Блог

Я хотел бы иметь запрос, который возвращал бы что-то вроде для одной виртуальной машины. Таким образом, запрос должен показывать результаты для одной виртуальной машины и какой тип журнала / решения он использовал и сколько. Я не знаю, возможно ли вообще сделать что-то подобное? Советы?

С помощью этого запроса я могу указать общее использование для всех виртуальных машин, подчиняющихся законам, но я хотел бы получить более подробную информацию об одной виртуальной машине

 find where TimeGenerated > ago(30d) project _BilledSize, _IsBillable, Computer
| where _IsBillable == true 
| extend computerName = tolower(tostring(split(Computer, '.')[0]))
| summarize BillableDataBytes = sum(_BilledSize) by  computerName 
| sort by BillableDataBytes nulls last
 

В основном вы могли бы выполнить это, запросив стандартные столбцы или свойства _BilledSize , Type, _IsBillable и Computer .

Ниже приведен пример запроса для справки:

 union withsource=tt *
| where TimeGenerated between (ago(7d) .. now())
| where _IsBillable == true
| where isnotempty(Computer) 
| where Computer == "MM-VM-RHEL-7"
| summarize BillableDataBytes = sum(_BilledSize) by Computer, _IsBillable, Type
| render piechart
 

Ниже приведен скриншот для иллюстрации:

Ссылки по теме:

• Использование данных журнала — понимание объема принятых данных
• Стандартные столбцы в журналах