Azure容器应用Kusto查询：基于Http 400状态码创建自定义警报

优化后的Kusto查询 #

你的原查询仅能列出最近100条400状态码的审计事件，但用于触发警报的查询需要聚合统计逻辑，才能基于阈值判断是否触发警报。推荐使用以下查询：

CIEventsAudit
| where StatusCode == 400
| summarize ErrorCount = count() by bin(TimeGenerated, 5m)  // 按5分钟时间窗口统计400错误数量
| where ErrorCount > 0  // 可根据业务需求调整阈值，比如改为>5表示5分钟内超5个错误才触发

关键说明 #

• summarize + bin(TimeGenerated, 5m)：将时间按指定窗口分段，统计每个时间段内的错误量，这是警报规则的核心——基于时间窗口的聚合值触发警报。
• 原查询的sort和limit在警报场景中无需保留，因为警报关注的是统计结果而非具体事件列表。
• 阈值可根据实际业务容忍度调整，比如业务允许5分钟内最多3个400错误，就将条件改为ErrorCount > 3。

警报配置步骤 #

1. 登录Azure门户，找到目标容器应用，左侧菜单选择警报 > 创建 > 警报规则。
2. 在信号逻辑环节，选择自定义日志搜索作为信号类型，粘贴上述优化后的Kusto查询。
3. 设置警报逻辑：聚合类型选Count，阈值条件选大于，输入你设定的触发阈值。
4. 配置操作组：选择或创建接收警报通知的渠道（邮件、短信、Webhook等）。
5. 填写规则名称、描述等基础信息后，保存警报规则即可。

内容的提问来源于stack exchange，提问作者RICHARD