如何合并Azure Log Analytics工作区容器日志条目为完整XML数据

可根据实际场景选择以下两种方案，优先选择采集端配置，一劳永逸。

方案1：采集端配置多行合并规则（推荐，从源头解决问题） #

容器日志默认按行采集，只要给采集代理配置XML格式的多行匹配规则，代理在采集阶段就会自动把属于同一个XML的多行内容合并成单条再上传，后续入库的日志直接就是完整XML节点，不需要查询时额外处理。

• 如果用Container Insights（容器监控方案），直接修改集群里名为container-azm-ms-agentconfig的ConfigMap，开启多行日志采集，配置XML的起止匹配规则
• 如果用新版Azure Monitor Agent（AMA）+ 数据收集规则（DCR），直接在DCR的文本日志配置里添加多行匹配规则即可
• 匹配规则直接写业务里XML的固定特征：比如起始标记固定为<?xml或者业务根节点<Response>，结束标记固定为根节点闭合标签</Response>

配置示例（Container Insights ConfigMap片段）：

[log_collection_settings.multiline_logs]
  enabled = true
  # 替换成实际的XML开头匹配正则
  start_pattern = "^<\\?xml|<Response>"
  # 替换成实际的XML结尾匹配正则
  end_pattern = "</Response>$"
  merge_with_previous = false

配置完成后重启节点上的监控代理Pod，新采集的日志就会自动合并XML片段。

方案2：KQL查询侧合并（适配已入库的历史日志） #

如果已经有大量拆分的XML日志存在工作区里，没法重新采集，可以直接用KQL在查询阶段做拼接合并，逻辑是先给同属一个XML的所有日志行分配同一个分组ID，再按时间顺序拼接内容：

// 替换表名、字段名、匹配规则为环境实际值
ContainerLogV2
| where TimeGenerated > ago(3d) // 按需调整查询时间范围
// 必须按单个容器+日志生成时间正序排序，保证拼接顺序正确
| sort by ContainerId, TimeGenerated asc 
// 标记XML的起始行
| extend IsXmlStart = iif(LogMessage startswith "<?xml" or LogMessage startswith "<Response>", 1, 0)
// 按容器分区，每遇到一个XML起始行，分组ID+1，同个XML的所有行分组ID一致
| extend XmlGroupId = row_cumsum(IsXmlStart) over (partition by ContainerId)
| summarize 
    FullXmlContent = strcat_array(make_list(LogMessage), "\n"), // 按顺序拼接同组所有日志行
    FirstLogTime = min(TimeGenerated),
    LastLogTime = max(TimeGenerated),
    PodName = any(PodName),
    ContainerName = any(ContainerName)
    by XmlGroupId, ContainerId
// 过滤掉普通非XML日志组
| where FullXmlContent startswith "<?xml" or FullXmlContent startswith "<Response>"
// 可选：直接将拼接完成的字符串解析为XML类型，后续可直接提取节点字段
| extend ParsedXml = parse_xml(FullXmlContent)

注意：查询侧拼接对日志顺序要求很高，如果存在日志乱序上报的情况，拼接出来的XML会格式错误无法解析。大时间范围查询建议先拆分成小时间段分批跑，避免查询超时。

日志拆分示例截图

内容的提问来源于stack exchange，提问作者Sisir Patnaik