Behandeln von Problemen bei Azure Monitor-Warnungen

In diesem Artikel werden gängige Probleme bei Azure-Monitor-Warnungen und -Benachrichtigungen erläutert. Azure-Monitor-Warnungen informieren Sie proaktiv, wenn wichtige Bedingungen in Ihren Überwachungsdaten gefunden werden.

Spezifische Informationen zur Problembehandlung von Azure-Metrik- oder Protokollsuchwarnungen finden Sie unter:

• Problembehandlung von Azure Monitor-Metrikwarnungen
• Problembehandlung bei Azure-Monitor-Protokollsuchwarnungen

Vor der Problembehandlung

Wenn die Warnung wie beabsichtigt ausgelöst wird, aber die richtigen Benachrichtigungen nicht erwartungsgemäß ausgeführt werden, testen Sie zuerst Ihre Aktionsgruppe, um sicherzustellen, dass sie ordnungsgemäß konfiguriert ist.

Verwenden Sie andernfalls die Informationen im restlichen Artikel, um Ihr Problem zu beheben.

Ich habe die erwartete E-Mail nicht erhalten

Führen Sie die folgenden Schritte aus, wenn eine ausgelöste Warnung im Azure-Portal angezeigt wird, aber Sie die konfigurierte E-Mail nicht empfangen haben:

1. Wurde die E-Mail durch eine Warnungsverarbeitungsregel unterdrückt?

   Überprüfen Sie dies, indem Sie im Portal auf die ausgelöste Warnung klicken und die Registerkarte „Verlauf“ auf unterdrückte Aktionsgruppen untersuchen:

   

2. Handelt es sich um eine Aktion vom Typ „E-Mail an Azure Resource Manager-Rolle“?

   Diese Aktion untersucht lediglich Azure Resource Manager-Rollenzuweisungen, die sich im Abonnementbereich befinden und den Typ Benutzer oder Gruppe aufweisen. Vergewissern Sie sich, dass Sie die Rolle auf Abonnementebene und nicht auf Ressourcen- oder Ressourcengruppenebene zugewiesen haben.

3. Akzeptieren Ihr E-Mail-Server und Postfach externe E-Mails?

   Stellen Sie sicher, dass E-Mails von den folgenden drei Adressen nicht blockiert werden:

   • azure-noreply@microsoft.com
   • azureemail-noreply@microsoft.com
   • alerts-noreply@mail.windowsazure.com

   Es ist üblich, dass interne Adressen- oder Verteilerlisten E-Mails von externen E-Mail-Adressen blockieren. Stellen Sie sicher, dass Sie E-Mails von den oben genannten E-Mail-Adressen zulassen. Zum Testen können Sie eine herkömmliche geschäftliche E-Mail-Adresse (keine Mailingliste) zur Aktionsgruppe hinzufügen und überprüfen, ob Warnungen bei ihr eintreffen.

4. Wurde die E-Mail von meinen Posteingangsregeln oder einem Spamfilter verarbeitet?

   Stellen Sie sicher, dass keine Eingangsregeln vorliegen, die diese E-Mails löschen oder in einen separaten Ordner verschieben. Beispielsweise könnten Eingangsregeln spezifische Absender oder Wörter im Betreff abfangen. Überprüfen Sie außerdem:

   • die Spameinstellungen Ihres E-Mail-Clients (z. B. Outlook, Gmail).
   • die Absenderbeschränkungen/Spameinstellungen/Quarantäneeinstellungen Ihres E-Mail-Servers (z. B. Exchange, Microsoft 365, G-Suite).
   • die Einstellungen Ihres E-Mail-Sicherheitsgeräts, sofern eines vorliegt (z. B. Barracuda oder Cisco).

5. Haben Sie sich versehentlich von der Aktionsgruppe abgemeldet?

   Hinweis

   Denken Sie daran, wenn Sie sich von einer Aktionsgruppe abmelden, werden auch alle Mitglieder aus einer Verteilerliste abbestellt. Sie können ihre Verteilerlisten-E-Mail-Adresse weiterhin verwenden. Sie müssen die Benutzerinnen und Benutzer jedoch über Ihre Verteilerliste informieren, dass sie, wenn sie das Abonnement kündigen, die gesamte Verteilerliste und nicht nur sich selbst abmelden. Sie können dieses Problem umgehen, indem Sie die E-Mail-Adressen aller Benutzerinnen und Benutzer in der Aktionsgruppe einzeln hinzufügen. Eine Aktionsgruppe kann bis zu 1000 E-Mail-Adressen enthalten. Wenn eine bestimmte Benutzerin oder ein bestimmter Benutzer das Abonnement kündigen möchte, kann sie oder er dies ohne Auswirkungen auf die anderen tun. Sie können auch sehen, welche Benutzerinnen und Benutzer das Abonnement abbestellt haben.

   Die Warnungs-E-Mails enthalten einen Link zum Kündigen des Abonnements der Aktionsgruppe. Um zu überprüfen, ob Sie versehentlich Ihr Abonnement der Aktionsgruppe gekündigt haben, können Sie eine der beiden folgenden Schritte durchführen:

   1. Öffnen Sie die Aktionsgruppe im Portal, und überprüfen Sie die Statusspalte:

   

   2. Suchen Sie in Ihrem E-Mail-Postfach nach einer Bestätigung der Abonnementkündigung:

   

   Um die Aktionsgruppe wieder zu abonnieren, können Sie entweder den in der Bestätigungs-E-Mail für die Abonnementkündigung enthaltenen Link verwenden oder die E-Mail-Adresse aus der Aktionsgruppe entfernen und erneut hinzufügen.

6. Haben Sie die Dienstgrenzwerte überschritten, indem Sie viele E-Mails an eine einzelne E-Mail-Adresse senden?

   Es besteht die Beschränkung, dass pro Stunde nicht mehr als 100 E-Mails bei einer E-Mail-Adresse eingehen dürfen. Wenn Sie diesen Schwellenwert überschreiten, werden keine E-Mail-Benachrichtigungen mehr gesendet. Überprüfen Sie, ob Sie eine Nachricht mit dem Hinweis erhalten haben, dass eine vorübergehende Ratenbegrenzung für Ihre E-Mail-Adresse festgelegt worden ist:

   

   Wenn Sie eine große Menge an Benachrichtigungen ohne Ratenbegrenzung erhalten möchten, sollten Sie eine andere Aktion in Betracht ziehen, z. B.:

   • Webhook
   • Logik-App
   • Azure-Funktion
   • Automation-Runbooks

   Für keine dieser Aktionen gilt eine Ratenbegrenzung.

Ich habe nicht die erwartete SMS, den erwarteten Sprachanruf oder die erwartete Push-Benachrichtigung erhalten

Wenn Sie im Portal eine ausgelöste Warnung sehen, aber die von Ihnen konfigurierte SMS, den Sprachanruf oder die Push-Benachrichtigung nicht erhalten haben, gehen Sie folgendermaßen vor:

1. Wurde die Aktion durch eine Warnungsverarbeitungsregel unterdrückt?

   Überprüfen Sie dies, indem Sie im Portal auf die ausgelöste Warnung klicken und die Registerkarte „Verlauf“ auf unterdrückte Aktionsgruppen untersuchen:

   

   Wenn dies nicht beabsichtigt war, ändern, deaktivieren oder löschen Sie die Warnungsverarbeitungsregel.

2. SMS/Sprachanruf: Ist die angegebene Telefonnummer richtig?

   Überprüfen Sie die SMS-Aktion auf Tippfehler im Ländercode und der Telefonnummer.

3. SMS/Sprachanruf: Haben Sie die Dienstgrenzwerte überschritten?

   Für SMS und Sprachanrufe gilt eine Beschränkung von nicht mehr als einer Benachrichtigung alle fünf Minuten pro Telefonnummer. Wenn dieser Schwellenwert überschritten wird, werden die Benachrichtigungen gelöscht.

   • Sprachanruf: Überprüfen Sie Ihren Anrufverlauf auf vorangegangene Anrufe von Azure in den letzten fünf Minuten.
   • SMS: Überprüfen Sie Ihren SMS-Verlauf auf eine Nachricht mit dem Hinweis, dass für Ihre Telefonnummer eine Ratenbegrenzung gilt.

   Wenn Sie eine hohe Anzahl von Benachrichtigungen ohne Ratenbegrenzung erhalten möchten, sollten Sie eine andere Aktion in Betracht ziehen, z. B.:

   • Webhook
   • Logik-App
   • Azure-Funktion
   • Automation-Runbooks

   Für keine dieser Aktionen gilt eine Ratenbegrenzung.

4. SMS: Haben Sie sich versehentlich von der Aktionsgruppe abgemeldet?

   Öffnen Sie Ihren SMS-Verlauf, und überprüfen Sie, ob Sie sich von der SMS-Benachrichtigungen dieser spezifischen Aktionsgruppe (mit der Antwort DISABLE action_group_short_name) oder allen Aktionsgruppen (mit der Antwort STOP) abgemeldet haben.

   Senden Sie entweder den entsprechenden SMS-Befehl (ENABLE action_group_short_name oder START) oder entfernen Sie die SMS-Aktion aus der Aktionsgruppe, und fügen Sie sie dann wieder hinzu, um sie wieder zu abonnieren. Weitere Informationen finden Sie unter SMS-Warnungsverhalten in Aktionsgruppen.

5. Haben Sie die Benachrichtigungen versehentlich auf Ihrem Mobiltelefon blockiert?

   Die meisten Mobiltelefone bieten die Möglichkeit, Anrufe oder SMS von spezifischen Telefonnummern oder kurzen Codes oder die Pushbenachrichtigungen von bestimmten Apps (z. B. der mobilen Azure-App) zu blockieren. Überprüfen Sie Dokumentation für das Betriebssystem und Modell Ihres Mobilgeräts, um zu erfahren, wie Sie überprüfen können, ob Sie die Benachrichtigungen auf Ihrem Gerät versehentlich blockiert haben. Alternativ können Sie dies auch mit einem anderen Mobilgerät und einer anderen Telefonnummer testen.

Die erwartete Aktion wurde nicht ausgelöst

Wenn eine ausgelöste Warnung im Portal angezeigt wird, deren konfigurierte Aktion jedoch nicht ausgelöst wurde, führen Sie die folgenden Schritte aus:

1. Wurde die Aktion durch eine Warnungsverarbeitungsregel unterdrückt?

   Überprüfen Sie dies, indem Sie im Portal auf die ausgelöste Warnung klicken und die Registerkarte „Verlauf“ auf unterdrückte Aktionsgruppen untersuchen:

   

   Wenn dies nicht beabsichtigt war, ändern, deaktivieren oder löschen Sie die Warnungsverarbeitungsregel.

2. Wurde der Webhook ausgelöst?

   1. Ist die Quell-IP-Adresse blockiert?

      Fügen Sie die IP-Adressen, von denen der Webhook aufgerufen wird, zur Whitelist hinzu.

   2. Funktioniert Ihr Webhookendpunkt ordnungsgemäß?

      Überprüfen Sie, ob der von Ihnen konfigurierte Webhook-Endpunkt korrekt ist und ob der Endpunkt ordnungsgemäß funktioniert. Überprüfen Sie Ihre Webhookprotokolle, oder instrumentieren Sie den Code so, dass Sie Untersuchungen anstellen können (protokollieren Sie beispielsweise die eingehende Nutzlast).

   3. Verwenden Sie das richtige Format für das Anrufen von Slack oder Microsoft Teams?
      Jeder dieser Endpunkte erwartet ein spezifischen JSON-Format. Befolgen Sie diese Anweisungen, um stattdessen eine Logik-App-Aktion zu konfigurieren.

   4. Reagiert Ihr Webhook nicht, oder hat er Fehler zurückgegeben?

      Webhook-Aktionsgruppen folgen im Allgemeinen diesen Regeln, wenn sie aufgerufen werden:

      • Wenn ein Webhook aufgerufen wird und der erste Aufruf fehlschlägt, wird dieser mindestens 1 weiteres Mal und bis zu 5 Mal (5, 20, 40 Wiederholungsversuche) in verschiedenen Verzögerungsintervallen (5, 20, 40 Sekunden) wiederholt.
        • Die Verzögerung zwischen dem 1. und 2. Versuch beträgt 5 Sekunden.
        • Die Verzögerung zwischen dem 2. und 3. Versuch beträgt 20 Sekunden.
        • Die Verzögerung zwischen dem 3. und 4. Versuch beträgt 5 Sekunden.
        • Die Verzögerung zwischen dem 4. und 5. Versuch beträgt 40 Sekunden.
        • Die Verzögerung zwischen dem 5. und 6. Versuch beträgt 5 Sekunden.
      • Nachdem die Wiederholungsversuche zum Aufrufen des Webhooks fehlgeschlagen sind, wird der Endpunkt während der nächsten 15 Minuten von keiner Aktionsgruppe mehr aufgerufen.
      • Die Wiederholungslogik geht davon aus, dass der Aufruf wiederholt werden kann. Die Statuscodes: 408, 429, 503, 504 oder HttpRequestException, WebExceptionoder TaskCancellationException erlauben, dass der Aufruf erneut versucht werden kann.

Die Aktion oder Benachrichtigung ist mehrmals aufgetreten

Wenn Sie eine Benachrichtigung für eine Warnung (z. B. E-Mail oder SMS) mehrmals erhalten haben, oder die Aktion der Warnung (z. B. ein Webhook oder eine Azure-Funktion) mehrmals ausgelöst wurde, führen Sie die folgenden Schritte aus:

1. Handelt es sich wirklich um dieselbe Warnung?

   In einigen Fällen werden mehrere ähnliche Warnungen etwa zur gleichen Zeit ausgelöst. Es kann also so aussehen, als hätte dieselbe Warnung ihre Aktionen mehrmals ausgelöst. Eine Warnungsregel des Aktivitätsprotokolls könnte beispielsweise so konfiguriert sein, dass sie ausgelöst wird, wenn ein Ereignis beginnt und abgeschlossen wird (erfolgreich oder fehlerhaft), indem nicht nach dem Ereignisstatusfeld gefiltert wird.

   Überprüfen Sie die Warnungsdetails, z. B. den Zeitstempel und die Warnungs-ID oder die Korrelations-ID, um zu überprüfen, ob diese Aktionen oder Benachrichtigungen von unterschiedlichen Warnungen stammen. Überprüfen Sie alternativ die Liste der ausgelösten Warnungen im Portal. Wenn dies der Fall ist, müssen Sie die Logik der Warnungsregel anpassen oder die Warnungsquelle anderweitig konfigurieren.

2. Wird die Aktion in mehreren Aktionsgruppen wiederholt?

   Wenn eine Warnung ausgelöst wird, werden alle ihrer Aktionsgruppen unabhängig verarbeitet. Wenn also eine Aktion (z. B. eine E-Mail-Adresse) in mehreren ausgelösten Aktionsgruppen angezeigt wird, würde sie für jede Aktionsgruppe einmal aufgerufen werden.

   Um zu überprüfen, welche Aktionsgruppen ausgelöst wurden, müssen Sie sich die Registerkarte „Warnungsverlauf“ ansehen. Dort werden Ihnen sowohl Aktionsgruppen angezeigt, die in der Warnungsregel definiert sind, als auch Aktionsgruppen, die der Warnung durch Warnungsverarbeitungsregeln hinzugefügt wurden:

   

Die Aktion oder Benachrichtigung weist einen unerwarteten Inhalt auf

1. Gab es einen Ausfall, der die Verwendung des Fallback-E-Mail-Anbieters ausgelöst hat?

   Aktionsgruppen verwenden zwei verschiedene E-Mail-Anbieter, um die Zustellung von E-Mail-Benachrichtigungen sicherzustellen. Der primäre E-Mail-Anbieter ist sehr resilient und schnell, erleidet jedoch gelegentlich Ausfälle. Wenn Ausfälle vorhanden sind, verarbeitet der sekundäre E-Mail-Anbieter E-Mail-Anforderungen. Der sekundäre Anbieter ist nur eine Fallbacklösung. Aufgrund von Anbieterunterschieden kann eine E-Mail, die von unserem sekundären Anbieter gesendet wird, ein schlechteres E-Mail-Erlebnis bieten. Die Beeinträchtigung führt zu leicht unterschiedlichen E-Mail-Formatierungen und -Inhalten. Da sich E-Mail-Vorlagen in den beiden Systemen unterscheiden, ist es nicht möglich, die Parität zwischen den beiden Systemen aufrechtzuerhalten.

   Benachrichtigungen, die von der Fallbacklösung generiert werden, enthalten einen Hinweis, der besagt:

   „Die E-Mail-Funktionalität ist beeinträchtigt. Dies führt dazu, dass die Formatierung möglicherweise deaktiviert ist oder Details fehlen. Weitere Informationen zur beeinträchtigten E-Mail-Erfahrung finden Sie hier.“

   Wenn Ihre Benachrichtigung diesen Hinweis nicht enthält und Sie die Warnung erhalten haben, aber der Meinung sind, dass einige ihrer Felder fehlen oder falsch sind, überprüfen Sie das Payload-Format.

2. Welches Format haben Sie beim Konfigurieren der Warnungsregel verwendet?

   Alle Aktionstypen (E-Mail, Webhook usw.) verfügen über zwei Formate: das Standardformat, das Legacy-Format und das allgemeine Schemaformat. Wenn Sie eine Aktionsgruppe erstellen, geben Sie das Format der Aktion an. Verschiedene Aktionen in den Aktionsgruppen können unterschiedliche Formate aufweisen.

   Zum Beispiel für die Webhook-Aktionen:

   

   Überprüfen Sie, ob das auf der Aktionsebene angegebene Format Ihren Erwartungen entspricht. Beispielsweise haben Sie womöglich Code entwickelt, der auf Warnungen reagiert (Webhooks, Funktionen, Logik-Apps usw.) und ein Format erwartet, aber später haben Sie oder eine andere Person in der Aktion ein anderes Format angegeben.

   Überprüfen Sie außerdem das Format der Nutzlast (JSON) für Aktivitätsprotokollwarnungen, Protokollsuchwarnungen (sowohl für Application Insights als auch für die Protokollanalyse), Metrikwarnungen, das allgemeine Warnungsschema und die veralteten klassischen Metrikwarnungen.

Die Suchergebnisse sind nicht in den Protokollsuchwarnungsbenachrichtigungen enthalten.

Ab der API-Version 2021-08-01 für Protokollsuchwarnungen wurden Suchergebnisse aus der Payload der Warnungsbenachrichtigung entfernt. Suchergebnisse sind nur für Warnungsregeln verfügbar, die mit älteren API-Versionen erstellt wurden (2018-04-16). Die Erstellung neuer Warnungsregeln über das Azure-Portal erstellt standardmäßig die Regel mit der neueren Version. Informationen zu den Änderungen und empfohlenen Anpassungen für die Verwendung der aktualisierten Version finden Sie unter Änderungen an der Umgebung zur Erstellung von Warnungsregeln.

Das MetricValue Feld enthält „null“ für Benachrichtigungen über aufgelöste Protokollsuchbenachrichtigungen.

Es handelt sich hierbei um ein beabsichtigtes Verhalten. Zustandsbehaftete Protokollsuchwarnungen verwenden eine zeitbasierte Lösungslogik statt einer wertbasierten. Azure Monitor sendet einen Null-Metrikwert, da es keinen Wert gibt, der zur Auflösung der Warnung geführt hat, sondern die verstrichene Zeit.

Die Dimensionsliste ist leer oder der Warnungstitel enthält keinen Dimensionsnamen

Wenn Sie über eine Warnungsregel für die Protokollsuche verfügen, die keine Ergebnisse zurückgibt, kann die Warnung wie erwartet ausgelöst werden, die Dimensionsliste ist jedoch leer, oder der Warnungstitel enthält keinen Dimensionsnamen. Wenn eine Abfrage keine Zeilen zurückgibt, ist das Ressourcen-ID-Feld (das die Grundlage für das Ausfüllen von Dimensions- und Titelfeldern bildet) leer.

Informationen fehlen in einer Aktivitätsprotokollwarnung

Aktivitätsprotokollwarnungen sind Warnungen, die auf Ereignissen basieren, die in das Azure-Aktivitätsprotokoll geschrieben werden, z. B. Ereignisse zum Erstellen, Aktualisieren oder Löschen von Azure-Ressourcen, Ereignisse zur Dienst- und Ressourcenintegrität oder Ergebnisse von Azure Advisor und Azure Policy. Wenn Sie eine Warnung basierend auf dem Aktivitätsprotokoll erhalten haben, aber einige der erforderlichen Felder fehlen oder sind fehlerhaft, überprüfen Sie zunächst die Ereignisse direkt im Aktivitätsprotokoll. Wenn die Azure-Ressource die gesuchten Felder nicht in das Aktivitätsprotokollereignis geschrieben hat, sind diese Felder nicht in der entsprechenden Warnung enthalten.

Die benutzerdefinierten Eigenschaften fehlen bei E-Mail-, SMS- oder Pushbenachrichtigungen.

Benutzerdefinierte Eigenschaften werden nur an die Payload für Aktionen übergeben, z. B. Webhook, Azure-Funktion oder Logik-Apps. Benutzerdefinierte Eigenschaften sind für Benachrichtigungen (E-Mail/SMS/Push) nicht enthalten.

Die Warnungsverarbeitungsregel funktioniert nicht erwartungsgemäß

Wenn Sie eine ausgelöste Warnung im Portal sehen, aber eine zugehörige Warnungsverarbeitungsregel nicht wie erwartet funktioniert hat, gehen Sie wie folgt vor:

1. Ist die Warnungsverarbeitungsregel aktiviert?

   Überprüfen Sie das Statusfeld der Warnungsverarbeitungsregel, um sicherzustellen, dass die dazugehörige Aktionsrolle aktiviert ist. Standardmäßig werden in der Regelliste des Portals nur aktivierte Regeln angezeigt. Sie können den Filter jedoch so ändern, dass alle Regeln angezeigt werden.

   

   Wenn sie nicht aktiviert ist, können Sie die Warnungsverarbeitungsregel aktivieren, indem Sie sie auswählen und auf „Aktivieren“ klicken.

2. Handelt es sich um eine Dienstintegritätswarnung?

   Dienstintegritätswarnungen sind von Warnungsverarbeitungsregeln nicht betroffen. Wenn Sie also eine Warnungsverarbeitungsregel für einen Bereich konfiguriert haben, der Dienstintegritätswarnungen enthält, während sich die Warnungsintegritätswarnungen im Bereich befinden, wirkt sich die Warnungsverarbeitungsregel nicht auf sie aus.

3. Verarbeitet die Warnungsverarbeitungsregel Ihre Warnung?

   Wählen Sie die ausgelöste Warnung im Portal aus, und sehen Sie sich die Registerkarte Verlauf an, um festzustellen, ob die Warnungsverarbeitungsregel verarbeitet wurde.

   Hier ist ein Beispiel für Warnungsverarbeitungsregel, die alle Aktionsgruppen unterdrückt:

   

   Hier ist ein Beispiel für eine Warnungsverarbeitungsregel, die eine weitere Aktionsgruppe hinzufügt:

   

4. Stimmen der Umfang und der Filter der Warnungsverarbeitungsregel mit der ausgelösten Warnung überein?

   Wenn Sie der Meinung sind, die Warnungsverarbeitungsregel hätte ausgelöst werden sollen, aber sie wurde nicht ausgelöst, oder die Warnungsverarbeitungsregel hätte nicht ausgelöst werden sollen, aber sie wurde ausgelöst, dann untersuchen Sie die Umfangs- und Filterbedingungen der Warnungsverarbeitungsregel im Zusammenhang mit den Eigenschaften der ausgelösten Warnung gründlich.

Problem beim Erstellen, Aktualisieren oder Löschen von Warnungsverarbeitungsregeln im Azure-Portal

Wenn Sie einen Fehler beim Erstellen, Aktualisieren oder Löschen einer Warnungsverarbeitungsregel erhalten, führen Sie die folgenden Schritte aus:

1. Überprüfen Sie die Berechtigungen.

   Sie sollten entweder über die integrierte Rolle Mitwirkender an der Überwachung oder die spezifischen Berechtigungen im Bezug zu Warnungsverarbeitungsregeln und Warnungen verfügen.

2. Überprüfen Sie die Regelparameter für die Warnungsverarbeitung.

   Sehen Sie sich die Dokumentation zur Warnungsverarbeitungsregel oder den PowerShell-Befehl „Set-AzAlertProcessingRule“ zur Warnungsverarbeitungsregel an.

Nächste Schritte

• Problembehandlung von Azure Monitor-Metrikwarnungen
• Problembehandlung bei Azure-Monitor-Protokollsuchwarnungen