我想构建一个逻辑应用程序，当我的环境中的任何逻辑应用程序失败或连接断开时，它会告诉我。（逻辑应用程序的手动触发和自动触发）
我发现最接近实现这一点的KQL是：
SentinelHealth
| where TimeGenerated > ago(7d)
| where SentinelResourceType == "Automation rule"
| mv-expand TriggeredPlaybooks = ExtendedProperties.TriggeredPlaybooks
| extend runId = tostring(TriggeredPlaybooks.RunId)
| join (AzureDiagnostics
| where OperationName == "Microsoft.Logic/workflows/workflowRunCompleted"
| extend IncidentNumber = toint(extract(@"[a-f0-9]{8}\-[a-f0-9]{4}\-[a-f0-9]{4}\-[a-f0-9]{4}\-[a-f0-9]{12}\_(\d+)", 1, correlation_clientTrackingId_s))
| project
IncidentNumber,
resource_runId_s,
playbookName = resource_workflowName_s,
playbookRunStatus = status_s)
on $left.runId == $right.resource_runId_s
| project
RecordId,
TimeGenerated,
AutomationRuleName= SentinelResourceName,
AutomationRuleStatus = Status,
Description,
workflowRunId = runId,
playbookName,
playbookRunStatus,
IncidentNumberKQL source
这是我现在的工作流程：
查询运行并输出到一个html表，该表通过电子邮件发送给我。
问题是，我知道我的环境中有几个逻辑应用程序具有失败的操作或断开连接的操作，这些操作没有被我的逻辑应用程序+ kql捕获。
当逻辑应用程序失败时（包括完全失败和特定操作失败时），您将如何解决检测和通知问题？
2条答案
按热度按时间nwsw7zdq1#
Azure Logic应用程序：如何在逻辑应用程序行为连接中断或失败时获得通知
一种方法是像下面这样检查：
另一种方法是在每个动作之后添加并行动作，如下所示，以获得警报：
如果警报失败，否则如果为真，则下一步操作如下：
为了使上述步骤工作，您需要添加如下代码：
runAfter to failedOutput:所以，像这样，对于每个动作，你需要添加并行动作（我只为action parsejson这样做是为了理解如何做），对于那个动作，你需要将runafter更改为failed，然后你就会得到alert。
另请参阅此SO-Thread1和SO-Thread 2
gkl3eglg2#
下面的KQL可以向你展示逻辑应用程序，sentinel事件的触发器，逻辑应用程序中的操作和该操作的事件。
这将输出逻辑应用程序运行的确切信息-然而，我注意到不是所有的逻辑应用程序出现在这里。