当使用 Azure Monitor Agent 和数据收集规则仅收集事件 ID 为 1001 的 Windows 系统事件日志条目时，应为数据源使用哪种查询类型？

当您需要从 Windows 事件日志中根据特定条件（例如事件 ID）筛选数据时，XPath 是最适合的数据源查询类型。Azure Monitor Agent (AMA) 使用 XPath 来精确指定要收集的事件日志条目。SQL 是一种用于关系数据库的查询语言，不适用于直接查询事件日志。KQL (Kusto Query Language) 是 Azure Data Explorer 和 Azure Monitor 中用于分析已收集数据的查询语言，而不是用于定义数据收集源的筛选器。因此，要仅收集事件 ID 为 1001 的 Windows 系统事件日志条目，必须使用 XPath。