Azure 应用程序网关监视数据参考

本文包含此服务的所有监视参考信息。

有关可为应用程序网关收集的数据以及如何使用这些数据的详细信息，请参阅监视 Azure 应用程序网关。

指标

本部分列出了为此服务自动收集的所有平台指标。 这些指标也是 Azure Monitor 中支持的所有平台指标的全局列表的一部分。

有关指标保留的信息，请参阅 Azure Monitor 指标概述。

Microsoft.Network/applicationGateways 支持的指标

下表列出了可用于 Microsoft.Network/applicationGateways 资源类型的所有指标。 此表后面包含了许多指标的更多说明详细信息。

• 并非所有列都显示在每个表中。
• 某些列可能超出了页面的查看区域。 选择“展开表”以查看所有可用列。

表标题

• 类别 - 指标组或分类。
• 指标 - 在 Azure 门户中显示的指标显示名称。
• REST API 中的名称 - 在 REST API 中引用的指标名称。
• 单位 - 度量单位。
• 聚合 - 默认的聚合类型。 有效值：平均值（平均）、最小值（最小值）、最大值（最大值）、总计（总和）、计数。
• 维度 - 适用于指标的维度。
• 时间粒度 - 对指标采样的间隔。 例如，PT1M 表示该指标每分钟采样一次，PT30M 表示每 30 分钟一次，PT1H 表示每小时一次，以此类推。
• DS 导出 - 是否可通过诊断设置将指标导出到 Azure Monitor 日志。 要了解如何导出指标的信息，请参阅在 Azure Monitor 中创建诊断设置。

有关可用的 Web 应用程序防火墙 (WAF) 指标，请参阅应用程序网关 WAF v2 指标和应用程序网关 WAF v1 指标。

应用程序网关 v2 SKU 的计时指标

应用程序网关 v2 SKU 提供了许多与请求和响应相关的内置计时指标，这些指标均以毫秒为单位。 下面是前面指标表中已列出的计时指标的详细说明。

• 后端连接时间。 此值包括网络延迟，以及后端服务器 TCP 堆栈建立新连接所用的时间。 对于 TLS，还包括握手所用时间。
• 后端第一个字节响应时间。 此值近似于以下各项的总和：后端连接时间，请求从应用程序网关到达后端所用的时间，后端应用程序响应所用的时间（即服务器生成内容和可能提取数据库查询所用的时间），以及响应的第一个字节从后端到达应用程序网关所用的时间。
• 后端最后一个字节响应时间。 此值近似于后端第一个字节响应时间和数据传输时间的总和。 此数字会因请求的对象大小和服务器网络的延迟而有很大差异。
• 应用程序网关总时间。 此间隔是从应用程序网关接收到 HTTP 请求的第一个字节到最后一个响应字节已发送给客户端之间的时间。
• 客户端 RTT。 客户端与应用程序网关之间的平均往返时间。

应用程序网关 v2 SKU 的指标

对于应用程序网关 v2 SKU，以下指标可用。 下面是前面指标表中已列出的指标的详细说明。

• 接收的字节数。 此指标仅考虑应用程序网关观察到的请求内容大小。 它不包括数据传输，例如 TLS 标头协商、TCP/IP 数据包标头或重新传输。
• 发送的字节数。 此指标仅考虑应用程序网关提供服务的响应内容大小。 这不包括数据传输，例如 TCP/IP 数据包标头或重新传输。
• 客户端 TLS 协议。 TLS 和非 TLS 请求计数。
• 当前容量单位数。 容量单位有三个决定因素：计算单位、持久连接和吞吐量。 每个容量单位最多包括 1 个计算单位、2500 个持久连接，或 2.22-Mbps 吞吐量。
• 当前计算单位数。 影响计算单位的因素包括每秒 TLS 连接数、URL 重写计算和 WAF 规则处理。
• 当前连接数。 从客户端到应用程序网关的并发连接总数，包括应用程序网关实例运行状况的探测。
• 预估计费容量单位数。 使用 v2 SKU 时，消耗会驱动定价模型。 容量单位测量在固定价格的基础上按消耗量计收的费用。 *“估计计费容量单位数”指示用于估计计费的容量单位数。 此数量按当前容量单位数（流量负载均衡所需的容量单位数）和固定计费容量单位数（保持预配的最小容量单位数）之间的较大值来计算。
• 失败的请求数。 此值包括从应用程序网关生成的 5xx 代码，以及从后端生成的 5xx 代码。 可以进一步筛选请求计数，以显示每个/特定后端池 http 设置组合的计数。
• 固定计费容量单位数。 根据应用程序网关配置中的最小缩放单元数设置保持预配的最小容量单元数。 一个实例将转换为 10 个容量单位。
• 每秒新连接数。 每秒从客户端到应用程序网关以及从应用程序网关到后端成员建立的新 TCP 连接的平均数目。
• 响应状态。 可以进一步对响应状态代码分布进行归类来显示 2xx、3xx、4xx 和 5xx 类别的响应。
• 吞吐量。 此指标仅考虑应用程序网关提供服务的内容大小。 它不包括数据传输，例如 TLS 标头协商、TCP/IP 数据包标头或重新传输。
• 请求总数。 应用程序网关提供服务的成功请求数。 可以筛选请求计数，以显示每个/特定后端池 http 设置组合的计数。

应用程序网关 v2 SKU 的后端指标

对于应用程序网关 v2 SKU，以下后端指标可用。 下面是前面指标表中已列出的后端指标的详细说明。

• 后端响应状态。 后端返回的 HTTP 响应状态代码计数，不包括应用程序网关生成的任何响应代码。 可以对响应状态代码分布进行归类来显示 2xx、3xx、4xx 和 5xx 类别的响应。|
• 正常的主机计数。 运行状况探测确定正常的主机数。 可以按每个后端池进行筛选来显示特定后端池中的正常主机数。
• 运行不正常的主机计数。 运行状况探测确定运行不正常的主机数。 可以按每个后端池进行筛选来显示特定后端池中的运行不正常的主机数。
• 每个正常主机每分钟的请求数。 后端池中的每个正常成员在一分钟内收到的平均请求数。 请使用 BackendPool HttpSettings 维度指定后端池。

应用程序网关 v1 SKU 的指标

对于应用程序网关 v1 SKU，以下指标可用。 下面是前面指标表中已列出的指标的详细说明。

• CPU 使用率。 显示分配给应用程序网关的 CPU 的使用率。 在正常情况下，CPU 使用率不应经常超过 90%，因为这种情况可能会导致托管在应用程序网关后面的网站出现延迟，并且可能会中断客户端体验。 可以通过修改应用程序网关的配置（具体方法是：增加实例计数和/或移到更大的 SKU 大小）来间接控制或改进 CPU 使用率。

• 当前连接数。 使用应用程序网关建立的当前连接计数。

• 失败的请求数。 因连接问题而失败的请求数。 此计数包括由于超过“请求超时”HTTP 设置而失败的请求，以及由于应用程序网关和后端之间的连接问题而失败的请求。 此计数不包括由于没有可用的正常后端而导致的失败。 来自后端的 4xx 和 5xx 响应也不被视为此指标的一部分。

• 响应状态。 应用程序网关返回的 HTTP 响应状态。 可以进一步对响应状态代码分布进行归类来显示 2xx、3xx、4xx 和 5xx 类别的响应。

• 吞吐量。 应用程序网关每秒提供服务的字节数。

• 请求总数。 应用程序网关已提供服务的成功请求计数。 可以进一步筛选请求计数，以显示每个/特定后端池 http 设置组合的计数。

应用程序网关 v1 SKU 的后端指标

对于应用程序网关 v1 SKU，以下后端指标可用。 下面是前面指标表中已列出的后端指标的详细说明。

• 正常的主机计数。 由运行状况探测判定为正常的后端数。 可以按每个后端池进行筛选来显示特定后端池中的正常主机数。

• 运行不正常的主机计数。 由运行状况探测判定为不正常的后端数。 可以按每个后端池进行筛选来显示特定后端池中的运行不正常的主机数。

后端运行状况 API

请参阅应用程序网关 - 后端运行状况，详细了解用于检索应用程序网关的后端运行状况的 API 调用。

示例请求：

POST
https://management.azure.com/subscriptions/subid/resourceGroups/rg/providers/Microsoft.Network/
applicationGateways/appgw/backendhealth?api-version=2021-08-01

发送此 POST 请求后，应该会看到“HTTP 202 已接受”响应。 在响应头中，找到 Location 标头并使用该 URL 发送新的 GET 请求。

GET
https://management.azure.com/subscriptions/subid/providers/Microsoft.Network/locations/region-name/operationResults/GUID?api-version=2021-08-01

TLS/TCP 代理指标

以下指标可用于监视应用程序网关的 TLS/TCP 代理。 除了第 4 层特定的指标外，第 7 层（HTTP/S）还有几个常见指标。 有关每个指标的详细信息，请访问完整的 指标列表。

同样适用于 L4 代理的指标

• 当前连接数
• 每秒新连接数
• 吞吐量
• 正常的主机计数
• 运行不正常的主机计数
• 客户端 RTT
• 后端连接时间
• 后端第一字节响应时间（BackendHttpSetting 维度适用于第 7 层和第 4 层后端设置）。
• 发送的字节数
• 接收的字节数
• 计算单位
• 容量单位

L4 特定于代理的指标

• 后端会话持续时间 - 后端连接的总时间。 从新连接开始到其终止的平均持续时间。 BackendHttpSetting 维度同时包括第 7 层和第 4 层后端设置。
• 连接生存期 - 与应用程序网关的客户端连接的总时间。 从新连接开始到其终止的平均持续时间（以毫秒为单位）。

TLS/TCP 代理后端运行状况

应用程序网关的第 4 层代理提供通过门户和 REST API 监视后端池各成员的运行状况的功能。

指标维度

有关指标维度定义的信息，请参阅多维指标。

此服务具有以下与其指标关联的维度。

• 操作
• BackendHttpSetting
• BackendPool 后台泳池
• BackendServer
• BackendSettingsPool
• 类别
• 国家代码
• CustomRuleID
• HttpStatusGroup
• 侦听器
• 方法
• 模式
• 政策名称
• PolicyScope
• 规则组
• RuleGroupID
• 规则编号
• RuleSetName
• TlsProtocol

资源日志

本部分列出了可为此服务收集的资源日志类型。 本部分拉取自 Azure Monitor 支持的所有资源日志类别类型列表。

Microsoft.Network/applicationGateways 支持的资源日志类别

• 访问日志。 可以使用访问日志来查看应用程序网关访问模式和分析重要信息。 此类信息包括调用方的 IP、请求的 URL、响应延迟、返回代码以及输入和输出字节数。系统每 60 秒收集一次访问日志。 此日志包含每个应用程序网关实例的一条记录。 instanceId 属性标识应用程序网关实例。

• 防火墙日志。 可以使用防火墙日志来查看通过配置了 Web 应用程序防火墙的应用程序网关的检测或防护模式记录的请求。 防火墙日志每 60 秒收集一次。

• 性能日志。 可以使用性能日志来查看应用程序网关实例的性能。 此日志会捕获每个实例的性能信息，包括服务的总请求数、吞吐量（以字节为单位）、失败请求计数、运行正常和运行不正常的后端实例计数。 每隔 60 秒会收集一次性能日志。

  注意

  性能日志仅适用于 v1 SKU。 对于 v2 SKU，请对性能数据使用指标。

访问日志类别

仅当在每个应用程序网关实例上启用访问日志时，才会生成访问日志，如启用日志记录中所述。 数据存储在启用日志记录时指定的存储帐户中。 如下所示，应用程序网关的每次访问都以 JSON 格式记录。

对于应用程序网关和 WAF v2 SKU：

{
    "timeStamp": "2021-10-14T22:17:11+00:00",
    "resourceId": "/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/{applicationGatewayName}",
    "listenerName": "HTTP-Listener",
    "ruleName": "Storage-Static-Rule",
    "backendPoolName": "StaticStorageAccount",
    "backendSettingName": "StorageStatic-HTTPS-Setting",
    "operationName": "ApplicationGatewayAccess",
    "category": "ApplicationGatewayAccessLog",
    "properties": {
        "instanceId": "appgw_2",
        "clientIP": "185.42.129.24",
        "clientPort": 45057,
        "httpMethod": "GET",
        "originalRequestUriWithArgs": "\/",
        "requestUri": "\/",
        "requestQuery": "",
        "userAgent": "Mozilla\/5.0 (Windows NT 6.1; WOW64) AppleWebKit\/537.36 (KHTML, like Gecko) Chrome\/52.0.2743.116 Safari\/537.36",
        "httpStatus": 200,
        "httpVersion": "HTTP\/1.1",
        "receivedBytes": 184,
        "sentBytes": 466,
        "clientResponseTime": 0,
        "timeTaken": 0.034,
        "WAFEvaluationTime": "0.000",
        "WAFMode": "Detection",
        "transactionId": "592d1649f75a8d480a3c4dc6a975309d",
        "sslEnabled": "on",
        "sslCipher": "ECDHE-RSA-AES256-GCM-SHA384",
        "sslProtocol": "TLSv1.2",
        "sslClientVerify": "NONE",
        "sslClientCertificateFingerprint": "",
        "sslClientCertificateIssuerName": "",
        "serverRouted": "52.239.221.65:443",
        "serverStatus": "200",
        "serverResponseLatency": "0.028",
        "upstreamSourcePort": "21564",
        "originalHost": "20.110.30.194",
        "host": "20.110.30.194",
        "error_info":"ERRORINFO_NO_ERROR",
        "contentType":"application/json"
    }
}

对于应用程序网关 Standard 和 WAF SKU (v1)：

{
    "resourceId": "/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/PEERINGTEST/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/{applicationGatewayName}",
    "operationName": "ApplicationGatewayAccess",
    "time": "2017-04-26T19:27:38Z",
    "category": "ApplicationGatewayAccessLog",
    "properties": {
        "instanceId": "ApplicationGatewayRole_IN_0",
        "clientIP": "203.0.113.97",
        "clientPort": 46886,
        "httpMethod": "GET",
        "requestUri": "/phpmyadmin/scripts/setup.php",
        "requestQuery": "X-AzureApplicationGateway-CACHE-HIT=0&SERVER-ROUTED=10.4.0.4&X-AzureApplicationGateway-LOG-ID=aaaa0000-bb11-2222-33cc-444444dddddd&SERVER-STATUS=404",
        "userAgent": "-",
        "httpStatus": 404,
        "httpVersion": "HTTP/1.0",
        "receivedBytes": 65,
        "sentBytes": 553,
        "timeTaken": 205,
        "sslEnabled": "off",
        "host": "www.contoso.com",
        "originalHost": "www.contoso.com"
    }
}

如果应用程序网关无法完成请求，则其会将以下原因代码之一存储在访问日志的 error_info 字段中。

防火墙日志类别

仅当为每个应用程序网关启用防火墙日志时，才会生成防火墙日志，如启用日志记录中所述。 此日志还需要在应用程序网关上配置 Web 应用程序防火墙。 数据存储在启用日志记录时指定的存储帐户中。 将记录以下数据：

{
    "timeStamp": "2021-10-14T22:17:11+00:00",
    "resourceId": "/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/{applicationGatewayName}",
    "operationName": "ApplicationGatewayFirewall",
    "category": "ApplicationGatewayFirewallLog",
    "properties": {
        "instanceId": "appgw_2",
        "clientIp": "185.42.129.24",
        "clientPort": "",
        "requestUri": "\/",
        "ruleSetType": "OWASP_CRS",
        "ruleSetVersion": "3.0.0",
        "ruleId": "920350",
        "message": "Host header is a numeric IP address",
        "action": "Matched",
        "site": "Global",
        "details": {
            "message": "Warning. Pattern match \\\"^[\\\\d.:]+$\\\" at REQUEST_HEADERS:Host .... ",
            "data": "20.110.30.194:80",
            "file": "rules\/REQUEST-920-PROTOCOL-ENFORCEMENT.conf",
            "line": "791"
        },
        "hostname": "20.110.30.194:80",
        "transactionId": "592d1649f75a8d480a3c4dc6a975309d",
        "policyId": "default",
        "policyScope": "Global",
        "policyScopeName": "Global"
    }
}

性能日志类别

仅当在每个应用程序网关实例上启用性能日志时，才会生成性能日志，如启用日志记录中所述。 数据存储在启用日志记录时指定的存储帐户中。 每隔 1 分钟生成性能日志数据。 这仅适用于 v1 SKU。 对于 v2 SKU，请对性能数据使用指标。 将记录以下数据：

{
    "resourceId": "/SUBSCRIPTIONS/{subscriptionId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/APPLICATIONGATEWAYS/{applicationGatewayName}",
    "operationName": "ApplicationGatewayPerformance",
    "time": "2016-04-09T00:00:00Z",
    "category": "ApplicationGatewayPerformanceLog",
    "properties":
    {
        "instanceId":"ApplicationGatewayRole_IN_1",
        "healthyHostCount":"4",
        "unHealthyHostCount":"0",
        "requestCount":"185",
        "latency":"0",
        "failedRequestCount":"0",
        "throughput":"119427"
    }
}

Azure Monitor 日志和日志分析表

Azure 应用程序网关使用 Azure 诊断表来存储资源日志信息。 以下列与此相关。

Azure Monitor 日志表

本部分列出了与此服务相关的 Azure Monitor 日志表，日志分析可使用 Kusto 查询来查询这些表。 这些表包含资源日志数据，此外还可能包含其他数据，具体取决于所收集并路由到这些表的内容。

应用程序网关 Microsoft.Network/applicationGateways

• AzureActivity
• AzureMetrics
• AGWAccessLogs
• AGWPerformanceLogs
• AGWFirewallLogs
• AzureDiagnostics

TLS/TCP 代理日志

应用程序网关的第 4 层代理通过访问日志提供日志数据。 仅当在网关的诊断设置中配置了这些日志时，才会生成并发布这些日志。 另请参阅：受支持的 Azure Monitor 资源日志类别。

活动日志

链接表列出了可在此服务的活动日志中记录的操作。 这些操作是活动日志中所有可能的资源提供程序操作的子集。

有关活动日志条目架构的详细信息，请参阅活动日志架构。

• applicationGateways 资源提供程序操作

可以使用 Azure 活动日志来查看提交到 Azure 订阅的所有操作及其状态。 默认会收集活动日志条目。 可以在 Azure 门户中查看它们。 Azure 活动日志以前称为操作日志和审核日志。

默认情况下，Azure 会生成活动日志。 日志可在 Azure 事件日志存储中保留 90 天。 了解有关这些日志的详细信息，请参阅查看事件和活动日志一文。

相关内容

• 有关监视应用程序网关的说明，请参阅监视 Azure 应用程序网关。
• 请参阅使用 Azure Monitor 监视 Azure 资源，详细了解如何监视 Azure 资源。