Azure AlertRule中bin()被自动替换为bin_at()的问题及解决咨询

核心原因 #

Azure警报规则为了让时间聚合与警报触发周期/时间窗口对齐，会自动修改查询中的bin()语句为bin_at()并强制指定时间对齐点，这会破坏原查询中bin()的自然时间对齐逻辑，进而影响表关联结果。

解决方案 #

1. 用子查询+materialize()固化聚合逻辑 #

将包含bin()的聚合逻辑封装到子查询中，通过materialize()函数固化结果，阻止Azure修改内部的时间聚合逻辑：

// 固化第一个表的bin聚合结果
let aggregatedTable1 = materialize(
    Table1
    | bin(Timestamp, 5m)
    | summarize Metric1 = sum(Value) by Timestamp
);
// 固化第二个表的bin聚合结果
let aggregatedTable2 = materialize(
    Table2
    | bin(Timestamp, 5m)
    | summarize Metric2 = sum(Value) by Timestamp
);
// 关联两个固化后的结果
aggregatedTable1
| join kind=inner aggregatedTable2 on Timestamp

2. 显式指定bin_at()对齐为自然偏移 #

如果需要保留顶层的时间聚合逻辑，可以手动将bin()替换为bin_at()并指定偏移为datetime(0)（与bin()的默认行为完全一致），这样Azure即使调整对齐点，也不会改变原逻辑：

Table1
| bin_at(Timestamp, 5m, datetime(0))
| join kind=inner (Table2 | bin_at(Timestamp, 5m, datetime(0))) on Timestamp

3. 用let语句封装bin逻辑 #

将时间步长和bin逻辑封装到变量中，减少Azure自动修改查询的概率：

let timeBin = 5m;
let binTimestamp = (ts:datetime) => bin(ts, timeBin);
Table1
| extend BinnedTs = binTimestamp(Timestamp)
| join kind=inner (Table2 | extend BinnedTs = binTimestamp(Timestamp)) on BinnedTs

验证方法 #

修改查询后，先在Azure Log Analytics查询编辑器中测试，确认结果与原bin()逻辑一致，再保存为警报规则。之后可在警报规则的「运行历史记录」中查看实际执行的KQL，确认bin()未被替换为bin_at()。

内容的提问来源于stack exchange，提问作者Jens Kloster