教學課程：將 Log Analytics 工作區中的自訂欄位取代為 KQL 型自訂資料行

自訂欄位是 Azure 監視器的一項功能，它允許您將相同資料表中不同文字資料行的資料擷取到一個獨立的資料行中。 從 2023 年 3 月 31 日開始，將停用建立新自訂欄位。 自訂欄位功能將被取代，現有自訂欄位將於 2026 年 3 月 31 日停止運作。

使用基於DCR的 擷取時轉換 來達成相同的結果，有幾個優點：

• 您可以套用完整的 字串函式 來塑造自訂欄。
• 您可以將多個作業套用至相同的資料。 例如，將值的一部分擷取至個別資料行，並移除原始資料行。
• 您可以在 ARM 模板中使用資料引入時間轉換，以大規模部署自訂欄位。

隨著 資料收集規則 （DCR） 的引進，以 KQL 為基礎的轉換是資料表自訂的標準方法，取代舊版自訂欄位。

在本教學課程中，您將瞭解如何：

先決條件

• Log Analytics 工作區，其中包含包含自訂欄位的資料表
• 建立和修改資料收集規則 （DCR） 的足夠帳戶權限

尋找要取代的自訂欄位

首先找到要替換的自定義字段。 如果您已經知道計劃取代的自訂欄位，請繼續下一步。

1. 流覽至具有自訂欄位的資料表所在的 Log Analytics 工作區。

2. 在側邊功能表中，選取 [資料表]。 從資料表的內容功能表中選取 [管理資料表]。

   

3. 請注意是否有任何資料收集規則 （DCR） 與指定的資料表相關聯。

   • 如果在相應的區段中存在任何 DCR，這表示任何先前已存在的自訂欄位，不是已經在這些 DCR 中實施，就是在創建 DCR 時被棄用。 您將在本教學課程的下一個步驟中檢查自訂欄位的內容，並判斷是否需要對 DCR 進行更多更新。
   • 如果沒有與表格相關聯的資料收集規則，則指定表格中名稱以「_CF」結尾的所有資料行都將是需要取代的自訂欄位。

   

4. 關閉表格屬性對話方塊，然後從表格內容功能表中選取 編輯結構描述 。 捲動至列出自訂欄的頁面底部。 這些欄以 _CF結尾。

   

5. 記下這些資料行的名稱，因為您將在下一個步驟中決定其內容。

瞭解自訂欄位內容

由於無法直接檢查自訂欄位定義，因此需要查詢表格以判斷自訂欄位公式。

1. 選取側邊功能表中的 [記錄] ，然後執行查詢，以從資料表取得資料範例。

   

2. 找到上一個步驟中註明的欄並檢查其內容。

   • 如果資料行 不是空 的，且有與資料表相關聯 的DCR ，則已透過轉換實作自訂欄位邏輯。 不需要採取任何動作
   • 如果資料行 是空 的 （或查詢結果中不存在） ，且有與資料表相關聯 的 DCR ，則不會使用 DCR 實作自訂欄位邏輯。 將轉換新增至現有 DCR 中的資料流。
   • 如果資料行 不是空 的，而且沒有與資料表相關聯的 DCR ，則自訂欄位邏輯必須實作為 工作區 DCR 中的轉換。

3. 檢查自訂欄位的內容，並判斷其計算方式的邏輯。 自訂欄位通常會計算同一表格中其他列的子字串。 判斷資料來自哪個資料行，以及它擷取的字串部分。

創造轉型

您現在已準備好建立必要的 KQL 程式碼片段，並將它新增至 DCR。 此邏輯會在每筆記錄匯入工作區時套用。

1. 使用 KQL 修改資料表的查詢，以複寫自訂欄位邏輯。 如果您有多個自訂欄位要取代，您可以將其計算邏輯合併為單一陳述式。

   • 使用 剖析 運算子對字串內的子字串進行型樣型搜尋。
   • 使用 extract（） 函數進行基於正則表達式的子字串搜索。
   • 字串函數如 split（）、substring（） 和許多其他函數也可能有用。

   

2. 確定新 KQL 定義應放置於自訂資料行的位置。

   • 使用 Azure 監視器代理程式（AMA） 收集的記錄，請編輯為資料表收集資料的 DCR，並新增一個轉換。 如需範例，請參閱 Azure 監視器中轉換的最佳做法和範例。 轉換查詢定義在元素中 transformKql 。
   • 針對使用 診斷設定收集的資源記錄，請將轉換新增至 工作區預設 DCR。 表格必須 支援轉換。

常見問題

如何移轉透過舊版 Log Analytics 代理程式 (MMA) 收集的文字記錄的自訂欄位？

請考慮移轉至 Azure 監視器代理程式 （AMA）。 Log Analytics 代理程式即將終止支援，您應該移轉至 Azure 監視器代理程式 （AMA）。 使用 AMA 收集的文字記錄 會從一開始就使用以 KQL 轉換形式定義的記錄剖解析邏輯。 自訂欄位不是必要項目，也不支援 Azure 監視器代理程式所收集的文字記錄。

是否必須將自訂欄位移轉至 KQL？

否，只有在您仍想要填入自訂欄時，才需要移轉自訂欄位。 如果您不移轉自訂欄位，則在自訂欄位支援終止時，將停止填入對應的資料行。 已處理並儲存在表格中的資料不會受到影響，而且仍可使用。

如果我沒有及時遷移自訂欄位，我會遺失對應欄中的現有資料嗎？

否，自訂欄位會在資料擷取時計算。 刪除欄位定義或未及時移轉欄位定義不會影響先前擷取的任何資料。

後續步驟

• 深入瞭解 Azure 監視器中的轉換。