Log Analytics：Azure搜索查询中如何嵌套使用引号

针对你在构建Azure公共IP分配到NIC的检测查询时遇到的引号转义问题，这里有几个实用的解决方案，同时也会推荐更可靠的查询方式：

方法1：使用单引号包裹目标字符串 #

在Kusto查询语言中，你可以用单引号来定义包含双引号的字符串，这样内部的双引号不需要额外转义，写法更简洁：

AzureActivity 
| where OperationName == "Microsoft.Network/networkInterfaces/write" and ActivityStatus == "Started" 
| where Properties contains '"provisioningState":"Succeeded"'

方法2：双引号内转义双引号 #

如果坚持使用双引号包裹字符串，只需要用反斜杠\转义内部的双引号即可，Log Analytics的Kusto引擎会正确识别：

AzureActivity 
| where OperationName == "Microsoft.Network/networkInterfaces/write" and ActivityStatus == "Started" 
| where Properties contains "\"provisioningState\":\"Succeeded\""

方法3：解析JSON字段（推荐） #

上述两种contains方法可能存在误匹配的风险（比如Properties中其他位置出现相同字符串），更可靠的方式是直接解析Properties字段为JSON对象，然后精准检查provisioningState的值：

AzureActivity 
| where OperationName == "Microsoft.Network/networkInterfaces/write" and ActivityStatus == "Started" 
| extend parsedProperties = parse_json(Properties)
| where parsedProperties.provisioningState == "Succeeded"

基于查询生成告警的步骤 #

1. 保存上述查询到你的Log Analytics工作区
2. 进入警报 -> 创建 -> 警报规则
3. 在信号逻辑中选择刚才保存的查询，设置触发条件（比如返回行数大于0）
4. 配置操作组，设置通知方式（邮件、Teams消息等）
5. 完成告警规则的命名和描述，保存规则即可

内容的提问来源于stack exchange，提问作者Beefcake