Nota
O acesso a esta página requer autorização. Pode tentar iniciar sessão ou alterar os diretórios.
O acesso a esta página requer autorização. Pode tentar alterar os diretórios.
Um trabalho de pesquisa é uma consulta assíncrona executada sobre quaisquer dados no Log Analytics - tanto em análise quanto em retenção de longo prazo - que disponibiliza os resultados da consulta para consultas interativas numa nova tabela de pesquisa na sua área de trabalho. O trabalho de pesquisa utiliza o processamento paralelo e pode ser executado durante horas em grandes conjuntos de dados. Este artigo descreve como criar um trabalho de pesquisa e como consultar seus dados resultantes.
Este vídeo explica quando e como usar a pesquisa de empregos:
Permissões necessárias
| Ação | Permissões necessárias |
|---|---|
| Executar um trabalho de pesquisa |
Microsoft.OperationalInsights/workspaces/tables/write e Microsoft.OperationalInsights/workspaces/searchJobs/write permissões no espaço de trabalho do Log Analytics, por exemplo, conforme fornecido pela função incorporada Colaborador do Log Analytics. |
Nota
Não há suporte para trabalhos de pesquisa entre locatários. O acesso delegado do Azure Lighthouse também não é suportado para trabalhos de pesquisa (ou restauração), mesmo quando é atribuído um papel delegado que inclui a permissão searchJobs/write.
Quando utilizar tarefas de pesquisa
Utilize a pesquisa de emprego para:
- Recupere registos da retenção a longo prazo e de tabelas com Registos Básicos ou Registos Auxiliares para uma nova tabela de Registos de Análise que suporte todas as capacidades analíticas do Azure Monitor Logs.
- Verifique grandes volumes de dados, caso o tempo limite de consulta de log de 10 minutos não seja suficiente.
O que faz uma tarefa de pesquisa?
Um trabalho de pesquisa verifica dados e envia seus resultados para uma nova tabela no mesmo espaço de trabalho que os dados de origem. A tabela de resultados fica disponível assim que a vaga de pesquisa começa, mas pode levar algum tempo para que os resultados comecem a aparecer. Um custo é incorrido com base no modelo de preços dos dados digitalizados e no tamanho dos resultados ingeridos. Antes de executar um trabalho de pesquisa, uma estimativa de custo está disponível para ajudá-lo a decidir se deseja executar o trabalho.
A tabela de resultados dos trabalhos de pesquisa é uma tabela de registos do Analytics disponível para consultas de registos e outras funcionalidades do Azure Monitor que utilizam tabelas num espaço de trabalho. A tabela herda o valor de retenção definido para a área de trabalho, que permanece editável mesmo depois de a tabela ser criada.
O esquema da tabela de resultados da pesquisa é baseado no esquema da tabela de origem e na consulta especificada. As colunas seguintes ajudam a acompanhar os registos de origem:
| Coluna | Valor |
|---|---|
| _OriginalType | Digite o valor da tabela de origem. |
| _OriginalItemId | _ItemID valor da tabela de origem. |
| _OriginalTimeGenerated | valor de TimeGenerated da tabela de origem. |
| Hora de Geração | Hora a que a tarefa de pesquisa foi executada. |
As consultas na tabela de resultados aparecem na auditoria de consultas de registos, mas não na tarefa de pesquisa inicial.
Executar um trabalho de pesquisa
Execute um trabalho de pesquisa para buscar registros de grandes conjuntos de dados em uma nova tabela de resultados de pesquisa em seu espaço de trabalho.
Os seguintes exemplos de código limitam os resultados a 1.500 registos. Especifique a janela de pesquisa com marcas temporais UTC, como 2026-01-01T00:00:00.000Z. Por exemplo, a consulta Heartbeat | where ComputerIP has "198.51.100.101" procura registos de um endereço IP específico do computador.
Sugestão
São-lhe cobrados custos pela execução de uma tarefa de pesquisa. Escreva e otimize sua consulta no modo de consulta interativo antes de executar o trabalho de pesquisa. Use a visualização da estimativa de custos para entender os custos potenciais.
- Portais
- CLI do Azure
- Azure PowerShell
- REST
- Bicep
- Modelo ARM
Para executar um trabalho de pesquisa, no portal do Azure:
No menu do espaço de trabalho do Log Analytics, selecione Logs.
Escreva uma pesquisa de emprego ou selecione a tabela que deseja.
Selecione o menu de três pontos à direita do ecrã e selecione Procurar tarefa.
Ou usar o menu pendente Executar e selecionar Executar como trabalho de pesquisa.
Especifique o intervalo de datas do trabalho de pesquisa usando o seletor de horas. Escolha qualquer período dentro do período de retenção total.
Se a sua consulta Kusto também especificar um intervalo de tempo, a união dos intervalos de tempo será usada para o trabalho de pesquisa.
Insira um nome para a tabela de resultados de trabalho de pesquisa e selecione Executar um trabalho de pesquisa.
Os Registos do Azure Monitor executam a tarefa de pesquisa e criam uma nova tabela na sua área de trabalho com os resultados da tarefa de pesquisa.
Quando a nova tabela estiver pronta, selecione View '<searchtablename>_SRCH' para visualizar a tabela no Log Analytics.
Os resultados das vagas de pesquisa estão disponíveis à medida que começam a fluir para a tabela de resultados de vagas recém-criadas.
Os Logs do Azure Monitor mostram uma mensagem trabalho de pesquisa está concluído quando termina. Quando vir essa mensagem ou o progresso indicar 100%, a tabela de resultados está agora pronta com todos os registos que correspondem à pesquisa.
Obter status e detalhes da vaga de pesquisa
Consulte a tabela de resultados da pesquisa para acompanhar o progresso da tarefa de pesquisa.
- Portais
- CLI do Azure
- Azure PowerShell
- REST
No menu do espaço de trabalho do Log Analytics, selecione Logs.
A partir de Tabelas>Resultados de pesquisa, passe o cursor sobre a tabela de resultados da pesquisa para ver o progresso.
O ícone na tabela de resultados de pesquisa de empregos exibe um ícone de indicador de atualização até que o trabalho de pesquisa seja concluído.
Eliminar uma tabela de uma tarefa de pesquisa
Apaga a tabela de tarefas de pesquisa quando terminares de consultar a tabela. Essa prática recomendada reduz a desorganização do espaço de trabalho e as cobranças extras pela retenção de dados.
Considerações
Os empregos de pesquisa estão sujeitos às seguintes considerações:
- Otimizado para consultar uma tabela de cada vez
- Faixa de datas de pesquisa é qualquer período dentro do período de retenção total
- Suporta pesquisas de longa duração até um tempo limite de 24 horas
- Os resultados são limitados a 100 milhões de registros no conjunto de registros - se o limite for ultrapassado, o Azure Monitor anulará o trabalho com um status de êxito parcial e a tabela conterá apenas registros ingeridos até esse ponto
- A execução simultânea é limitada a dez trabalhos de pesquisa por espaço de trabalho.
- Limitado a 200 tabelas de resultados de pesquisa por espaço de trabalho
- Limitado a 200 execuções de trabalho de pesquisa por dia, por espaço de trabalho
- Não há suporte para tarefas de pesquisa entre locatários
- O acesso delegado do Azure Lighthouse não é suportado para trabalhos de pesquisa, mesmo que a delegação contenha a permissão adequada de trabalhosDePesquisa/escrita, resultando em falha com a mensagem de erro:Utilizador<managing-tenant-userId>não mantém acesso à ação Microsoft.OperationalInsights/workspaces/searchJobs/write no âmbito<delegated-workspace-resourceID>.
Considerações sobre a consulta KQL
Os trabalhos de pesquisa analisam grandes volumes de dados numa tabela específica, por isso as consultas de emprego de pesquisa devem sempre começar com o nome de uma tabela. Para permitir a execução assíncrona através da distribuição e segmentação, a consulta suporta um subconjunto de KQL, incluindo estes operadores tabulares:
Todas as funções e operadores binários dentro desses operadores são utilizáveis.
O contains operador de cadeia de caracteres está impedido de ser usado em trabalhos de pesquisa, uma vez que as correspondências de texto avançadas têm um impacto significativo no desempenho. Em vez disso, use o operador de string has. Para obter mais informações sobre considerações de desempenho, consulte Otimizar consultas de log no Azure Monitor.
Modelo de preços
A taxa de procura de emprego baseia-se em:
Execução de tarefas de pesquisa
Registos de análise - A quantidade de dados que a tarefa de pesquisa analisa e que se encontra em retenção de longo prazo.
Nota
Para os Registos de Análise, não há custo para digitalizar dados que estejam em retenção de análise.
Planos Básicos ou Auxiliares - Todos os dados que a tarefa de pesquisa analisa dentro do intervalo de tempo consultado.
Os dados digitalizados são definidos como o volume de dados na tabela em que você executa o trabalho de pesquisa, dentro do intervalo de tempo especificado. Para obter mais informações sobre análise e retenção de longo prazo, consulte Gerenciar retenção de dados em um espaço de trabalho do Log Analytics.
Resultados da tarefa de pesquisa - A quantidade de dados que a tarefa de pesquisa encontra e importa para a tabela de resultados, com base na taxa de ingestão de dados dos Registos do Analytics.
Exemplos de preços
Se uma pesquisa numa tabela que contém Registos do Analytics abranger 60 dias e a tabela ingerir 500 GB de dados por dia, mas o período de retenção analítica da tabela estiver definido para 30 dias, ser-lhe-ão cobrados 15 000 GB de dados analisados — apenas os 30 dias de dados na retenção de longo prazo. Não há custos para examinar os 30 dias de retenção de dados analíticos. Se o trabalho de pesquisa retornar 1.000 registros, você será cobrado por ingerir esses 1.000 registros na tabela de resultados.
Se uma pesquisa numa tabela que contém Registos Básicos ou Auxiliares abrange 60 dias e a tabela receber 500 GB de dados por dia, serão cobrados 30 000 GB de dados analisados. Se o trabalho de pesquisa retornar 1.000 registros, você será cobrado por ingerir esses 1.000 registros na tabela de resultados.
Para obter mais informações, consulte Preços do Azure Monitor.