Plan zur automatischen Ausführung einer gespeicherten Suchabfrage erstellen

Um geplante Aufgaben zu erstellen, richten Sie zuerst die richtigen Berechtigungen ein, indem Sie die folgenden IAM-Policys erstellen:

1. Erstellen Sie eine dynamische Gruppe, damit geplante Aufgaben Metriken aus einem bestimmten Compartment an den Monitoring-Service posten können:

   ALL {resource.type='loganalyticsscheduledtask', resource.compartment.id='<compartment ocid>'}

   Alternativ können Sie zulassen, dass Metriken aus allen Compartments gepostet werden:

   ALL {resource.type='loganalyticsscheduledtask'}

2. Erstellen Sie Policys, damit die dynamische Gruppe Vorgänge für geplante Aufgaben im Mandanten ausführen kann:

   allow group <group_name> to use loganalytics-scheduled-task in tenancy
   allow dynamic-group <dynamic_group_name> to use metrics in tenancy
   allow dynamic-group <dynamic_group_name> to read management-saved-search in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_QUERY_VIEW} in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_QUERYJOB_WORK_REQUEST_READ} in tenancy
   allow dynamic-group <dynamic_group_name> to READ loganalytics-log-group in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_LOOKUP_READ} in tenancy
   allow dynamic-group <dynamic_group_name> to read compartments in tenancy

• Einige der oben genannten Policy-Anweisungen sind in den verfügbaren, von Oracle definierten Policy Templates enthalten. Sie können die Vorlage für Ihren Anwendungsfall verwenden. Siehe Von Oracle definierte Policy-Vorlagen für allgemeine Anwendungsfälle.

• Informationen zu dynamischen Gruppen und IAM-Policys finden Sie in der OCI-Dokumentation: Dynamische Gruppen verwalten und der OCI-Dokumentation: Policys verwalten.

• Die Policy-Details finden Sie unter Metrikabfragen erstellen - Voraussetzungen in der Oracle Cloud Infrastructure-Dokumentation.

• Die API-Referenz zu geplanten Aufgaben finden Sie unter ScheduledTask-Referenz in der Oracle Cloud Infrastructure-API-Dokumentation.

Um die geplanten Aufgaben für eine bestimmte gespeicherte Suche anzuzeigen, können Sie die Detailseite der gespeicherten Suche aufrufen. Wenn Sie jedoch alle geplanten Aufgaben in einem bestimmten Compartment auflisten möchten, ohne die gespeicherten Suchvorgänge zu referenzieren, für die die geplanten Aufgaben erstellt wurden, fragen Sie die Liste der geplanten Aufgaben mit der API ab. Siehe ListScheduledTasks.

Geben Sie die folgenden Parameter im GET-Befehl an:

• taskType=SAVED_SEARCH
• compartmentId=<compartment_OCID>
• limit=1000
• sortOrder=DESC
• sortBy=timeUpdated

Zum Ausführen des Befehls benötigen Sie Folgendes:

• Namespace: Der Log Analytics-Namespace, den Sie beim Erstellen der geplanten Aufgaben angegeben haben.
• Compartment-OCID: Die OCID des Compartments, das Sie nach der Liste der darin erstellten geplanten Aufgaben abfragen möchten.

Sie können den Zustand der geplanten Aufgaben der gespeicherten Suche über die Metriken Ausführungsstatus der geplanten Aufgabe im Monitoring-Service überwachen. Im Falle einer nicht erfolgreichen oder übersprungenen Ausführung einer Aufgabe aufgrund einer Infrastrukturanomalie oder wenn eine abhängige Ressource oder Konfiguration geändert wird, enthält die Metrik Details zu Fehlern, die Sie bei der Korrektur unterstützen.

Die Schritte zum Zugriff auf die Metrik "Ausführungsstatus für geplante Aufgaben" finden Sie unter Log Analytics mit Servicemetriken überwachen.

Jede geplante Aufgabe der gespeicherten Suche hat ein eigenes Intervall, wie im Aufgabenplan angegeben. Für jede geplante Aufgabenausführung wird eine Metrik an Ihren Mandanten ausgegeben. Bewegen Sie den Cursor auf die Datenpunkte im Diagramm, um weitere Details zur Aufgabe anzuzeigen. Sie können die Metrikdaten basierend auf einer der Dimensionen Status, DisplayName oder ResourceId filtern.

1. Klicken Sie in Log Analytics auf Administration. Die Seite Administration - Überblick wird geöffnet.

2. Klicken Sie links im Menü Ressourcen auf Detektionsregeln. Klicken Sie auf der Listenseite für Erkennungsregeln auf den Namen der Erkennungsregel für gespeicherte Suchen, die Sie öffnen möchten. Die Detailseite der Erkennungsregel wird geöffnet.

3. Klicken Sie in den linken Links auf Metriken.

   
   
   
   
   

4. Klicken Sie oben rechts in der Metrik "Ausführungsstatus geplante Aufgabe" auf das Menü Optionen, und wählen Sie Abfrage im Metrik-Explorer anzeigen aus.

   
   
   
   
   

   Die Metrik wird jetzt im Metrik-Explorer angezeigt. Hier können Sie das Diagramm genauer untersuchen.

   
   
   
   
   

   Schieben Sie die Schaltfläche Datentabelle anzeigen, um die Details der Metriken anzuzeigen:

   
   
   
   
   

5. Klicken Sie auf Abfragen bearbeiten, und wählen Sie Dimensionsname und Dimensionswert für die Metrik aus. Sie können die Metrikdaten basierend auf taskResult filtern, dem Ergebnis der Ausführung der geplanten Aufgabe, Status der Aufgabenausführung, dem DisplayName der Aufgabe, dem queryExecTimeRange oder dem zugehörigen ResourceId.

   Hinweis
   
   

   Um Diagramme und tabellarische Daten im Metrik-Explorer anzuzeigen, indem Sie einen Dimensionsnamen und einen Dimensionswert angeben, vermeiden Sie die Verwendung von Feldern, die Klammern oder andere Sonderzeichen im Namen enthalten. Wenn das für den Dimensionsnamen ausgewählte Feld Sonderzeichen enthält, erstellen Sie ein virtuelles Feld mit dem Befehl eval, oder benennen Sie das vorhandene Feld mit dem Befehl rename um, sodass die Klammern oder Sonderzeichen entfernt werden. Beispiel: Wenn das Feld für den Dimensionsnamen Host Name (Server) lautet, können Sie ein virtuelles Feld hostname mit | eval hostname=“Host Name (Server)” erstellen.

   Die Dimension queryExecTimeRange ist nützlich, um die Zeit für die Ausführung der geplanten Aufgabenabfrage zu bestimmen. Die verfügbaren Werte sind < 5s, >= 5s and < 10s, >= 10s and < 30s und > 30s. In der Regel werden Abfragen, die mehr als 30 Sekunden dauern, in Bezug auf die Ausführungszeit als teuer betrachtet. Lesen Sie dazu How to Make Your Queries Performant.

   Die Dimension taskResult kann die Werte Succeeded, Failed und Paused aufweisen. Die Dimension Status enthält weitere Details zu taskResult. Beispiel: Wenn der Wert von taskResult Paused ist, kann der Wert von Status Paused by User sein.

   Klicken Sie auf Diagramm aktualisieren, um die Diagrammvisualisierung zu aktualisieren. Das Diagramm zeigt jetzt nur die Datenpunkte an, für die Sie den Filter angewendet haben.

   Sie können zur Datentabelle-Ansicht wechseln, wenn Sie eine tabellarische Darstellung der erfassten Datenpunkte anzeigen möchten.

6. Ändern Sie den Dimensionsnamen, um verschiedene Perspektiven im Diagramm anzuzeigen.

Sie können Alerts einrichten, um Sie über den Status per E-Mail, SMS, Slack, PagerDuty, HTTPS-Endpunkt-URL oder Funktion zu benachrichtigen. Siehe Alerts für ermittelte Ereignisse erstellen.

Im Folgenden werden die verschiedenen Werte der Dimension status aufgeführt, die über diese Metrik für bestimmte taskResult-Werte gemeldet werden:

Notieren Sie sich die folgenden Faktoren für die Erstellung geplanter Aufgaben:

• Anforderungen zum Verfassen von Abfragen:

  Wenn Sie Abfragen erstellen, um geplante Aufgaben zu erstellen, stellen Sie sicher, dass Sie die folgenden Anforderungen erfüllen:

  • Beachten Sie die folgenden Einschränkungen für Erkennungsregelabfragen:

    • Führen Sie keine Platzhaltersuche für das Feld Ursprünglicher Loginhalt in der Abfrage der geplanten Aufgabe durch. Weitere Informationen zu Platzhaltersuchen finden Sie unter Schlüsselwörter, Wortgruppen und Platzhalter verwenden.

    • Auf den Befehl timestats dürfen nicht eval, extract, jsonextract, xmlextract und lookup folgen.

    • Der Befehl regex darf nicht für große Felder wie Message verwendet werden, um zu vermeiden, dass die Abfragen für die Verarbeitung teuer werden.

      Die Befehle like compare und extract, jsonextract, xmlextract werden bei großen Feldern wie Message nicht unterstützt.

      Linkfelder oder -felder, die in der Klausel BY verwendet werden, können nicht für große Felder wie Message verwendet werden.

    • The commands which are not supported in the queries for scheduled tasks are cluster, clustercompare, clusterdetails, clustersplit, compare, createview, delta, fieldsummary, highlightgroups, geostats, linkdetails, map, nlp and timecompare.

  • Maximale Limits:

    Die maximale Anzahl der für die by-Klausel unterstützten Felder ist 3.

    Die maximale Anzahl der für den Befehl timestats unterstützten Felder ist 3.

    Die maximale Anzahl der unterstützten Aggregatfunktionen in einer Abfrage für geplante Aufgaben ist 1.

  • Verwenden Sie die Werte der Felder link als Dimensionen zum Veröffentlichen von Metriken:

    Wählen Sie bis zu drei Dimensionsfelder und eine numerische Metrik aus, die in den Monitoring-Service übertragen werden soll. Um anzugeben, welche Felder für das Monitoring veröffentlicht werden müssen, müssen die Abfragen enden mit:

    ... | link ... | fields -*, dim1, dim2, dim3, metric1

    Der Befehl link enthält standardmäßig mehrere Spalten in der Ausgabe, wie Startzeit, Endzeit, Anzahl usw. Verwenden Sie -* im Befehl fields, um diese Felder zu entfernen und optional bis zu drei Dimensionsfelder und ein obligatorisches Metrikfeld anzugeben.

    Sie können mehrere eval-Anweisungen nach dem stats-Befehl und mehrere stats-Funktionen zur Berechnung von Zwischenergebnissen verwenden. Die Abfrage muss jedoch mit fields -*, dim1, dim2, dim3, metric1 enden, das angibt, welche Dimensionen und Metriken gepostet werden müssen. Verwenden Sie die folgenden Richtlinien für Erkennungsregelabfragen:

    • Verwenden Sie den Befehl 2 addfields.
    • Verwenden Sie bis zu 3 stats-Funktionen.
    • eval-Anweisungen sind für die Berechnung von Zwischen- und Endergebnissen erforderlich.

    Beispielabfragen:

    'Log Source' = 'OCI Email Delivery'
     | link 'Entity'
     | addfields [ * | where deliveryEventType = r and bounceType = hard | stats count as 'hard bounces' ],
                 [ * | where deliveryEventType = e and length(ipPoolName) > 0 | stats count as 'total sent messages' ]
     | eval 'Total Rate' = ('hard bounces' / 'total sent messages') * 100
     | fields -*, 'Entity', 'Total Rate'

    'Log Source' = 'My Network Logs'
     | stats sum(Success) as TotalSuccess, sum(Failure) as TotalFailure
     | eval SuccessRate = (TotalSuccess / (TotalSuccess + TotalFailure)) * 100 | fields -*, SuccessRate

• Verspätete Ankunft von Logs:

  Wenn die geplanten Aufgaben vor dem Eintreffen der Logs ausgeführt werden, geben die geplanten Aufgaben möglicherweise nicht wie erwartet die Ergebnisse zurück. Um zu vermeiden, dass solche Logs in den geplanten Aufgaben aufgrund ihrer verspäteten Ankunft fehlen, muss die Abfrage sie mit einer Anpassung des Zeitraums berücksichtigen.

  Beispiel: Wenn die geplante Aufgabe alle 5 Minuten ausgeführt wird, um die Anzahl der Authentifizierungsfehler zu prüfen, und wenn zwischen dem Zeitpunkt, zu dem die Logs generiert werden, und dem Zeitpunkt, zu dem sie Oracle Log Analytics erreichen, eine Verzögerung von 3 Minuten auftritt, erkennt die geplante Aufgabe die Logs nicht. Die geplante Aufgabe wird alle 5 Minuten ausgeführt, z.B. 01:00, 01:05, 01:10 usw. Wenn der Logdatensatz L1, der um 01:04 generiert wird, um 01:07 Uhr Oracle Log Analytics erreicht. L1 wird in der geplanten Aufgabe, die um 1:05 ausgeführt wurde, nicht erkannt, weil das Log zu diesem Zeitpunkt nicht bei Oracle Log Analytics angekommen ist. Bei der nächsten Ausführung um 01:10 Uhr sucht die Abfrage nach Logs mit Zeitstempeln zwischen 01:05 und 01:10. Auch in diesem Zyklus wird L1 nicht erkannt, da er einen Zeitstempel von 01:04 hat. Bei der folgenden Abfrage werden möglicherweise nicht alle Logdatensätze angezeigt, wenn die Logs verspätet eingehen:

  Label = 'Authentication Error' | stats count as logrecords by 'Log Source'

  Um die Verzögerung bei der Ankunft der Logs in Oracle Log Analytics zu bestimmen, berechnen Sie die Differenz zwischen dem im Logdatensatz angegebenen Zeitstempel und der Buchungszeit des Logprozessors. Mit der folgenden Beispielabfrage kann geprüft werden, ob eine Verzögerung vorliegt:

  Label = 'Authentication Error' and 'Log Processor Posting Time (OMC INT)' != null | fields 'Agent Collection Time (OMC INT)', 'Data Services Load Time', 'Process Time', 'Log Processor Posting Time (OMC INT)'

  Die folgende Abfrage verwendet die Funktion dateRelative, um die Verzögerung von 3 Minuten in einer Aufgabe anzupassen, die im 5-Minuten-Intervall ausgeführt wird:

  Label = 'Authentication Error' and Time between dateRelative(8minute, minute) and dateRelative(3minute, minute) | stats count as logrecords by 'Log Source'

• Weitere Faktoren:

  • Informationen zum Erstellen von Abfragen im Monitoring-Service finden Sie unter Metrikabfragen erstellen in der Oracle Cloud Infrastructure-Dokumentation.

  • Beachten Sie die Grenzwerte für die Veröffentlichung der Metrikdaten im Monitoring-Service. Die Limits entsprechen den Metriken für eine geplante Aufgabe. Siehe PostMetricData API in der Oracle Cloud Infrastructure-Dokumentation.

    Wenn Ihre gespeicherte Suche mehr als 200 eindeutige Werte für Feld generieren kann, werden Teilergebnisse aufgrund der vom Monitoring-Service festgelegten Limits veröffentlicht. Verwenden Sie in solchen Fällen den Befehl sort, um die Ergebnisse top 200 oder bottom anzuzeigen.