Aggregieren von Daten in einem Log Analytics Arbeitsbereich mithilfe von Zusammenfassungsregeln

Mithilfe einer Zusammenfassungsregel können Sie Protokolldaten in regelmäßigen Abständen aggregieren und die aggregierten Ergebnisse an eine benutzerdefinierte Protokolltabelle in Ihrem Log Analytics Arbeitsbereich senden. Verwenden Sie Zusammenfassungsregeln, um Ihre Daten für Folgendes zu optimieren:

Analyse und Berichte, insbesondere über große Datasets und Zeitbereiche, z. B. Sicherheits- und Vorfallanalyse oder Monats-über-Monat- und Jährliche Geschäftsberichte. Komplexe Abfragen auf ein großes Dataset führen häufig zu Zeitüberschreitungen. Es ist einfacher und effizienter, bereinigte und aggregierte zusammengefasste Daten zu analysieren und darüber zu berichten.
Kosteneinsparungen bei ausführlichen Protokollen, die Sie in einer kostengünstigen Basisprotokolltabelle so kurz oder so lange aufbewahren, wie Sie es benötigen, während Sie zusammengefasste Daten zur Analyse und Berichterstellung an eine Analysetabelle senden.
Sicherheit und Datenschutz durch Entfernen oder Verschleiern von Datenschutzdetails in zusammengefassten, gemeinsam nutzbaren Daten und Einschränkung des Zugriffs auf Tabellen mit Rohdaten.

In diesem Artikel wird beschrieben, wie Zusammenfassungsregeln funktionieren und wie Sie Zusammenfassungsregeln definieren und anzeigen können. Außerdem finden Sie einige Beispiele für die Verwendung und die Vorteile von Zusammenfassungsregeln.

Dieses Video zeigt einen Überblick über einige Vorteile von Zusammenfassungsregeln:

Funktionsweise von Zusammenfassungsregeln

Sammelregeln führen die Batchverarbeitung direkt in Ihrem Log-Analytics-Arbeitsbereich durch. Die Zusammenfassungsregel aggregiert Datenblöcke, die durch die Bin-Größe definiert sind, basierend auf einer KQL-Abfrage, und sie führt die zusammengefassten Ergebnisse in eine benutzerdefinierte Tabelle mit einem Analytics-Protokollplan in Ihrem Log Analytics-Arbeitsbereich wieder ein.

Zusammenfassungsregeln aggregieren Daten aus einer beliebigen Tabelle, unabhängig davon, ob die Tabelle über einen Analyse- oder Basisdatenplan verfügt. Azure Monitor erstellt das Zieltabellenschema basierend auf der von Ihnen definierten Abfrage. Wenn die Zieltabelle bereits vorhanden ist, fügt Azure Monitor alle Spalten an, die zur Unterstützung der Abfrageergebnisse erforderlich sind. Alle Zieltabellen enthalten auch eine Reihe von Standardfeldern mit Informationen zu Zusammenfassungsregeln, einschließlich:

_RuleName: Die Zusammenfassungsregel, die den aggregierten Protokolleintrag generiert hat.
_RuleLastModifiedTime: Der Zeitpunkt der letzten Änderung der Regel.
_BinSize: Das Aggregationsintervall.
_BinStartTime: Die Startzeit der Aggregation.

Konfigurieren Sie bis zu 100 aktive Regeln, um Daten aus mehreren Tabellen zu aggregieren und die aggregierten Daten an separate Zieltabellen oder dieselbe Tabelle zu senden.

Um zusammengefasste Daten aus einer benutzerdefinierten Protokolltabelle in ein Speicherkonto oder Event Hubs für weitere Integrationen zu exportieren, definieren Sie eine Datenexportregel.

Beispiel: Zusammenfassen von ContainerLogV2-Daten

Wenn Sie Container überwachen, erfassen Sie eine große Menge ausführlicher Protokolle in der Tabelle ContainerLogV2.

Sie können diese Abfrage in Ihrer Zusammenfassungsregel verwenden, um eindeutige Datensätze innerhalb von 60 Minuten zu aggregieren und nur die Daten zu bewerben, die für die Analyse in der Zieltabelle nützlich sind:

ContainerLogV2 
| summarize Count = count() 
  by
  Computer, 
  ContainerName,
  PodName, 
  PodNamespace, 
  LogSource, 
  LogLevel, 
  Message = tostring(LogMessage.Message)

Dies sind die Rohdaten in der Tabelle ContainerLogV2:

Hier sind die aggregierten Daten, die die Zusammenfassungsregel an die Zieltabelle sendet:

Anstatt Hunderte ähnlicher Einträge innerhalb einer Stunde zu protokollieren, zeigt die Zieltabelle die Anzahl der einzelnen eindeutigen Einträge an, wie in der KQL-Abfrage definiert. Legen Sie den Basisdatenplan für die ContainerLogV2 Tabelle für die kostengünstige Aufbewahrung der Rohdaten fest, und verwenden Sie die zusammengefassten Daten in der Zieltabelle für Ihre Analyseanforderungen.

Erforderliche Berechtigungen

Handlung	Erforderliche Berechtigungen
Erstellen oder Aktualisieren der Zusammenfassungsregel	`Microsoft.Operationalinsights/workspaces/summarylogs/write`-Berechtigungen für den Log Analytics-Arbeitsbereich, wie beispielsweise von der integrierten Rolle „Log Analytics-Mitwirkender“ bereitgestellt
Erstellen oder Aktualisieren der Zieltabelle	`Microsoft.OperationalInsights/workspaces/tables/write`-Berechtigungen für den Log Analytics-Arbeitsbereich, wie beispielsweise von der integrierten Rolle „Log Analytics-Mitwirkender“ bereitgestellt
Abfragevorgang im Arbeitsbereich aktivieren	`Microsoft.OperationalInsights/workspaces/query/read` Berechtigungen für den Log Analytics-Arbeitsbereich, wie sie beispielsweise durch die integrierte Rolle Log Analytics Reader bereitgestellt werden.
Abfragen aller Tabellen im Arbeitsbereich	`Microsoft.OperationalInsights/workspaces/query/*/read` Berechtigungen für den Log Analytics-Arbeitsbereich, wie sie beispielsweise durch die integrierte Rolle Log Analytics Reader bereitgestellt werden.
Abfrageprotokolle in einer Tabelle	`Microsoft.OperationalInsights/workspaces/query/<table>/read` Berechtigungen für den Log Analytics-Arbeitsbereich, wie sie beispielsweise durch die integrierte Rolle Log Analytics Reader bereitgestellt werden.
Abfrageprotokolle in einer Tabelle (Tabellenaktion)	`Microsoft.OperationalInsights/workspaces/tables/query/read` Berechtigungen für den Log Analytics-Arbeitsbereich, wie sie beispielsweise durch die integrierte Rolle Log Analytics Reader bereitgestellt werden.
Verwenden von Abfragen, die in einem kundenseitig verwalteten Speicherkonto verschlüsselt sind	`Microsoft.Storage/storageAccounts/*`-Berechtigungen für das Speicherkonto, wie sie von der integrierten Rolle Speicherkonto-Mitwirkender bereitgestellt werden, z. B.

Überlegungen zur Implementierung

Die maximale Anzahl aktiver Regeln in einem Arbeitsbereich beträgt 100.
Zusammenfassungsregeln sind derzeit nur in der öffentlichen Cloud verfügbar.
Die Zusammenfassungsregel verarbeitet eingehende Daten und lässt keinen historischen Zeitraum zu. Daten können nur ab der jüngeren Vergangenheit bis zu 24 Stunden verarbeitet werden. Dies entspricht maximal binSize 1440 Minuten, wenn binStartTime sie auf das vollständige 24-Stunden-Fenster festgelegt ist.
Das Erstellen einer Zusammenfassungsregel mit einer Abfrage über einen anderen Mandanten unter Lighthouse wird nicht unterstützt.
Das Hinzufügen von Workspace-Transformation zur Zieltabelle einer Zusammenfassungsregel wird nicht unterstützt.
Die Verwendung union * und isfuzzy=true in Zusammenfassungsregelabfragen wird nicht unterstützt.

Zusammenfassung des Regel-Preismodells

Sammelregeln verursachen keine zusätzlichen Kosten. Sie zahlen nur für die Abfrage und die Erfassung von Ergebnissen in der Zieltabelle, basierend auf dem Tabellenplan der Quelltabelle, auf der Sie die Abfrage ausführen:

Quellen-Tabellenplan	Abfragekosten	Kosten für die Erfassung der Sammelergebnisse
Datenanalyse	Kostenlos	Erfassung von Analyseprotokollen
Basic- und Hilfspläne	Datenscan	Erfassung von Analyseprotokollen

Beispielsweise wäre die Kostenberechnung für eine stündlich ausgeführte Regel, die pro Intervall 100 Datensätze zurückgibt, wie folgt:

Quellen-Tabellenplan	Monatliche Preisberechnung
Datenanalyse	Preis für die Erfassung x Datensatzvolumen x Anzahl der Erfassungen x 24 Stunden x 30 Tage.
Basic- und Hilfspläne	Preis für Datenscan x gescanntes Volumen + Preis für die Erfassung x Datenmenge x Anzahl der Datensätze x 24 Stunden x 30 Tage Bei einer kontinuierlich laufenden Regel werden alle eingehenden Daten in der Quelltabelle gescannt.

Weitere Informationen finden Sie unter Azure Monitor Pricing.

Erstellen oder Aktualisieren einer Zusammenfassungsregel

Die in der Zusammenfassungsregelabfrage verfügbaren Operatoren hängen vom Plan der Quelltabelle in der Abfrage ab.

Analyse: Unterstützt alle KQL-Operatoren und -Funktionen, mit Ausnahme von:
- Ressourcenübergreifende Abfragen, die die Ausdrücke workspaces(), app() und resource() verwenden, sowie dienstübergreifende Abfragen die die Ausdrücke ADX() und ARG() verwenden.
- Plug-Ins, die das Datenschema neu gestalten, einschließlich bag unpack, narrowund pivot.
Basic: Unterstützt alle KQL-Operatoren in einer einzelnen Tabelle. Verknüpfen Sie bis zu fünf Analysetabellen mithilfe des Nachschlageoperators .
Funktionen: Benutzerdefinierte Funktionen werden nicht unterstützt. Systemfunktionen, die von Microsoft bereitgestellt werden, werden unterstützt.

Zusammenfassungsregeln liefern die meisten Kosten- und Abfragevorteile, wenn die Regelabfrage den summarize Operator enthält und die Ergebnisanzahl oder das Volumen erheblich reduziert wird. Ziel ist beispielsweise ein Ergebnisvolumen von 0,01% oder weniger der Quelle. Bevor Sie eine Regel erstellen, testen Sie die Abfrage in Log Analytics, und überprüfen Sie Folgendes:

Die Abfrage erzeugt die beabsichtigten Ergebnisse und das gewünschte Schema.
Die Abfrage erreicht oder kommt nicht in die Nähe der Abfrage-API-Grenzwerte. Wenn die Abfrage nahe an den Abfragegrenzwerten liegt, sollten Sie eine kleinere binSize verwenden, um weniger Daten pro Bin zu verarbeiten. Ändern Sie alternativ die Abfrage so, dass weniger Datensätze oder weniger Felder mit hohem Volumen zurückgegeben werden.
Die Datensatzgröße in den Ergebnissen beträgt weniger als 1 MB.

Hinweis

Verwenden Sie in einer Zusammenfassungsregelabfrage keinen Zeitfilter, da die Abfrage bereits über den durch die Bin-Größe definierten Zeitraum verfügt. Wenn Sie einen Zeitfilter hinzufügen, wird er mit der Bin-Größe kombiniert, was dazu führt, dass nur der überlappende Zeitraum verwendet wird.

Wenn Sie eine Abfrage aktualisieren und die Zusammenfassungsergebnisse weniger Felder enthalten, entfernt Azure Monitor die Spalten nicht automatisch aus der Zieltabelle. Löschen Sie bei Bedarf Spalten aus der Tabelle manuell.

So erstellen oder aktualisieren Sie eine Zusammenfassungsregel:

Wechseln Sie im Azure-Portal zu Ihrem Log Analytics Arbeitsbereich.
Wählen Sie im linken Menü unter "Einstellungen" die Option "Regeln" aus.
Wählen Sie die Registerkarte "Zusammenfassungsregeln" aus .
Wählen Sie +Erstellen aus, um eine neue Zusammenfassungsregel zu erstellen.
Geben Sie den Regelnamen, die Beschreibung und die Zieltabelle ein, und wählen Sie dann "Weiter: Regellogik festlegen" aus.
Der Regellogikschritt beginnt in der Abfrageoberfläche von Log Analytics. Erstellen und testen Sie Ihre Abfrage hier und klicken Sie dann auf Anwenden, sobald sie die erwarteten Ergebnisse liefert.
Wählen Sie den Wert Zusammenfassung ausführen alle aus, der binSize entspricht, und passen Sie bei Bedarf weitere Planungsoptionen an. Wählen Sie dann "Weiter" aus: Überprüfen + erstellen.
Überprüfen Sie die Einstellungen für die Zusammenfassungsregel, und wählen Sie dann "Erstellen" aus.

Verwenden Sie den folgenden Befehl, um mithilfe von Azure CLI eine Zusammenfassungsregel zu erstellen oder zu aktualisieren. Aus <RuleName> wird die name-Eigenschaft der Regel, während das optionale displayName ein benutzerfreundlicher Name ist, der im Azure-Portal zur einfacheren Identifizierung angezeigt wird.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method put --url "$url" --body @body.json

Speichern Sie den folgenden JSON-Code als body.json im selben Verzeichnis, bevor Sie den Befehl ausführen:

{
  "properties": {
    "ruleType": "User",
    "description": "My test rule",
    "ruleDefinition": {
      "query": "StorageBlobLogs | summarize count() by AccountName",
      "binSize": 30,
      "destinationTable": "MySummaryLogs_CL"
    }
  }
}

Verwenden Sie den folgenden Befehl, um mithilfe von Azure PowerShell eine Zusammenfassungsregel zu erstellen oder zu aktualisieren. Aus <RuleName> wird die name-Eigenschaft der Regel, während das optionale displayName ein benutzerfreundlicher Name ist, der im Azure-Portal zur einfacheren Identifizierung angezeigt wird.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

$body = @{
    properties = @{
        ruleType = "User"
        description = "My test rule"
        ruleDefinition = @{
            query = "StorageBlobLogs | summarize count() by AccountName"
            binSize = 30
            destinationTable = "MySummaryLogs_CL"
        }
    }
} | ConvertTo-Json -Depth 10

Invoke-AzRestMethod -Method PUT -Path $url -Payload $body

Verwenden Sie die folgende PUTAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um create or update eine Zusammenfassungsregel zu erstellen. Aus <RuleName> wird die name-Eigenschaft der Regel, während das optionale displayName ein benutzerfreundlicher Name ist, der im Azure-Portal zur einfacheren Identifizierung angezeigt wird.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

{
  "properties": {
    "ruleType": "User",
    "description": "My test rule",
    "ruleDefinition": {
      "query": "StorageBlobLogs | summarize count() by AccountName",
      "binSize": 30,
      "destinationTable": "MySummaryLogs_CL"
    }
  }
}

Verwenden Sie diese Vorlage, um eine Zusammenfassungsregel zu erstellen oder zu aktualisieren. Weitere Informationen zum Verwenden und Bereitstellen von Azure Resource Manager Vorlagen finden Sie unter Azure Resource Manager templates. Der summaryRuleName Parameter, der Ihrer Eingabe <RuleName>entspricht, wird zur name Eigenschaft für die Regel, während es sich bei dem optionalen displayName Namen um einen benutzerfreundlichen Namen handelt, der im Azure-Portal zur einfacheren Identifizierung angezeigt wird.

Erstellen oder Aktualisieren einer Zusammenfassungsregelvorlage

Vorlagendatei

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "String",
      "metadata": {
        "description": "The workspace name where summary rule is deployed."
      }
    },
    "summaryRuleName": {
      "type": "String",
      "metadata": {
        "description": "The summary rule name."
      }
    },
    "description": {
      "type": "String",
      "metadata": {
        "description": "A description of the rule."
      }
    },
    "location": {
      "defaultValue": "[resourceGroup().location]",
      "type": "String",
      "metadata": {
        "description": "The Location of the workspace summary rule is deployed."
      }
    },
    "ruleType": {
      "defaultValue": "User",
      "allowedValues": [
        "User"
      ],
      "type": "String",
      "metadata": {
        "description": "The summary rule type (User,System). Should be 'User' for and rule with query that you define."
      }
    },
    "query": {
      "type": "String",
      "metadata": {
      "description": "The query used in summary rules."
      }
    },
    "binSize": {
      "defaultValue": 60,
      "allowedValues": [
        20,
        30,
        60,
        120,
        180,
        360,
        720,
        1440
      ],
      "type": "Int",
      "metadata": {
        "description": "The execution interval in minutes, and the lookback time range."
      }
    },
    "destinationTable": {
      "type": "String",
      "metadata": {
        "description": "The name of the custom log table that the summary results are sent to. Name must end with '_CL'."
      }
    }
    // ----- optional -----
    // "displayName": {
    //   "type": "String",
    //   "metadata": {
    //     "description": "Optional - The summary rule display name when provided."
    //   }
    // },
    // "binDelay": {
    //   "type": "Int",
    //   "metadata": {
    //     "description": "Optional - The minimum wait time in minutes before bin execution. For example, value of '10' cause bin (01:00-02:00) to be executed after 02:10."
    //   }
    // },
    // "timeSelector": {
    //   "defaultValue": "TimeGenerated",
    //   "allowedValues": [
    //     "TimeGenerated"
    //   ],
    //   "type": "String",  
    //   "metadata": {
    //     "description": "Optional - The time field to be used by the summary rule. Must be 'TimeGenerated'."
    //   }
    // },
    // "binStartTime": {
    //   "type": "String",
    //   "metadata": {
    //     "description": "Optional - The Time of initial bin. Can start at current time minus binSize, or future, and in whole hours. For example: '2024-01-01T08:00'."
    //   }
    // }
  },
  "variables": {},
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/summaryLogs",
      "apiVersion": "2025-07-01",
      //"name": "[format('{0}/{1}', parameters('workspaceName'), parameters('summaryRuleName'))]",
      "name": "[concat(parameters('workspaceName'), '/', parameters('summaryRuleName'))]",
      "properties": {
        "ruleType": "[parameters('ruleType')]",
        "description": "[parameters('description')]",
        "ruleDefinition": {
          "query": "[parameters('query')]",
          "binSize": "[parameters('binSize')]",
          "destinationTable": "[parameters('destinationTable')]"
          // ----- optional -----
          //"binDelay": "[parameters('binDelay')]",
          //"timeSelector": "[parameters('timeSelector')]",
          //"binStartTime": "[parameters('binStartTime')]"
        }
      }
    }
  ]
}

Parameterdatei

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "<WorkspaceName>"
    },
    "summaryRuleName": {
      "value": "<RuleName>"
    },
    "description": {
      "value": "My rule description"
    },
    "location": {
      "value": "<AzureRegion>" //Log Analytics workspace region
    },
    "ruleType": {
      "value": "User"
    },
    "query": {
      "value": "StorageBlobLogs | summarize Count = count(), DurationMs98 = percentile(DurationMs, 90) by StatusCode, CallerIpAddress, OperationName"
    },
    "binSize": {
      "value": 20
    },
    "destinationTable": {
      "value": "MySummaryLogs_CL"
    }
  }
}

Eigenschaften der Zusammenfassungsregel

In dieser Tabelle werden die Parameter beschrieben, die für die Erstellung und Verwaltung von Sammelregeln verfügbar sind.

Parameter	Gültige Werte	Beschreibung
`ruleType`	`User` oder `System`	Gibt den Typ der Regel an. - `User`: Regeln, die Sie definieren. - `System`: Vordefinierte Regeln, die von Azure Diensten verwaltet werden.
`description`	Schnur	Beschreibt die Regel und ihre Funktion. Dieser Parameter ist hilfreich, wenn Sie über mehrere Regeln verfügen und bei der Regelverwaltung helfen können.
`binSize`	`20`, `30`, `60`, `120`, `180`, `360`, `720` oder `1440` (Minuten)	Definiert das Aggregationsintervall und den Nachschlagezeitbereich. Wenn Sie z. B. `"binSize": 120` festlegen, erhalten Sie möglicherweise Einträge für `02:00 to 04:00` und `04:00 to 06:00`.
`query`	Kusto Query Language (KQL)-Abfrage	Definiert die Abfrage, die in der Regel ausgeführt werden soll. Sie müssen keinen Zeitraum angeben, da der `binSize` Parameter das Aggregationsintervall bestimmt, `02:00 to 03:00` z. B. wenn `"binSize": 60`. Wenn Sie in der Abfrage einen Zeitfilter hinzufügen, ist der in der Abfrage verwendete Zeitraum die Schnittmenge zwischen dem Filter und der Bin-Größe.
`destinationTable`	tablename_CL	Gibt den Namen der benutzerdefinierten Zielprotokolltabelle an. Der Namenswert muss das Suffix `_CL` aufweisen. Azure Monitor erstellt die Tabelle im Arbeitsbereich, sofern sie noch nicht vorhanden ist, basierend auf der Abfrage, die Sie in der Regel festgelegt haben. Wenn die Tabelle bereits im Arbeitsbereich vorhanden ist, fügt Azure Monitor neue Spalten hinzu, die in der Abfrage eingeführt wurden. Wenn die Zusammenfassungsergebnisse einen reservierten Spaltennamen enthalten , z. B. `TimeGenerated`, `_IsBillable`, `_ResourceId`, `TenantId` oder `Type` - fügt Azure Monitor das Präfix `_Original` an die ursprünglichen Felder an, um ihre ursprünglichen Werte beizubehalten.
`binDelay` (wahlweise)	Integer (Minuten)	Damit wird eine Zeit festgelegt, auch als Erfassungslatenz bezeichnet, die vor der Intervallausführung gewartet werden soll. Dies ist in der Regel bei verspätet eingehenden Daten nützlich und ermöglicht, dass möglichst viele Daten eintreffen. Die Standardverzögerung liegt zwischen dreieinhalb Minuten und 10 % des Werts `binSize`. Wenn Sie wissen, dass die von Ihnen abgefragten Daten in der Regel mit Verzögerung erfasst werden, legen Sie den Parameter `binDelay` auf den bekannten Verzögerungswert oder höher fest – bis zu 1.440 Minuten. Weitere Informationen finden Sie unter Konfigurieren des Aggregatortimings. In einigen Fällen kann Azure Monitor die Ausführung des Bins geringfügig nach der festgelegten Bin-Verzögerung beginnen, um die Zuverlässigkeit des Dienstes und den Erfolg der Abfrage zu gewährleisten.
`retryBinStartTime`	Datum und Uhrzeit in `%Y-%n-%eT%H:%M %Z`-Format	Führen Sie erneut einen Datenbereich anhand der bereitgestellten `retryBinStartTime` aus. Die übrigen Definitionen der Regel gelten weiterhin gemäß der letzten Aktualisierung. Der gewählte `retryBinStartTime`-Wert muss nach `RuleLastModifiedTime` erfolgen und in die Divisionen von `binSize` passen. Wenn die Regel `binSize` beispielsweise 20 Minuten beträgt, können Sie auf "2026-02-16T10:00:00Z", "2026-02-16T10:20:00Z" oder "2026-02-16T10:40:00Z" festlegen `retryBinStartTime` .
`binStartTime` (wahlweise)	Datum und Uhrzeit in `%Y-%n-%eT%H:%M %Z`-Format	Gibt das Datum und die Uhrzeit für die erstmalige Ausführung des Binärprogramms an. Der Wert kann mit dem Erstellungszeitpunkt der Regel beginnen, abzüglich des `binSize`-Werts, oder später, und in ganzen Stunden. Wenn beispielsweise „datetime“ `2023-12-03T12:13Z` und `binSize` 1.440 ist, lautet der früheste gültige `binStartTime`-Wert `2023-12-02T13:00Z`, und die Aggregation enthält Daten, die zwischen 02T13:00 und 03T13:00 protokolliert werden. In diesem Szenario beginnen die Regeln mit der Aggregation eines 03T13:00 plus der Standard- oder angegebenen Verzögerung. Der Parameter `binStartTime` ist in täglich ausgeführten Zusammenfassungsszenarien nützlich. Angenommen, Sie befinden sich in der Zeitzone UTC-8 und erstellen eine tägliche Regel um `2023-12-03T12:13Z`. Sie möchten, dass die Regel abgeschlossen werden soll, bevor Sie Ihren Tag um 8:00 Uhr (00:00 UTC) beginnen. Setzen Sie den `binStartTime`-Parameter auf `2023-12-02T22:00Z`. Die erste Aggregation umfasst alle Daten, die zwischen 02T:06:00 und 03T:06:00 Ortszeit aufgezeichnet wurden, und die Regel läuft täglich zur gleichen Zeit. Weitere Informationen finden Sie unter Konfigurieren des Aggregatortimings. Wenn Sie Regeln aktualisieren, wählen Sie eine der folgenden Optionen aus: – Verwenden Sie den vorhandenen Wert `binStartTime` oder entfernen Sie den Parameter `binStartTime`. In diesem Fall wird die Ausführung auf der Grundlage der ursprünglichen Definition fortgesetzt. – Aktualisieren Sie die Regel mit einem neuen `binStartTime`-Wert, um einen neuen Datetime-Wert festzulegen.
`name`	Schnur	Gibt den Regelnamen an. Der Name muss innerhalb des Arbeitsbereichs eindeutig sein und kann Buchstaben, Zahlen, Unterstriche, Bindestriche und Punkte (keine Leerzeichen) enthalten. Der Namenswert wird im `_RuleName` Feld in der Zieltabelle verwendet.
`displayName` (wahlweise)	Schnur	Gibt den Anzeigenamen der Regel in Azure Portaloberflächen an.
`timeSelector` (wahlweise)	`TimeGenerated`	Definiert das Zeitstempelfeld, das Azure Monitor zum Aggregieren von Daten verwendet. Wenn Sie beispielsweise `"binSize": 120` festlegen, können Sie Einträge mit einem `TimeGenerated`-Wert zwischen `02:00` und `04:00` erhalten.

Konfigurieren des Aggregationszeitpunkts

Standardmäßig erstellt die Zusammenfassungsregel die erste Aggregation kurz nach der nächsten vollen Stunde.

Die kurze Verzögerung, die Azure Monitor hinzufügt, berücksichtigt die Aufnahmelatenz, also die Zeit zwischen der Erstellung der Daten im überwachten System und dem Zeitpunkt, zu dem sie in Azure Monitor zur Analyse verfügbar sind. Diese Verzögerung liegt standardmäßig zwischen drei und einer halben Minute und 10% des Bin-Größenwerts vor dem Aggregieren der einzelnen Bins. In den meisten Fällen stellt diese Verzögerung sicher, dass Azure Monitor alle innerhalb jedes Bin-Zeitraums protokollierten Daten aggregiert.

Zum Beispiel:

Sie erstellen eine Zusammenfassungsregel mit einer Containergröße von 30 Minuten bei 14:44. Die erste Aggregation wird um 15:04 Uhr generiert, also zur nächsten vollen Stunde plus 4 Minuten Verzögerung.
Sie erstellen eine Zusammenfassungsregel mit einer Intervallgröße von 720 Minuten um 14:44. Die erste Aggregation wird um 16:12 generiert, also zur nächsten vollen Stunde plus 72 Minuten (10 % der Intervallgröße von 720) Verzögerung.

Verwenden Sie die Parameter binStartTime und binDelay, um den Zeitpunkt der ersten Aggregation und die Verzögerung, die Azure Monitor vor jeder Aggregation hinzufügt, zu ändern.

Die nächsten Abschnitte enthalten Beispiele für die Standardaggregationszeit und die fortgeschritteneren Aggregationszeitoptionen.

Verwenden der standardmäßigen Aggregationszeit

In diesem Beispiel wird die Zusammenfassungsregel am 2023-06-07 bei 14:44 erstellt, und Azure Monitor fügt eine Standardverzögerung von vier Minuten hinzu.

binSize (Minuten)	Anfängliche Regelausführung	Erste Aggregation	Zweite Aggregation
1440	2023-06-07 15:04	2023-06-06 15:00–2023-06-07 15:00	2023-06-07 15:00–2023-06-08 15:00
720	2023-06-07 15:04	2023-06-07 03:00–2023-06-07 15:00	2023-06-07 15:00–2023-06-08 03:00
360	2023-06-07 15:04	2023-06-07 09:00–2023-06-07 15:00	2023-06-07 15:00–2023-06-07 21:00
180	2023-06-07 15:04	2023-06-07 12:00–2023-06-07 15:00	2023-06-07 15:00–2023-06-07 18:00
120	2023-06-07 15:04	2023-06-07 13:00–2023-06-07 15:00	2023-06-07 15:00–2023-06-07 17:00
60	2023-06-07 15:04	2023-06-07 14:00–2023-06-07 15:00	2023-06-07 15:00–2023-06-07 16:00
30	2023-06-07 15:04	2023-06-07 14:30–2023-06-07 15:00	2023-06-07 15:00–2023-06-07 15:30
20	2023-06-07 15:04	2023-06-07 14:40–2023-06-07 15:00	2023-06-07 15:00–2023-06-07 15:20

Festlegen optionaler Aggregationszeitparameter

In diesem Beispiel wird die Zusammenfassungsregel am 2023-06-07 um 14:44 erstellt, und die Regel enthält die folgenden erweiterten Konfigurationseinstellungen:

binStartTime: 08.06.2023 07:00
binDelay: 8 Minuten

binSize (Minuten)	Anfängliche Regelausführung	Erste Aggregation	Zweite Aggregation
1440	2023-06-09 07:08	2023-06-08 07:00–2023-06-09 07:00	2023-06-09 07:00–2023-06-10 07:00
720	2023-06-08 19:08	2023-06-08 07:00–2023-06-08 19:00	2023-06-08 19:00–2023-06-09 07:00
360	2023-06-08 13:08	2023-06-08 07:00–2023-06-08 13:00	2023-06-08 13:00–2023-06-08 19:00
180	2023-06-08 10:08	2023-06-08 07:00–2023-06-08 10:00	2023-06-08 10:00–2023-06-08 13:00
120	2023-06-08 09:08	2023-06-08 07:00–2023-06-08 09:00	2023-06-08 09:00–2023-06-08 11:00
60	2023-06-08 08:08	2023-06-08 07:00–2023-06-08 08:00	2023-06-08 08:00–2023-06-08 09:00
30	2023-06-08 07:38	2023-06-08 07:00–2023-06-08 07:30	2023-06-08 07:30–2023-06-08 08:00
20	2023-06-08 07:28	2023-06-08 07:00–2023-06-08 07:20	2023-06-08 07:20–2023-06-08 07:40

Alle Zusammenfassungsregeln anzeigen

Sie können alle Zusammenfassungsregeln in Ihrem Arbeitsbereich anzeigen oder aufzählen.

Die displayName Eigenschaft der im Azure Portal sichtbaren Zusammenfassungsregel unterscheidet sich von der name Eigenschaft, die in API-Aufrufen verwendet wird, insbesondere, wenn Sie die Regel über das Portal erstellt haben. Die name Eigenschaft ist der eindeutige Bezeichner für die Regel und wird in API-Aufrufen zum Verwalten der Regel verwendet. Dies displayName ist ein benutzerfreundlicher Name, der im Azure Portal zur einfacheren Identifizierung angezeigt wird.

Wechseln Sie im Azure-Portal zu Ihrem Log Analytics Arbeitsbereich.
Wählen Sie im linken Menü unter "Einstellungen" die Option "Regeln" aus.
Wählen Sie die Registerkarte "Zusammenfassungsregeln" aus .

Verwenden Sie den folgenden Befehl, um alle Zusammenfassungsregeln mithilfe von Azure CLI anzuzeigen.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs?api-version=$apiVersion"

az rest --method get --url "$url"

Verwenden Sie den folgenden Befehl, um alle Zusammenfassungsregeln mithilfe von Azure PowerShell anzuzeigen.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs?api-version=$apiVersion"

Invoke-AzRestMethod -Method GET -Path $url

Verwenden Sie die folgende GETAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um view alle Zusammenfassungsregeln zu erstellen.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Anzeigen einer Zusammenfassungsregel

Anzeigen oder Aktualisieren der Konfiguration für eine bestimmte Zusammenfassungsregel.

Wechseln Sie im Azure-Portal zu Ihrem Log Analytics Arbeitsbereich.
Wählen Sie im linken Menü unter "Einstellungen" die Option "Regeln" aus.
Wählen Sie die Registerkarte "Zusammenfassungsregeln" aus .
Wählen Sie die Auslassungspunkte (...) neben der Zusammenfassungsregel aus, die Sie in der Liste anzeigen möchten.
Wählen Sie "Bearbeiten" aus, um die Konfiguration der Zusammenfassungsregel anzuzeigen.
Wählen Sie Weiter: Regellogik festlegen aus, um die in der Zusammenfassungsregel verwendete Abfrage anzuzeigen.

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure CLI anzuzeigen. Das <RuleName> ist die name-Eigenschaft für die Regel, während displayName ein benutzerfreundlicher Name ist, der im Azure-Portal zur leichteren Identifizierung angezeigt wird.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method get --url "$url"

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure PowerShell anzuzeigen.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

Invoke-AzRestMethod -Method GET -Path $url

Verwenden Sie die folgende GETAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um view eine Zusammenfassungsregel zu erstellen.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Zusammenfassungsregel beenden

Beenden sie eine Regel für einen bestimmten Zeitraum. Ein Beispiel für einen Anwendungsfall ist, wenn Sie überprüfen möchten, ob Daten in eine Tabelle aufgenommen werden, ohne dass sich dies auf die zusammengefasste Tabelle und berichte auswirkt.

So beenden Sie eine Regel:

Wechseln Sie im Azure-Portal zu Ihrem Log Analytics Arbeitsbereich.
Wählen Sie im linken Menü unter "Einstellungen" die Option "Regeln" aus.
Wählen Sie die Registerkarte "Zusammenfassungsregeln" aus .
Wählen Sie die Umschaltfläche " AktiverStatus " aus, und bestätigen Sie, dass sich der Status in "Inaktiv" ändert.

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure CLI zu beenden.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName/stop?api-version=$apiVersion"

az rest --method post --url "$url"

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure PowerShell zu beenden.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName/stop?api-version=$apiVersion"

Invoke-AzRestMethod -Method POST -Path $url

Verwenden Sie die folgende POSTAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um stop eine Zusammenfassungsregel zu erstellen.

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}/stop?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Start einer Zusammenfassungsregel

Wenn Sie die Regel neu starten, beginnt Azure Monitor mit der Verarbeitung von Daten aus der nächsten ganzen Stunde oder basierend auf dem definierten parameter binStartTime (optional).

So starten Sie eine Regel:

Wechseln Sie im Azure-Portal zu Ihrem Log Analytics Arbeitsbereich.
Wählen Sie im linken Menü unter "Einstellungen" die Option "Regeln" aus.
Wählen Sie die Registerkarte "Zusammenfassungsregeln" aus .
Wählen Sie die Umschaltfläche " InaktiverStatus " aus, und bestätigen Sie, dass sich der Status in "Aktiv" ändert.

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure CLI zu starten.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName/start?api-version=$apiVersion"

az rest --method post --url "$url"

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure PowerShell zu starten.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName/start?api-version=$apiVersion"

Invoke-AzRestMethod -Method POST -Path $url

Verwenden Sie die folgende POSTAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um start eine Zusammenfassungsregel zu erstellen.

POST https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}/start?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Löschen einer Zusammenfassungsregel

Ein Log Analytics Arbeitsbereich unterstützt bis zu 100 aktive Sammelregeln. Wenn Sie bereits über 100 aktive Regeln verfügen und eine neue regeln erstellen möchten, müssen Sie zuerst eine aktive Zusammenfassungsregel beenden oder löschen.

So löschen Sie eine Regel:

Wechseln Sie im Azure-Portal zu Ihrem Log Analytics Arbeitsbereich.
Wählen Sie im linken Menü unter "Einstellungen" die Option "Regeln" aus.
Wählen Sie die Registerkarte "Zusammenfassungsregeln" aus .
Wählen Sie die Auslassungspunkte (...) neben der Zusammenfassungsregel aus, die Sie in der Liste anzeigen möchten.
Klicken Sie auf Löschen.

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure CLI zu löschen.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method delete --url "$url"

Verwenden Sie den folgenden Befehl, um eine Zusammenfassungsregel mithilfe von Azure PowerShell zu löschen.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

Invoke-AzRestMethod -Method DELETE -Path $url

Verwenden Sie die folgende DELETEAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um delete eine Zusammenfassungsregel zu erstellen.

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

Überwachen von Zusammenfassungsregeln

Aktivieren Sie zum Überwachen von Zusammenfassungsregeln die Kategorie Summary Logs in der Kategorie diagnostische Einstellungen Ihres Log Analytics Arbeitsbereichs. Azure Monitor sendet Ausführungsdetails zu Zusammenfassungsregeln, einschließlich der Informationen „Ausführung der Zusammenfassungsregel gestartet“, „erfolgreich“ und „fehlgeschlagen“ an die Tabelle LASummaryLogs in Ihrem Arbeitsbereich.

Richten Sie Protokollwarnungsregeln ein, um Benachrichtigungen über Bin-Fehler zu erhalten oder wenn die Ausführung des Bins in der Nähe des Timeouts erfolgt, wie in den folgenden Beispielen gezeigt. Je nach Fehlergrund verringern Sie entweder die Bin-Größe, um weniger Daten für jede Ausführung zu verarbeiten, oder ändern Sie die Abfrage so, dass weniger Datensätze oder weniger Felder mit hohem Volumen zurückgegeben werden.

Diese Abfrage gibt fehlgeschlagene Ausführungen zurück:

LASummaryLogs | where Status == "Failed"

Diese Abfrage gibt Bin-Ausführungen zurück, bei denen der QueryDurationMs-Wert größer als 90 % der maximalen Laufzeit der Abfrage ist:

LASummaryLogs | where QueryDurationMs > 0.9 * 600000

Überprüfen der Vollständigkeit der Daten

Zusammenfassungsregeln sind für die Skalierung konzipiert und enthalten einen Wiederholungsmechanismus, um vorübergehende Dienst- oder Abfragefehler im Zusammenhang mit Abfragegrenzwerten zu überwinden. Der Wiederholungsmechanismus unternimmt innerhalb von acht Stunden 10 Versuche, einen fehlgeschlagenen Bin zu aggregieren, und überspringt den Bin, wenn alle Versuche ausgeschöpft wurden. Die Regel wird auf isActive: false gesetzt und nach acht aufeinanderfolgenden Intervall-Wiederholungsversuchen pausiert.

Wenn Sie die Diagnoseeinstellung aktivieren, um Zusammenfassungsregeln zu überwachen, protokolliert Azure Monitor Ereignisse in der LASummaryLogs Tabelle in Ihrem Arbeitsbereich, sodass Sie ausführungs- und wiederholungsfehler anzeigen können. Die Ansicht wird mit der folgenden Abfrage oder über das Portal ausgeführt.

let startTime = datetime("2024-02-16");
let endTime = datetime("2024-03-03");
let ruleName = "myRuleName";
let stepSize = 20m; // The stepSize value is equal to the bin size defined in the rule
LASummaryLogs
| where RuleName == ruleName
| where Status == 'Succeeded'
| make-series dcount(BinStartTime) default=0 on BinStartTime from startTime to endTime step stepSize
| render timechart

Diese Abfrage rendert die Ergebnisse als Zeitdiagramm:

Weitere Informationen zu Regelkorrekturoptionen und proaktiven Warnungen finden Sie im Abschnitt Überwachungszusammenfassung der Regeln.

Wiederholen eines Sammelregelcontainers

Zusammenfassungsregeln sind für die Skalierung konzipiert und enthalten einen Wiederholungsmechanismus, um vorübergehende Dienstprobleme oder Abfragegrenzfehler zu überwinden. Wenn die Wiederholungsversuche des Dienstes ausgeschöpft sind, wiederholen Sie die fehlgeschlagene Ausführung (oder bin) manuell.

Wählen Sie die Ellipse (...) am äußersten rechten Rand der Zusammenfassungsregel aus, die Sie erneut ausführen möchten.
Wählen Sie im Menü „Ausführungen anzeigen“ aus.
Ändern Sie den Filter so, dass fehlgeschlagene Ausführungen angezeigt werden.
Suchen Sie die Ausführungszeit, die Sie erneut ausführen möchten, und wählen Sie die Ellipsenschaltfläche (...) am Ende der Zeile aus.
Wählen Sie im Menü „Diesen Bin erneut ausführen“ aus.

Um eine bestimmte Ausführung einer Zusammenfassungsregel erneut auszuführen, suchen Sie den BinStartTime des fehlgeschlagenen Bins und geben Sie dies als retryBinStartTime-Wert an. Wenn Sie beispielsweise eine Zusammenfassungsregel mit einer binSize von 60 Minuten haben und das Intervall erneut verarbeiten möchten, das Daten von 2026-02-16T10:00:00Z bis 2026-02-16T11:00:00Z enthält, legen Sie den Wert für retryBinStartTime auf 2026-02-16T10:00:00Z fest.

Verwenden Sie den folgenden Befehl, um den Sammelregelcontainer mithilfe von Azure CLI erneut zu versuchen.

# User input variables - update values in <AngleBrackets>
resourceGroupName="<ResourceGroupName>"
workspaceName="<WorkspaceName>"
ruleName="<RuleName>"
apiVersion="2025-07-01"

# Get the subscription ID from the current Azure CLI context
subscriptionId=$(az account show --query id --output tsv)

# Build request URL
path="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
provider="Microsoft.OperationalInsights/workspaces/$workspaceName"
url="$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

az rest --method put --url "$url" --body @body.json

Speichern Sie das folgende JSON als body.json und ersetzen Sie den Wert retryBinStartTime durch BinStartTime, um den Vorgang zu wiederholen:

{
  "properties": {
    "retryBinStartTime": "2026-02-16T10:00:00Z"
  }
}

Verwenden Sie den folgenden Befehl, um mithilfe von Azure PowerShell einen Sammelregelcontainer erneut zu versuchen.

# User input variables - update values in <AngleBrackets>
$resourceGroupName = '<ResourceGroupName>'
$workspaceName = '<WorkspaceName>'
$ruleName = '<RuleName>'
$retryBinStartTime = "2026-02-16T10:00:00Z"
$apiVersion = "2025-07-01"

# Get the subscription ID from the current Azure PowerShell context
$subscriptionId = (Get-AzContext).Subscription.Id

# Build request URL
$path = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$provider = "Microsoft.OperationalInsights/workspaces/$workspaceName"
$url = "$path/providers/$provider/summarylogs/$ruleName?api-version=$apiVersion"

$body = @{
    properties = @{
        retryBinStartTime = $retryBinStartTime
    }
} | ConvertTo-Json -Depth 10

Invoke-AzRestMethod -Method PUT -Path $url -Payload $body

Verwenden Sie die folgende PUTAnforderung für die Protokollverwaltungs-APIZusammenfassungsregeln-Operationsgruppe, um retry einen Zusammenfassungsregelcontainer zu erstellen.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/summarylogs/{ruleName}?api-version=2025-07-01
Authorization: Bearer {token}
Content-Type: application/json

{
  "properties": {
    "retryBinStartTime": "2026-02-16T10:00:00Z"
  }
}

Verwenden Sie diese Vorlage und diese Parameter, um einen Datenbereich erneut auszuführen.

Wiederholen eines Sammelregelcontainers

Vorlagendatei

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "string"
    },
    "ruleName": {
      "type": "string"
    },
    "retryBinStartTime": {
      "type": "string"
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces/summarylogs",
      "apiVersion": "2025-07-01",
      "name": "[format('{0}/{1}', parameters('workspaceName'), parameters('ruleName'))]",
      "properties": {
        "retryBinStartTime": "[parameters('retryBinStartTime')]"
      }
    }
  ]
}

Parameterdatei

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "my-law-workspace"
    },
    "ruleName": {
      "value": "my-summary-rule"
    },
    "retryBinStartTime": {
      "value": "<YYYY-MM-DDTHH:mm:ssZ>"
    }
  }
}

Verschlüsseln von Zusammenfassungsregelabfragen mithilfe von kundenseitig verwalteten Schlüsseln

Eine KQL-Abfrage kann in Kommentaren oder in der Abfragesyntax vertrauliche Informationen enthalten. Um Sammelregelabfragen zu verschlüsseln, verknüpfen Sie ein Speicherkonto mit Ihrem Log Analytics Arbeitsbereich und verwenden Sie vom Kunden verwaltete Schlüssel.

Überlegungen beim Arbeiten mit verschlüsselten Abfragen:

Das Verknüpfen eines Speicherkontos zum Verschlüsseln Ihrer Abfragen unterbricht vorhandene Regeln nicht.
Standardmäßig speichert Azure Monitor Sammelregelabfragen im Log Analytics Speicher. Wenn Sie über vorhandene Zusammenfassungsregeln verfügen, bevor Sie ein Speicherkonto mit Ihrem Log Analytics Arbeitsbereich verknüpfen, aktualisieren Sie diese Regeln so, dass die Abfragen im Speicherkonto gespeichert werden.
Abfragen, die Sie in einem Speicherkonto speichern, befinden sich in der Tabelle CustomerConfigurationStoreTable. Diese Abfragen gelten als Dienstartefakte, und ihr Format kann sich ändern.
Dasselbe Speicherkonto unterstützt Sammelregelabfragen, gespeicherte Abfragen in Log Analytics und Protokollbenachrichtigungen.

Problembehandlung für Zusammenfassungsregeln

Dieser Abschnitt enthält Tipps für die Problembehandlung von Zusammenfassungsregeln.

Die Zieltabelle für Zusammenfassungsregeln wurde versehentlich gelöscht

Wenn Sie die Zieltabelle löschen, während die Zusammenfassungsregel aktiv ist, wird die Regel angehalten, und Azure Monitor sendet ein Ereignis an die Tabelle LASummaryLogs mit einer Meldung, die angibt, dass die Regel angehalten wurde.

Wenn Sie die Zusammenfassungsergebnisse nicht in der Zieltabelle benötigen, löschen Sie die Regel und die Tabelle. Wenn Sie die Zusammenfassungsergebnisse benötigen, führen Sie die Schritte im Abschnitt Erstellen oder Aktualisieren von Zusammenfassungsregeln aus, um die Zieltabelle abhängig von der Aufbewahrungsrichtlinie in der Tabelle neu zu erstellen und alle Daten wiederherzustellen, einschließlich der vor dem Löschen erfassten Daten.

Die Abfrage verwendet Operatoren, die neue Spalten in der Zieltabelle erstellen

Das Schema der Zieltabelle wird definiert, wenn Sie eine Zusammenfassungsregel erstellen oder aktualisieren. Wenn die Abfrage Operatoren enthält, die die Erweiterung des Ausgabeschemas basierend auf eingehenden Daten zulassen (z. B. die arg_max(expression, *) Funktion), fügt Azure Monitor der Zieltabelle nach dem Erstellen oder Aktualisieren der Regel keine neuen Spalten hinzu, und die Ausgabedaten, die diese Spalten erfordern, werden gelöscht. Um die neuen Felder zur Zieltabelle hinzuzufügen, aktualisieren Sie die Zusammenfassungsregel oder fügen Sie manuell eine Spalte zu Ihrer Tabelle hinzu.

Daten, die sich in entfernten Spalten befinden, verbleiben im Arbeitsbereich gemäß den Aufbewahrungseinstellungen der Tabelle.

Wenn Sie ein Feld aus der Abfrage entfernen, verbleiben die Spalten und Daten basierend auf dem in der Tabelle oder dem Arbeitsbereich definierten Aufbewahrungszeitraum in der Zieltabelle. Wenn Sie die entfernten Spalten in der Zieltabelle nicht benötigen, löschen Sie die Spalten aus dem Tabellenschema. Wenn Sie dann Spalten mit demselben Namen hinzufügen, werden alle Daten, die nicht älter als der Aufbewahrungszeitraum sind, erneut angezeigt.

Feedback

War diese Seite hilfreich?

Last updated on 2026-06-21

Aggregieren von Daten in einem Log Analytics Arbeitsbereich mithilfe von Zusammenfassungsregeln

Funktionsweise von Zusammenfassungsregeln

Beispiel: Zusammenfassen von ContainerLogV2-Daten

Erforderliche Berechtigungen

Überlegungen zur Implementierung

Zusammenfassung des Regel-Preismodells

Erstellen oder Aktualisieren einer Zusammenfassungsregel

Eigenschaften der Zusammenfassungsregel

Konfigurieren des Aggregationszeitpunkts

Verwenden der standardmäßigen Aggregationszeit

Festlegen optionaler Aggregationszeitparameter

Alle Zusammenfassungsregeln anzeigen

Anzeigen einer Zusammenfassungsregel

Zusammenfassungsregel beenden

Start einer Zusammenfassungsregel

Löschen einer Zusammenfassungsregel

Überwachen von Zusammenfassungsregeln

Überprüfen der Vollständigkeit der Daten

Wiederholen eines Sammelregelcontainers

Verschlüsseln von Zusammenfassungsregelabfragen mithilfe von kundenseitig verwalteten Schlüsseln

Problembehandlung für Zusammenfassungsregeln

Die Zieltabelle für Zusammenfassungsregeln wurde versehentlich gelöscht

Die Abfrage verwendet Operatoren, die neue Spalten in der Zieltabelle erstellen

Daten, die sich in entfernten Spalten befinden, verbleiben im Arbeitsbereich gemäß den Aufbewahrungseinstellungen der Tabelle.

Zugehöriger Inhalt

Feedback

Zusätzliche Ressourcen