Aggiungere azioni alle regole di avviso in Log AnalyticsAdd actions to alert rules in Log Analytics

Quando viene creato un avviso in Log Analytics, è possibile scegliere di configurare la regola di avviso per eseguire una o più azioni.When an alert is created in Log Analytics, you have the option of configuring the alert rule to perform one or more actions. Questo articolo descrive le diverse azioni disponibili e offre informazioni sulla configurazione di ogni tipologia di azione.This article describes the different actions that are available and details on configuring each kind.

AzioneAction DescrizioneDescription
Indirizzo di posta elettronicaEmail Inviare un messaggio di posta elettronica con i dettagli dell'avviso a uno o più destinatari.Send an e-mail with the details of the alert to one or more recipients.
WebhookWebhook Richiamare un processo esterno tramite una singola richiesta HTTP POST.Invoke an external process through a single HTTP POST request.
RunbookRunbook Avviare un runbook in Automazione di Azure.Start a runbook in Azure Automation.

Azioni di posta elettronicaEmail actions

Le azioni di posta elettronica inviano un messaggio di posta elettronica con i dettagli dell'avviso a uno o più destinatari.Email actions send an e-mail with the details of the alert to one or more recipients. È possibile specificare l'oggetto del messaggio, ma il contenuto è un formato standard creato da Log Analytics.You can specify the subject of the mail, but it's content is a standard format constructed by Log Analytics. Include informazioni di riepilogo, come il nome dell'avviso, oltre ai dettagli di un massimo di dieci record restituiti dalla ricerca nei log.It includes summary information such as the name of the alert in addition to details of up to ten records returned by the log search. Include anche un collegamento a una ricerca nei log in Log Analytics che restituirà l'intero set di record dalla query.It also includes a link to a log search in Log Analytics that will return the entire set of records from that query. Il mittente del messaggio è Team di Microsoft Operations Management Suite <noreply@oms.microsoft.com>.The sender of the mail is Microsoft Operations Management Suite Team <noreply@oms.microsoft.com>.

Le azioni di posta elettronica includono le proprietà elencate nella tabella seguente.Email actions require the properties in the following table.

ProprietàProperty DescrizioneDescription
OggettoSubject Oggetto nel messaggio di posta elettronica.Subject in the email. È possibile modificare il corpo del messaggio.You cannot modify the body of the mail.
DestinatariRecipients Indirizzi di tutti i destinatari di posta elettronica.Addresses of all e-mail recipients. Se si specifica più di un indirizzo, separare ognuno con un punto e virgola (;).If you specify more than one address, then separate the addresses with a semicolon (;).

Azioni webhookWebhook actions

Le azioni Webhook consentono di richiamare un processo esterno tramite una singola richiesta HTTP POST.Webhook actions allow you to invoke an external process through a single HTTP POST request. Il servizio chiamato deve supportare i webhook e determinare come usare gli eventuali payload che riceve.The service being called should support webhooks and determine how it will use any payload it receives. È anche possibile chiamare un'API REST che non supporta in modo specifico i webhook, purché la richiesta sia in un formato l'API riconosce.You could also call a REST API that doesn't specifically support webhooks as long as the request is in a format that the API understands. Esempi di utilizzo di un webhook in risposta a un avviso sono l'invio di un messaggio in Slack o la creazione di un evento imprevisto in PagerDuty.Examples of using a webhook in response to an alert are sending a message in Slack or creating an incident in PagerDuty. Una procedura dettagliata completa della creazione di una regola di avviso con un webhook per chiamare Slack è disponibile nell'articolo relativo ai webhook negli avvisi di Log Analytics.A complete walkthrough of creating an alert rule with a webhook to call Slack is available at Webhooks in Log Analytics alerts.

Le azioni webhook includono le proprietà elencate nella tabella seguente.Webhook actions require the properties in the following table.

ProprietàProperty DescrizioneDescription
URL webhookWebhook URL URL del webhook.The URL of the webhook.
Payload JSON personalizzatoCustom JSON payload Payload personalizzato da inviare insieme al webhook.Custom payload to send with the webhook. Vedere di seguito per altri dettagli.See below for details.

I webhook includono un URL e un payload in fermato JSON che corrisponde ai dati inviati al servizio esterno.Webhooks include a URL and a payload formatted in JSON that is the data sent to the external service. Per impostazione predefinita, il payload include i valori riportati nella tabella seguente.By default, the payload will include the values in the following table. È possibile scegliere di sostituire questo payload con un payload personalizzato.You can choose to replace this payload with a custom one of your own. In questo caso è possibile usare le variabili nella tabella per ognuno dei parametri per includerne il valore nel payload personalizzato.In that case you can use the variables in the table for each of the parameters to include their value in your custom payload.

Nota

Se l'area di lavoro è stata aggiornata al nuovo linguaggio di query di Log Analytics, il payload del webhook è stato modificato.If your workspace has been upgraded to the new Log Analytics query language, then the webook payload has changed. Vedere API REST di Azure Log Analytics per informazioni dettagliate sul formato.Details of the format are in Azure Log Analytics REST API. Nella sezione Esempi viene illustrato un esempio.You can see an example in Samples below.

ParametroParameter VariabileVariable DescrizioneDescription
AlertRuleNameAlertRuleName #alertrulename#alertrulename Nome della regola di avviso.Name of the alert rule.
AlertThresholdOperatorAlertThresholdOperator #thresholdoperator#thresholdoperator Operatore di soglia per la regola di avviso.Threshold operator for the alert rule. Maggiore di o Minore di.Greater than or Less than.
AlertThresholdValueAlertThresholdValue #thresholdvalue#thresholdvalue Valore di soglia per la regola di avviso.Threshold value for the alert rule.
LinkToSearchResultsLinkToSearchResults #linktosearchresults#linktosearchresults Collegamento alla ricerca nei log di Log Analytics che restituisce i record della query che ha creato l'avviso.Link to Log Analytics log search that returns the records from the query that created the alert.
ResultCountResultCount #searchresultcount#searchresultcount Numero di record nei risultati della ricerca.Number of records in the search results.
SearchIntervalEndtimeUtcSearchIntervalEndtimeUtc #searchintervalendtimeutc#searchintervalendtimeutc Ora di fine per la query in formato UTC.End time for the query in UTC format.
SearchIntervalInSecondsSearchIntervalInSeconds #searchinterval#searchinterval Intervallo di tempo per la regola di avviso.Time window for the alert rule.
SearchIntervalStartTimeUtcSearchIntervalStartTimeUtc #searchintervalstarttimeutc#searchintervalstarttimeutc Ora di inizio per la query in formato UTC.Start time for the query in UTC format.
SearchQuerySearchQuery #searchquery#searchquery Query di ricerca nei log usata dalla regola di avviso.Log search query used by the alert rule.
SearchResultsSearchResults Vedere di seguitoSee below Record restituiti dalla query in formato JSON.Records returned by the query in JSON format. Limitati ai primi 5.000 record.Limited to the first 5,000 records.
WorkspaceIDWorkspaceID #workspaceid#workspaceid ID dell'aea di lavoro di OMS.ID of your OMS workspace.

Ad esempio, è possibile specificare il payload personalizzato seguente che include un singolo parametro denominato text.For example, you might specify the following custom payload that includes a single parameter called text. Il servizio chiamato da questo webhook si aspetta questo parametro.The service that this webhook calls would be expecting this parameter.

{
    "text":"#alertrulename fired with #searchresultcount over threshold of #thresholdvalue."
}

Il payload di esempio viene risolto in una stringa di simile alla seguente quando viene inviato al webhook.This example payload would resolve to something like the following when sent to the webhook.

{
    "text":"My Alert Rule fired with 18 records over threshold of 10 ."
}

Per includere i risultati della ricerca in un payload personalizzato, aggiungere la riga seguente come proprietà di primo livello nel payload JSON.To include search results in a custom payload, add the following line as a top level property in the json payload.

"IncludeSearchResults":true

Ad esempio, per creare un payload personalizzato che include solo il nome dell'avviso e i risultati della ricerca, è possibile usare quanto segue.For example, to create a custom payload that includes just the alert name and the search results, you could use the following.

{
   "alertname":"#alertrulename",
   "IncludeSearchResults":true
}

Per un esempio completo di creazione di una regola di avviso con un webhook per avviare un servizio esterno, vedere l'articolo su come creare un'azione webhook di avviso in Log Analytics di OMS per inviare messaggi a Slack.You can walk through a complete example of creating an alert rule with a webhook to start an external service at Create an alert webhook action in OMS Log Analytics to send message to Slack.

Azioni runbookRunbook actions

Le azioni runbook avviano un runbook in Automazione di Azure.Runbook actions start a runbook in Azure Automation. Per usare questo tipo di azione, è necessario che la soluzione di automazione sia installata e configurata nell'area di lavoro di OMS.In order to use this type of action, you must have the Automation solution installed and configured in your OMS workspace. È possibile selezionare i runbook nell'account di automazione che è stato configurato nella soluzione di automazione.You can select from the runbooks in the automation account that you configured in the Automation solution.

Le azioni runbook includono le proprietà elencate nella tabella seguente.Runbook actions require the properties in the following table.

ProprietàProperty DescrizioneDescription
RunbookRunbook Runbook da avviare quando viene creato un avviso.Runbook that you want to start when an alert is created.
Esegui inRun on Specificare Azure per eseguire il runbook nel cloud.Specify Azure to run the runbook in the cloud. Specificare Ruolo di lavoro ibrido per eseguire il runbook in un agente in cui è installato un ruolo di lavoro ibrido per runbook.Specify Hybrid worker to run the runbook on an agent with Hybrid Runbook Worker installed.

Le azioni runbook avviano il runbook tramite un webhook.Runbook actions start the runbook using a webhook. Quando si crea la regola di avviso, viene creato automaticamente un nuovo webhook per il runbook con il nome OMS Alert Remediation seguito da un GUID.When you create the alert rule, it will automatically create a new webhook for the runbook with the name OMS Alert Remediation followed by a GUID.

Non è possibile popolare direttamente alcun parametro del runbook, ma il parametro $WebhookData includerà i dettagli dell'avviso, inclusi i risultati della ricerca nei log che lo ha creato.You cannot directly populate any parameters of the runbook, but the $WebhookData parameter will include the details of the alert, including the results of the log search that created it. Il runbook dovrà definire $WebhookData come parametro per consentire l'accesso alle proprietà dell'avviso.The runbook will need to define $WebhookData as a parameter for it to access the properties of the alert. I dati dell'avviso sono disponibili in formato json in una singola proprietà denominata SearchResult (per le azioni runbook e le azioni webhook con payload standard) o SearchResults (azioni webhook con payload personalizzato tra cui IncludeSearchResults":true) nella proprietà RequestBody di $WebhookData.The alert data is available in json format in a single property called SearchResult (for runbook actions and webhook actions with standard payload) or SearchResults (webhook actions with custom payload including IncludeSearchResults":true) in the RequestBody property of $WebhookData. Saranno incluse le proprietà riportate nella tabella seguente.This will have with the properties in the following table.

Nota

Se l'area di lavoro è stata aggiornata al nuovo linguaggio di query di Log Analytics, il payload del runbook è stato modificato.If your workspace has been upgraded to the new Log Analytics query language, then the runbook payload has changed. Vedere API REST di Azure Log Analytics per informazioni dettagliate sul formato.Details of the format are in Azure Log Analytics REST API. Nella sezione Esempi viene illustrato un esempio.You can see an example in Samples below.

NodoNode DescriptionDescription
idid Percorso e GUID della ricerca.Path and GUID of the search.
__metadata__metadata Informazioni sull'avviso, inclusi il numero di record e lo stato dei risultati della ricerca.Information about the alert including the number of records and status of the search results.
valuevalue Voce separata per ogni record nei risultati della ricerca.Separate entry for each record in the search results. I dettagli della voce corrisponderanno alle proprietà e ai valori del record.The details of the entry will match the properties and values of the record.

Ad esempio, i runbook seguenti estraggono i record restituiti dalla ricerca nel log e assegnano proprietà diverse in base al tipo di ogni record.For example, the following runbooks would extract the records returned by the log search and assign different properties based on the type of each record. Si noti che il runbook converte prima di tutto RequestBody da JSON, in modo che possa essere usato come oggetto in PowerShell.Note that the runbook starts by converting RequestBody from json so that it can be worked with as an object in PowerShell.

Nota

Entrambi questi runbook usano SearchResult che è la proprietà che contiene i risultati per le azioni runbook e le azioni webhook con payload standard.Both of these runbooks use SearchResult which is the property that contains results for runbook actions and webhook actions with standard payload. Se il runbook è stato chiamato da una risposta webhook usando un payload personalizzato, è necessario cambiare questa proprietà in SearchResults.If the runbook were called from a webhook response using a custom payload, you would need to change this property to SearchResults.

Il seguente runbook funzionerà con il payload da un'area di lavoro Log Analytics legacy.The following runbook will work with the payload from a legacy Log Analytics workspace.

param ( 
    [object]$WebhookData
)

$RequestBody = ConvertFrom-JSON -InputObject $WebhookData.RequestBody
$Records     = $RequestBody.SearchResult.value

foreach ($Record in $Records)
{
    $Computer = $Record.Computer

    if ($Record.Type -eq 'Event')
    {
        $EventNo    = $Record.EventID
        $EventLevel = $Record.EventLevelName
        $EventData  = $Record.EventData
    }

    if ($Record.Type -eq 'Perf')
    {
        $Object    = $Record.ObjectName
        $Counter   = $Record.CounterName
        $Instance  = $Record.InstanceName
        $Value     = $Record.CounterValue
    }
}

Il seguente runbook funzionerà con il payload da un'area di lavoro Log Analytics aggiornata.The following runbook will work with the payload from an upgraded Log Analytics workspace.

param ( 
    [object]$WebhookData
)

$RequestBody = ConvertFrom-JSON -InputObject $WebhookData.RequestBody

# Get all metadata properties    
$AlertRuleName = $RequestBody.AlertRuleName
$AlertThresholdOperator = $RequestBody.AlertThresholdOperator
$AlertThresholdValue = $RequestBody.AlertThresholdValue
$AlertDescription = $RequestBody.Description
$LinktoSearchResults =$RequestBody.LinkToSearchResults
$ResultCount =$RequestBody.ResultCount
$Severity = $RequestBody.Severity
$SearchQuery = $RequestBody.SearchQuery
$WorkspaceID = $RequestBody.WorkspaceId
$SearchWindowStartTime = $RequestBody.SearchIntervalStartTimeUtc
$SearchWindowEndTime = $RequestBody.SearchIntervalEndtimeUtc
$SearchWindowInterval = $RequestBody.SearchIntervalInSeconds

# Get detailed search results
if($RequestBody.SearchResult -ne $null)
{
    $SearchResultRows    = $RequestBody.SearchResult.tables[0].rows 
    $SearchResultColumns = $RequestBody.SearchResult.tables[0].columns;

    foreach ($SearchResultRow in $SearchResultRows)
    {   
        $Column = 0
        $Record = New-Object –TypeName PSObject 

        foreach ($SearchResultColumn in $SearchResultColumns)
        {
            $Name = $SearchResultColumn.name
            $ColumnValue = $SearchResultRow[$Column]
            $Record | Add-Member –MemberType NoteProperty –Name $name –Value $ColumnValue -Force

            $Column++
        }

        # Include code to work with the record. 
        # For example $Record.Computer to get the computer property from the record.

    }
}

Esempio di payloadSample payload

Questa sezione illustra un payload di esempio per le azioni webhook e runbook in un'area di lavoro di Log Analytics aggiornata e legacy.This section shows sample payload for webhook and runbook actions in both a legacy and an upgraded Log Analytics workspace.

Azioni webhookWebhook actions

Entrambi questi esempi usano SearchResult che è la proprietà che contiene i risultati per le azioni webhook con payload standard.Both of these examples use SearchResult which is the property that contains results for webhook actions with standard payload. Se il webhook usasse un payload personalizzato che include i risultati della ricerca, questa proprietà sarebbe SearchResults.If the webhook used a custom payload that includes search results, this property would be SearchResults.

Area di lavoro legacy.Legacy workspace.

Di seguito è riportato un esempio di payload per un'azione webhook in un'area di lavoro legacy.Following is a sample payload for a webhook action in a legacy workspace.

{
"WorkspaceId": "workspaceID",
"AlertRuleName": "WebhookAlert",
"SearchQuery": "Type=Usage",
"SearchResult": {
    "id": "subscriptions/subscriptionID/resourceGroups/ResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/workspace-workspaceID/search/SearchGUID|10.1.0.7|2017-09-27T10-30-38Z",
    "__metadata": {
    "resultType": "raw",
    "total": 1,
    "top": 2147483647,
    "RequestId": "SearchID|10.1.0.7|2017-09-27T10-30-38Z",
    "CoreSummaries": [
        {
        "Status": "Successful",
        "NumberOfDocuments": 135000000
        }
    ],
    "Status": "Successful",
    "NumberOfDocuments": 135000000,
    "StartTime": "2017-09-27T10:30:38.9453282Z",
    "LastUpdated": "2017-09-27T10:30:44.0907473Z",
    "ETag": "636421050440907473",
    "sort": [
        {
        "name": "TimeGenerated",
        "order": "desc"
        }
    ],
    "requestTime": 361
    },
    "value": [
    {
        "Computer": "-",
        "SourceSystem": "OMS",
        "TimeGenerated": "2017-09-26T13:59:59Z",
        "ResourceUri": "/subscriptions/df1ec963-d784-4d11-a779-1b3eeb9ecb78/resourcegroups/mms-eus/providers/microsoft.operationalinsights/workspaces/workspace-861bd466-5400-44be-9552-5ba40823c3aa",
        "DataType": "Operation",
        "StartTime": "2017-09-26T13:00:00Z",
        "EndTime": "2017-09-26T13:59:59Z",
        "Solution": "LogManagement",
        "BatchesWithinSla": 8,
        "BatchesOutsideSla": 0,
        "BatchesCapped": 0,
        "TotalBatches": 8,
        "AvgLatencyInSeconds": 0.0,
        "Quantity": 0.002502,
        "QuantityUnit": "MBytes",
        "IsBillable": false,
        "MeterId": "a4e29a95-5b4c-408b-80e3-113f9410566e",
        "LinkedMeterId": "00000000-0000-0000-0000-000000000000",
        "id": "954f7083-cd55-3f0a-72cb-3d78cd6444a3",
        "Type": "Usage",
        "MG": "00000000-0000-0000-0000-000000000000",
        "__metadata": {
        "Type": "Usage",
        "TimeGenerated": "2017-09-26T13:59:59Z"
        }
    }
    ]
},
"SearchIntervalStartTimeUtc": "2017-09-26T08:10:40Z",
"SearchIntervalEndtimeUtc": "2017-09-26T09:10:40Z",
"AlertThresholdOperator": "Greater Than",
"AlertThresholdValue": 0,
"ResultCount": 1,
"SearchIntervalInSeconds": 3600,
"LinkToSearchResults": "https://workspaceID.portal.mms.microsoft.com/#Workspace/search/index?_timeInterval.intervalEnd=2017-09-26T09%3a10%3a40.0000000Z&_timeInterval.intervalDuration=3600&q=Type%3DUsage",
"Description": null,
"Severity": "Low"
}

Area di lavoro aggiornata.Upgraded workspace.

Di seguito è riportato un esempio di payload per un'azione webhook in un'area di lavoro aggiornata.Following is a sample payload for a webhook action in an upgraded workspace.

{
"WorkspaceId": "workspaceID",
"AlertRuleName": "WebhookAlert",
"SearchQuery": "Usage",
"SearchResult": {
    "tables": [
    {
        "name": "PrimaryResult",
        "columns": [
        {
            "name": "TenantId",
            "type": "string"
        },
        {
            "name": "Computer",
            "type": "string"
        },
        {
            "name": "TimeGenerated",
            "type": "datetime"
        },
        {
            "name": "SourceSystem",
            "type": "string"
        },
        {
            "name": "StartTime",
            "type": "datetime"
        },
        {
            "name": "EndTime",
            "type": "datetime"
        },
        {
            "name": "ResourceUri",
            "type": "string"
        },
        {
            "name": "LinkedResourceUri",
            "type": "string"
        },
        {
            "name": "DataType",
            "type": "string"
        },
        {
            "name": "Solution",
            "type": "string"
        },
        {
            "name": "BatchesWithinSla",
            "type": "long"
        },
        {
            "name": "BatchesOutsideSla",
            "type": "long"
        },
        {
            "name": "BatchesCapped",
            "type": "long"
        },
        {
            "name": "TotalBatches",
            "type": "long"
        },
        {
            "name": "AvgLatencyInSeconds",
            "type": "real"
        },
        {
            "name": "Quantity",
            "type": "real"
        },
        {
            "name": "QuantityUnit",
            "type": "string"
        },
        {
            "name": "IsBillable",
            "type": "bool"
        },
        {
            "name": "MeterId",
            "type": "string"
        },
        {
            "name": "LinkedMeterId",
            "type": "string"
        },
        {
            "name": "Type",
            "type": "string"
        }
        ],
        "rows": [
        [
            "workspaceID",
            "-",
            "2017-09-26T13:59:59Z",
            "OMS",
            "2017-09-26T13:00:00Z",
            "2017-09-26T13:59:59Z",
            "/subscriptions/SubscriptionID/resourcegroups/ResourceGroupName/providers/microsoft.operationalinsights/workspaces/workspace-workspaceID",
            null,
            "Operation",
            "LogManagement",
            8,
            0,
            0,
            8,
            0,
            0.002502,
            "MBytes",
            false,
            "a4e29a95-5b4c-408b-80e3-113f9410566e",
            "00000000-0000-0000-0000-000000000000",
            "Usage"
        ]
        ]
    }
    ]
},
"SearchIntervalStartTimeUtc": "2017-09-26T08:10:40Z",
"SearchIntervalEndtimeUtc": "2017-09-26T09:10:40Z",
"AlertThresholdOperator": "Greater Than",
"AlertThresholdValue": 0,
"ResultCount": 1,
"SearchIntervalInSeconds": 3600,
"LinkToSearchResults": "https://workspaceID.portal.mms.microsoft.com/#Workspace/search/index?_timeInterval.intervalEnd=2017-09-26T09%3a10%3a40.0000000Z&_timeInterval.intervalDuration=3600&q=Usage",
"Description": null,
"Severity": "Low"
}

RunbookRunbooks

Area di lavoro legacyLegacy workspace

Di seguito è riportato un esempio di payload per un'azione runbook in un'area di lavoro legacy.Following is a sample payload for a runbook action in a legacy workspace.

{
    "SearchResult": {
        "id": "subscriptions/subscriptionID/resourceGroups/ResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/workspace-workspaceID/search/searchGUID|10.1.0.7|TimeStamp",
        "__metadata": {
            "resultType": "raw",
            "total": 1,
            "top": 2147483647,
            "RequestId": "searchGUID|10.1.0.7|2017-09-27T10-51-43Z",
            "CoreSummaries": [{
                "Status": "Successful",
                "NumberOfDocuments": 135000000
            }],
            "Status": "Successful",
            "NumberOfDocuments": 135000000,
            "StartTime": "2017-09-27T10:51:43.3075124Z",
            "LastUpdated": "2017-09-27T10:51:51.1002092Z",
            "ETag": "636421063111002092",
            "sort": [{
                "name": "TimeGenerated",
                "order": "desc"
            }],
            "requestTime": 511
        },
        "value": [{
            "Computer": "-",
            "SourceSystem": "OMS",
            "TimeGenerated": "2017-09-26T13:59:59Z",
            "ResourceUri": "/subscriptions/AnotherSubscriptionID/resourcegroups/SampleResourceGroup/providers/microsoft.operationalinsights/workspaces/workspace-workspaceID",
            "DataType": "Operation",
            "StartTime": "2017-09-26T13:00:00Z",
            "EndTime": "2017-09-26T13:59:59Z",
            "Solution": "LogManagement",
            "BatchesWithinSla": 8,
            "BatchesOutsideSla": 0,
            "BatchesCapped": 0,
            "TotalBatches": 8,
            "AvgLatencyInSeconds": 0.0,
            "Quantity": 0.002502,
            "QuantityUnit": "MBytes",
            "IsBillable": false,
            "MeterId": "a4e29a95-5b4c-408b-80e3-113f9410566e",
            "LinkedMeterId": "00000000-0000-0000-0000-000000000000",
            "id": "954f7083-cd55-3f0a-72cb-3d78cd6444a3",
            "Type": "Usage",
            "MG": "00000000-0000-0000-0000-000000000000",
            "__metadata": {
                "Type": "Usage",
                "TimeGenerated": "2017-09-26T13:59:59Z"
            }
        }]
    }
}

Area di lavoro aggiornataUpgraded workspace

Di seguito è riportato un esempio di payload per un'azione runbook in un'area di lavoro aggiornata.Following is a sample payload for a runbook action in an upgraded workspace.

{
"WorkspaceId": "workspaceID",
"AlertRuleName": "AutomationAlert",
"SearchQuery": "Usage",
"SearchResult": {
    "tables": [
    {
        "name": "PrimaryResult",
        "columns": [
        {
            "name": "TenantId",
            "type": "string"
        },
        {
            "name": "Computer",
            "type": "string"
        },
        {
            "name": "TimeGenerated",
            "type": "datetime"
        },
        {
            "name": "SourceSystem",
            "type": "string"
        },
        {
            "name": "StartTime",
            "type": "datetime"
        },
        {
            "name": "EndTime",
            "type": "datetime"
        },
        {
            "name": "ResourceUri",
            "type": "string"
        },
        {
            "name": "LinkedResourceUri",
            "type": "string"
        },
        {
            "name": "DataType",
            "type": "string"
        },
        {
            "name": "Solution",
            "type": "string"
        },
        {
            "name": "BatchesWithinSla",
            "type": "long"
        },
        {
            "name": "BatchesOutsideSla",
            "type": "long"
        },
        {
            "name": "BatchesCapped",
            "type": "long"
        },
        {
            "name": "TotalBatches",
            "type": "long"
        },
        {
            "name": "AvgLatencyInSeconds",
            "type": "real"
        },
        {
            "name": "Quantity",
            "type": "real"
        },
        {
            "name": "QuantityUnit",
            "type": "string"
        },
        {
            "name": "IsBillable",
            "type": "bool"
        },
        {
            "name": "MeterId",
            "type": "string"
        },
        {
            "name": "LinkedMeterId",
            "type": "string"
        },
        {
            "name": "Type",
            "type": "string"
        }
        ],
        "rows": [
        [
            "861bd466-5400-44be-9552-5ba40823c3aa",
            "-",
            "2017-09-26T13:59:59Z",
            "OMS",
            "2017-09-26T13:00:00Z",
            "2017-09-26T13:59:59Z",
        "/subscriptions/SubscriptionID/resourcegroups/ResourceGroupName/providers/microsoft.operationalinsights/workspaces/workspace-861bd466-5400-44be-9552-5ba40823c3aa",
            null,
            "Operation",
            "LogManagement",
            8,
            0,
            0,
            8,
            0,
            0.002502,
            "MBytes",
            false,
            "a4e29a95-5b4c-408b-80e3-113f9410566e",
            "00000000-0000-0000-0000-000000000000",
            "Usage"
        ]
    }
    ]
},
"SearchIntervalStartTimeUtc": "2017-09-26T08:10:40Z",
"SearchIntervalEndtimeUtc": "2017-09-26T09:10:40Z",
"AlertThresholdOperator": "Greater Than",
"AlertThresholdValue": 0,
"ResultCount": 1,
"SearchIntervalInSeconds": 3600,
"LinkToSearchResults": "https://workspaceID.portal.mms.microsoft.com/#Workspace/search/index?_timeInterval.intervalEnd=2017-09-26T09%3a10%3a40.0000000Z&_timeInterval.intervalDuration=3600&q=Usage",
"Description": null,
"Severity": "Critical"
}

Passaggi successiviNext steps