Azure Log Analytics运行KQL查询报timeOffsetMin未解析错误如何解决

报错原因 #

• 你遇到的'where' 运算符：无法解析名为 'timeOffsetMin' 的标量表达式报错，本质是执行查询时没有完整选中所有代码行：前面的let变量定义语句和后面的查询语句必须一起选中运行，如果你只运行了AuditLogs开头的查询部分，前面定义的两个变量不会被系统识别，就会触发未定义报错。
• 额外注意：当前你写的时间筛选逻辑存在错误，即便变量正常加载也查不到任何结果：ago(7d)对应7天前的时间点，ago(14d)对应14天前的更早时间点，你写的TimeGenerated > ago(7d) and TimeGenerated < ago(14d)要求日志生成时间同时晚于7天前、早于14天前，不存在符合该条件的时间范围。

修复方案 #

1. 运行查询时选中全部代码再执行，保证变量定义被正常加载
2. 调整时间筛选的比较顺序，匹配你要查询的「14天前到7天前之间的审计日志」需求

修正后的可运行代码：

let timeOffsetMin = 7d;
let timeOffsetMax = timeOffsetMin * 2;

AuditLogs | where TimeGenerated > ago(timeOffsetMax) and TimeGenerated < ago(timeOffsetMin);

内容的提问来源于stack exchange，提问作者user13278024