azure - Get-AzureRmLog -CorrelationId 未按预期检索记录

Question

我正在使用以下命令检索事件日志

$ActivityLog = Get-AzureRmLog -StartTime $starttime -EndTime $endTime -WarningAction SilentlyContinue -MaxRecord $MaxRecords -Status 'Succeeded' 

$Output = $ActivityLog | Where-Object {$_.Authorization.Action -eq 'Microsoft.Resources/deployments/write'} 

接下来，我将循环检索记录并尝试使用correlationid 获取相关记录 - 下面的简化代码。

foreach ($record in $output)
{
    $record.CorrelationId
    if($record.CorrelationId -eq $null -or $record.CorrelationId -eq ''){'error'}

    Get-AzureRmLog -CorrelationId $($record.CorrelationId) -WarningAction SilentlyContinue
    #EXPECTED this command to show me the original record and any related log entries.
}

就我而言，我循环遍历每个事件日志记录，并且可以使用上面的脚本验证每个记录是否具有有效的相关 ID。

但是，当我尝试使用 Get-AzureRmLog -CorrelationId 获取相关记录时，许多记录得到 0 个结果。我可以理解，某些事件在日志中可能不会有多个相关条目。然而，即使对于这种情况，当我运行 Get-AzureRmLog -CorrelationId 时，我希望它会返回我们最初从中检索相关 ID 的单个事件日志条目。

为什么会有这样的行为？

Answer 1

相关 ID 的缺失事件记录可能根本没有映射到指定日期时间窗口内的任何事件。

Get-AzureRMlog -CorrelationId "Insert Correlation ID here"

如果使用有效的相关 ID 运行，则将枚举从当前执行日期/时间起过去 7 天内与指定相关 ID 关联的最多 1000 个事件。每个相关 ID 通常仅输出一个事件。

作为测试，我建议精心挑选一些您希望看到关联事件的相关 ID，并在每个 ID 上单独运行 Get-AzureRMlog 并验证事件输出。然后针对列表中的相关 ID 运行相同的测试，无需比较任何事件。如果没有列出任何事件，则意味着在该时间范围内没有与 ID 关联的事件日志。

这个article有一些可能对您的调查有用的使用示例。

通过相关 ID 获取事件日志

PS C:\>Get-AzureRmLog -CorrelationId "60c694d0-e46f-4c12-bed1-9b7aef541c23"

此命令最多列出 1000 个与指定关联 ID 关联的事件，这些事件在当前日期/时间后 7 天内发生。注意:这通常只是一个事件。

通过具有最大事件数的关联 ID 获取事件日志

PS C:\>Get-AzureRmLog -CorrelationId "60c694d0-e46f-4c12-bed1-9b7aef541c23" -MaxEvents 100

此命令最多列出 100 个与指定关联 ID 关联的事件，这些事件在当前日期/时间后 7 天内发生。注意:这通常只是一个事件。

通过相关 ID 和开始时间获取事件日志

PS C:\>Get-AzureRmLog -CorrelationId "60c694d0-e46f-4c12-bed1-9b7aef541c23" -StartTime 2017-05-22T04:30:00

如果开始时间不早于当前日期/时间 90 天，则此命令最多列出 1000 个与指定关联 ID 关联的事件，这些事件在本地时间 2017-05-22T04:30:00 或之后发生。注意:这通常只是一个事件。