
Authorization: Bearer {accessToken}

응답

다음 예제 응답은 하트비트 쿼리에 대한 완료된 검색을 보여줍니다. 검색 작업 속성에 초점을 맞추는 약어입니다.

{
  "properties": {
    "retentionInDays": 30,
    "totalRetentionInDays": 30,
    "archiveRetentionInDays": 0,
    "plan": "Analytics",
    "lastPlanModifiedDate": "Thu, 08 Jan 2026 00:00:00 GMT",
    "schema": {
      "name": "HeartbeatByIp_SRCH",
      "tableType": "SearchResults",
      "description": "This table was created using a Search Job with the following query: 'Heartbeat | where ComputerIP has \"198.51.100.101\"'.",
      "columns": [],
      "standardColumns": [],
      "solutions": [
        "LogManagement"
      ]
    },
    "searchResults": {
      "query": "Heartbeat | where ComputerIP has \"198.51.100.101\"",
      "limit": 1500,
      "startSearchTime": "2026-01-01T00:00:00.000Z",
      "endSearchTime": "2026-01-08T00:00:00.000Z",
      "sourceTable": "Heartbeat"
    },
    "provisioningState": "Succeeded"
  },
  "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/ContosoRG/providers/Microsoft.OperationalInsights/workspaces/ContosoWorkspace/tables/HeartbeatByIp_SRCH",
  "name": "HeartbeatByIp_SRCH"
}