Får inte korrekt tidsintervall mellan log-uppdateringar i Azure Monitor/Log Analytics när man övervakar tjänster
Försöker sätta upp lite "övervakning" i Azure Monitor genom Log Analytics med KQL på servrar som körs on-prem där man installerat Azure Monitor Agent.
I Log Analytics Workspace är default satt för hur ofta den hämtar ändringar i windows services (30min, men tanken är att ändra detta till ett kortare intervall när/om jag får det att uppdateras korrekt överhuvudtaget)
När jag sedan skapar en log query med kusto för att kolla vissa specifika tjänster och huruvida de är stoppade eller ej och sedan visa de stoppade i en lista, så syns de väldigt sällan då loggarna inte verkar uppdateras korrekt(?)
Jag har t.ex en tjänst som är stoppad, som får "ny" status (dvs samma "stopped" status varje gång) var 10' timme. Och två tjänster som inte har någon status alls, trots att den har status "running" på servern och även om man kollar i Azure Automation Account under "Inventory".
De två tjänsterna som inte får status alls när jag kör en query med KQL syns inte i listan förrän jag väljer ett time range på 24h eller högre. Och då ser ändringarna för en av tjänsterna ut så här:
8:17PM - Stopped
8:29PM - Stopped
9:25PM - Blankt...
Den tjänsten som är stoppad syns inte i listan när jag kör en query förrän jag väljer ett time range som ligger inom de 10h som den verkar få en "ny" (samma) stoppad status. Och där ser det alltså ut så här:
11/1/21 12:18PM - Stopped
11/1/21 10:18PM - Stopped
11/2/21 8:20AM - Stopped
11/2/21 6:22PM - Stopped
11/3/21 4:24AM - Stopped
Så, time range där visar ju alltså bara inom den tid senaste log-uppdateringen skedde, men borde det i fallet med tjänsten som är stoppad vara var 30'min, och inte var 10'e timme? Och tjänsterna utan status, de har ju uppdaterat oregelbundet (ca 12min första gången och sedan ca 1h) och följer alltså inte heller det som är inställt i LAW (30min).
Dels borde den väl inte uppdatera loggen för den stoppade tjänsten alls, eftersom det är inställt på att bara hämta ändringar och den tjänsten är ju fortfarande stoppad, men om den trots det hämtar allt (missat hur man ställer in att bara hämta ändringar någonstans) så borde det väl rimligtvis alltså vara en ny "post" var 30'e minut? Och när det gäller tjänsterna som inte har någon status alls, dessa borde ju fått en "running" status då de körs nu och varit igång i i alla fall ett dygn nu.
Hur ska man kunna få snabbare uppdateringar på tjänster, så att man ser om de går ner mycket tidigare (eftersom den nu inte ens visar inom ett 30min range trots att det är vad som är inställt i LAW)?
Tanken är ju att det ska dyka upp i listan över stoppade tjänster inom ett par minuter. Och gärna försvinna från listan inom kort efter att tjänsten sedan är igång igen. Alternativt ha en lista med vissa specifika tjänster och deras status, som uppdateras inom ett par minuter från att de ändrar status (inte riktigt bestämt mig än vilken av dessa två typer av listor jag vill ha). Och sedan ha dessa på en dashboard som uppdateras t.ex var 5'e minut.
Tacksam för all hjälp/kunskap jag kan få i ämnet!
