如何处理来自具有不同表日志结构的azure不同资源的诊断日志？

Question

我正在尝试通过 EventHub 将特定订阅的不同 Azure 资源的诊断日志发送到 Log Analytics Workspace(LAW)。

但是由于我们有不同的 Azure 资源日志，每个资源可能有不同的诊断日志架构。

那么我们如何在日志分析工作空间（LAW）中处理此类日志，因为所有日志都以表的形式存储在 LAW 中？

Answer 1

为 azure 中的任何资源创建诊断设置时，将根据资源正在使用的集合创建表：

• Azure 诊断： 所有数据都写入 AzureDiagnostics 表。由于多种资源类型将数据发送到同一个表，因此其架构是所收集的所有不同数据类型的架构的超集。有关如何收集每个资源日志的更多信息，请参阅 this 和 this 文档。
• 特定于资源：数据会写入每个资源类别的单独表中。有关常见和特定于服务的架构，请参阅此文档。

Answer 2

正如前面的答案所述，您可以使用诊断设置将事件直接从资源发送到 Log Analytics 工作区。 此场景中的成本基于将日志摄取到 LAW 中的千兆字节/美元。

如果您打算使用事件中心（它基本上是一种队列服务），其中事件通常仅保留 24 小时，您需要一个使用者将这些事件发送到 LAW。这里有多个选项，您可以通过逻辑应用程序来读取该数据，修改它并将其发送给法律。价格会更高，因为这些资源通常按事件数量收费。