通过Azure CLI创建基于ContainerLogV2的自定义日志搜索告警求助

问题背景 #

无法访问Azure门户，需通过Azure CLI创建基于ContainerLogV2自定义日志搜索的告警，用来检测AKS容器中的异常，已有现成的邮件/短信动作组。最初使用指标告警命令因类型不匹配导致条件设置错误，改用计划查询告警命令后成功创建，但不清楚告警邮件和短信应包含的核心内容。

初始错误命令分析 #

最初误用了az monitor metrics alert create（指标告警命令），但ContainerLogV2属于日志查询场景，应该使用计划查询告警（scheduled query alert）类型，因此命令类型选错导致条件不生效。

初始错误命令：

az monitor metrics alert create \
--condition  "ContainerLogV2 | where LogMessage has "Exception" | where ContainerName !has "sms-management" | where TimeGenerated > ago(1h)" \
--name "Dev AKS Errors Alert" \
--resource-group "my-rg" \
--scopes "/subscriptions/my-sub/resourcegroups/my-rg/" \
--evaluation-frequency "60m" \
--severity 1 \
--region "west europe" \
--action "/subscriptions/my-sub/resourcegroups/my-rg/providers/microsoft.insights/actiongroups/my-ag" 

正确的计划查询告警命令 #

改用az monitor scheduled-query create命令适配日志查询场景，成功创建告警规则：

az monitor scheduled-query create \
--resource-group "my-rg" \
--name "AKS Errors Alert" \
--scopes "/subscriptions/supscription-id/resourcegroups/my-rg/providers/Microsoft.ContainerService/managedClusters/aks-dev" \
--condition "count 'AppExceptions' > 1 resource id _ResourceId at least 1 violations out of 5 aggregated points" \
--condition-query AppExceptions="ContainerLogV2 | where LogMessage has \"Exception\" | where TimeGenerated > ago(1h)" \
--description "Notify team on exceptions in AKS" \
--location "westeurope" \
--evaluation-frequency "5m" \
--severity 1 \
--action-groups "/subscriptions/supscription-id/resourceGroups/my-rg/providers/microsoft.insights/actionGroups/my-ag"

告警邮件与短信的核心内容建议 #

邮件内容（详细版） #

• 告警基础信息：告警规则名称、严重级别（如Severity 1）、触发时间
• 触发逻辑：异常检测的查询规则摘要（比如"AKS容器日志中检测到含'Exception'的条目，数量超过1条"）
• 关联资源：AKS集群名称、资源ID
• 异常详情：
  • 触发告警的具体日志片段（包含LogMessage内容、ContainerName、TimeGenerated）
  • 异常出现的次数统计
• 操作指引：快速排查步骤（如登录AKS查看完整容器日志、检查应用运行状态）
• 直达入口：若后续能访问门户，可添加Azure Monitor告警详情页的跳转链接

短信内容（精简版） #

• 告警标识：[告警规则名] | 严重级别1
• 触发原因：AKS容器检测到异常日志
• 关键信息：集群名：aks-dev | 触发时间：[具体时间]
• 提示：查看邮件获取详细排查信息

内容的提问来源于stack exchange，提问作者Parth Sekar