Criar uma Programação para Executar Automaticamente uma Consulta de Pesquisa Salva

Para criar Tarefas Programadas, primeiro configure as permissões corretas criando as seguintes políticas do IAM:

1. Crie um grupo dinâmico para permitir que Tarefas Programadas publiquem métricas no serviço de monitoramento de um compartimento específico:

   ALL {resource.type='loganalyticsscheduledtask', resource.compartment.id='<compartment ocid>'}

   Como alternativa, para permitir que métricas sejam postadas em todos os compartimentos:

   ALL {resource.type='loganalyticsscheduledtask'}

2. Crie políticas para permitir que o grupo dinâmico execute operações de Tarefa Programada na tenancy:

   allow group <group_name> to use loganalytics-scheduled-task in tenancy
   allow dynamic-group <dynamic_group_name> to use metrics in tenancy
   allow dynamic-group <dynamic_group_name> to read management-saved-search in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_QUERY_VIEW} in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_QUERYJOB_WORK_REQUEST_READ} in tenancy
   allow dynamic-group <dynamic_group_name> to READ loganalytics-log-group in tenancy
   allow dynamic-group <dynamic_group_name> to {LOG_ANALYTICS_LOOKUP_READ} in tenancy
   allow dynamic-group <dynamic_group_name> to read compartments in tenancy

   Verifique se o grupo de usuários tem permissão de leitura/uso para o recurso de agregação management-dashboard-family na tenancy. Caso contrário, inclua a seguinte instrução de política na política criada:

   allow group <group_name> to {MANAGEMENT_SAVED_SEARCH_READ} in tenancy

• Algumas das instruções de política acima estão incluídas nos modelos de política definidos pela Oracle prontamente disponíveis. Talvez você queira considerar o uso do modelo para seu caso de uso. Consulte Modelos de Política definidos pela Oracle para Casos de Uso Comuns.

• Para obter informações sobre grupos dinâmicos e políticas do IAM, consulte Documentação do OCI: Gerenciando Grupos Dinâmicos e Documentação do OCI: Gerenciando Políticas.

• Para obter os detalhes da política, consulte Criando Consultas de Métricas - Pré-requisitos na Documentação do Oracle Cloud Infrastructure.

• Para obter a referência da API de Tarefas Programadas, consulte Referência de Tarefa Programada na Documentação da API do Oracle Cloud Infrastructure.

Para exibir as tarefas programadas de uma pesquisa salva específica, você pode visitar a página de detalhes da pesquisa salva. No entanto, se você quiser listar todas as tarefas programadas em um compartimento específico sem fazer referência às pesquisas salvas para as quais as tarefas programadas foram criadas, use a API para consultar a listagem das tarefas programadas. Consulte ListScheduledTasks.

Especifique os seguintes parâmetros no comando GET:

• taskType=SAVED_SEARCH
• compartmentId=<compartment_OCID>
• limit=1000
• sortOrder=DESC
• sortBy=timeUpdated

Para executar o comando, você precisará:

• Namespace: O namespace do Log Analytics que você especificou ao criar as tarefas programadas.
• OCID do Compartimento: O OCID do compartimento que você deseja consultar para obter a lista de tarefas programadas criadas nele.

Você pode monitorar a integridade das tarefas programadas da sua pesquisa salva por meio das métricas Status de Execução de Tarefa Programada no serviço Monitoring. No caso de uma execução com falha ou ignorada de uma tarefa devido a uma anomalia de infraestrutura ou se um recurso ou configuração dependente for modificado, a métrica fornecerá detalhes da falha para ajudá-lo a retificá-la.

Para obter as etapas para acessar a métrica Status de Execução da Tarefa Programada, consulte Monitorar o Log Analytics Usando Métricas de Serviço.

Cada tarefa agendada de busca salva tem seu próprio intervalo, conforme especificado em sua programação de tarefa. Uma métrica é emitida para sua tenancy para cada execução de tarefa programada. Passe o cursor sobre os pontos de dados no gráfico para exibir mais detalhes sobre a tarefa. Você pode filtrar os dados da métrica com base em uma das dimensões Status, DisplayName ou ResourceId.

1. Abra o menu de navegação e clique em Observabilidade e Gerenciamento. Em Log Analytics, clique em Administração.

2. Os recursos administrativos são listados no painel esquerdo de navegação em Administração. Clique em Regras de Detecção. Na página de listagem de regras de Detecção, clique no nome da regra de detecção de pesquisa salva que você deseja abrir. A página de detalhes da regra de detecção é aberta.

3. Clique em Métricas. A guia Métricas é aberta.

4. Clique no menu Opções no canto superior direito da métrica Status de Execução de Tarefa Programada e selecione Exibir no Explorador de Métrica.

   A métrica agora é exibida no Explorador de Métricas. Aqui, você pode exibir o gráfico com mais detalhes.

   
   
   
   
   

   Deslize o botão Mostrar Tabela de Dados para exibir os detalhes das métricas:

   
   
   
   
   

5. Clique em Editar Consultas e selecione Nome da Dimensão e Valor da Dimensão para a métrica. Você pode filtrar os dados da métrica com base em taskResult, o resultado da execução da tarefa programada, Status da execução da tarefa, DisplayName da tarefa, queryExecTimeRange ou seu ResourceId.

   Observação
   
   

   Para exibir gráficos e dados tabulares do Explorador de Métricas especificando um nome de dimensão e um valor de dimensão, evite usar campos que tenham parênteses ou outros caracteres especiais no nome. Se o campo selecionado para o Nome da Dimensão tiver caracteres especiais, crie um campo virtual usando o comando eval ou renomeie o campo existente usando o comando rename para que os parênteses ou caracteres especiais sejam removidos. Por exemplo, se o campo usado para o Nome da Dimensão for Host Name (Server), você poderá criar um campo virtual hostname com | eval hostname=“Host Name (Server)”.

   A dimensão queryExecTimeRange é útil para determinar o tempo necessário para executar a consulta de tarefa programada. Os valores disponíveis são < 5s, >= 5s and < 10s, >= 10s and < 30s e > 30s. Normalmente, as consultas que levam mais de 30 segundos para serem executadas são consideradas caras em termos de tempo de execução. Consulte Como Tornar Suas Consultas Executivas.

   A dimensão taskResult pode ter os valores Succeeded, Failed e Paused. A dimensão Status fornece mais detalhes de taskResult. Por exemplo, se o valor de taskResult for Paused, o valor de Status poderá ser Paused by User.

   Clique em Atualizar Gráfico para atualizar a visualização do gráfico. O gráfico agora exibirá apenas os pontos de dados para os quais você aplicou o filtro.

   Você pode alternar para a exibição Tabela de Dados para obter uma representação tabular dos pontos dos dados coletados.

6. Altere o nome da dimensão para exibir diferentes perspectivas no gráfico.

Você pode configurar alertas para notificá-lo sobre o status por e-mail, SMS, Slack, PagerDuty, URL de ponto final HTTPS ou Função. Consulte Criar Alertas para Eventos Detectados.

A seguir estão os vários valores da dimensão status reportados por meio dessa métrica para valores taskResult específicos:

Anote os seguintes fatores para criar tarefas agendadas:

• Requisitos para Compilar Consultas:

  Ao criar consultas para criar Tarefas Programadas, certifique-se de cumprir os seguintes requisitos:

  • Observe estas limitações para consultas de regra de detecção:

    • Evite executar pesquisa com curingas no campo Conteúdo do Log Original na consulta de tarefa programada. Para obter mais informações sobre pesquisas com curingas, consulte Usar Palavras-chave, Frases e Curingas.

    • O comando timestats não pode ser seguido pelos comandos eval, extract, jsonextract, xmlextract e lookup.

    • O comando regex não deve ser usado em campos grandes como Message para evitar que as consultas sejam caras para processamento.

      A comparação de like e os comandos extract, jsonextract e xmlextract não são suportados em campos grandes como Message.

      Campos de link ou campos usados na cláusula BY não podem ser usados em campos grandes como Message.

    • The commands which are not supported in the queries for scheduled tasks are cluster, clustercompare, clusterdetails, clustersplit, compare, createview, delta, fieldsummary, highlightgroups, geostats, linkdetails, map, nlp and timecompare.

  • Limites máximos:

    O número máximo de campos suportados para a cláusula by é 3.

    O número máximo de campos suportados para o comando timestats é 3.

    O número máximo de funções de agregação suportadas em uma consulta de tarefa programada é 1.

  • Usar os valores dos campos link como dimensões para postar métricas:

    Selecione até três campos de dimensão e uma métrica numérica para postar no serviço de monitoramento. Para indicar quais campos devem ser lançados no monitoramento, as consultas devem terminar com:

    ... | link ... | fields -*, dim1, dim2, dim3, metric1

    O comando link tem várias colunas na saída, como Hora Inicial, Hora Final, Contagem etc., por padrão. Use -* no comando fields para remover esses campos e especificar opcionalmente até três campos de dimensão e um campo de métrica obrigatório.

    Você pode ter várias instruções eval após o comando stats e várias funções stats para calcular resultados intermediários. No entanto, a consulta deve terminar com fields -*, dim1, dim2, dim3, metric1 indicando quais dimensões e métricas devem ser postadas. Use as seguintes diretrizes para consultas de regras de detecção:

    • Use até o comando 2 addfields.
    • Use até 3 funções stats.
    • As instruções eval são necessárias para calcular resultados intermediários e finais.

    Exemplos de consultas:

    'Log Source' = 'OCI Email Delivery'
     | link 'Entity'
     | addfields [ * | where deliveryEventType = r and bounceType = hard | stats count as 'hard bounces' ],
                 [ * | where deliveryEventType = e and length(ipPoolName) > 0 | stats count as 'total sent messages' ]
     | eval 'Total Rate' = ('hard bounces' / 'total sent messages') * 100
     | fields -*, 'Entity', 'Total Rate'

    'Log Source' = 'My Network Logs'
     | stats sum(Success) as TotalSuccess, sum(Failure) as TotalFailure
     | eval SuccessRate = (TotalSuccess / (TotalSuccess + TotalFailure)) * 100 | fields -*, SuccessRate

• Chegada Atrasada de Logs:

  Se as tarefas programadas forem executadas antes da chegada dos logs, as tarefas programadas poderão não retornar os resultados conforme esperado. Para evitar a falta desses logs nas tarefas programadas devido à sua chegada tardia, a consulta deve contabilizá-la usando um ajuste no intervalo de tempo.

  Por exemplo, se a tarefa programada for executada a cada 5 minutos para verificar o número de erros de autenticação e se houver um atraso de 3 minutos entre o horário em que os logs são gerados e o horário em que eles chegam ao Oracle Log Analytics, a tarefa programada não detectará os logs. Considere que a tarefa agendada é executada a cada 5 minutos, por exemplo, 01:00, 01:05, 01:10, e assim por diante. Se o registro de log L1 que é gerado às 01:04 atingir o Oracle Log Analytics às 01:07. L1 não foi detectado na tarefa programada que foi executada às 1:05 porque o log não chegou ao Oracle Log Analytics no momento. Durante a próxima execução às 01:10, a consulta procura logs com timestamps entre 01:05 e 01:10. Neste ciclo também, L1 não é detectado porque tem um timestamp de 01:04. A consulta a seguir pode não ver todos os registros de logs se os logs chegarem atrasados:

  Label = 'Authentication Error' | stats count as logrecords by 'Log Source'

  Para determinar o atraso na chegada dos logs no Oracle Log Analytics, calcule a diferença entre o timestamp mencionado no registro de log e o Tempo de Publicação do Processador de Log. O exemplo de consulta a seguir pode ser usado para verificar se há um atraso:

  Label = 'Authentication Error' and 'Log Processor Posting Time (OMC INT)' != null | fields 'Agent Collection Time (OMC INT)', 'Data Services Load Time', 'Process Time', 'Log Processor Posting Time (OMC INT)'

  A consulta a seguir usa a função dateRelative para ajustar o atraso de 3 minutos em uma tarefa executada em um intervalo de 5 minutos:

  Label = 'Authentication Error' and Time between dateRelative(8minute, minute) and dateRelative(3minute, minute) | stats count as logrecords by 'Log Source'

• Outros Fatores:

  • Para entender como as consultas são criadas no serviço Monitoring, consulte Criando Consultas de Métricas na Documentação do Oracle Cloud Infrastructure.

  • Observe as informações de limites para publicar os dados de métricas no serviço Monitoring. Os limites correspondem às métricas de uma tarefa programada. Consulte PostMetricData API na Documentação do Oracle Cloud Infrastructure.

    Quando a sua busca salva pode gerar mais de 200 valores exclusivos por campo, resultados parciais são publicados devido aos limites impostos pelo serviço Monitoring. Em tais casos, para visualizar os resultados top ou bottom 200, use o comando sort.