مشاركة عبر

جمع البيانات باستخدام عامل Azure Monitor

  • مقالة

يستخدم عامل Azure Monitor (AMA) لجمع البيانات من أجهزة Azure الظاهرية ومجموعات مقياس الجهاز الظاهري والخوادم الممكنة بواسطة Arc. تحدد قواعد جمع البيانات (DCR) البيانات المراد جمعها من العامل ومكان إرسال تلك البيانات. توضح هذه المقالة كيفية استخدام مدخل Microsoft Azure لإنشاء DCR لجمع أنواع مختلفة من البيانات وتثبيت العامل على أي أجهزة تتطلب ذلك.

إذا كنت جديدا على Azure Monitor أو لديك متطلبات جمع البيانات الأساسية، فقد تتمكن من تلبية جميع متطلباتك باستخدام مدخل Microsoft Azure والإرشادات الواردة في هذه المقالة. إذا كنت ترغب في الاستفادة من ميزات DCR الإضافية مثل التحويلات، فقد تحتاج إلى إنشاء DCR باستخدام أساليب أخرى أو تحريره بعد إنشائه في المدخل. يمكنك أيضا استخدام أساليب مختلفة لإدارة DCRs وإنشاء اقترانات إذا كنت تريد النشر باستخدام CLI أو PowerShell أو قوالب ARM أو نهج Azure.

إشعار

لإرسال البيانات عبر المستأجرين، يجب أولا تمكين Azure Lighthouse.

تحذير

قد تجمع الحالات التالية بيانات مكررة قد تؤدي إلى رسوم إضافية.

  • إنشاء DCRs متعددة مع نفس مصدر البيانات وربطها بنفس العامل. تأكد من أنك تقوم بتصفية البيانات في DCRs بحيث يجمع كل منها بيانات فريدة.
  • إنشاء DCR يجمع سجلات الأمان وتمكين Sentinel لنفس العوامل. في هذه الحالة، يمكنك جمع نفس الأحداث في جدول الحدث وجدول SecurityEvent.
  • استخدام كل من عامل Azure Monitor وعامل Log Analytics القديم على نفس الجهاز. قصر الأحداث المكررة على الوقت الذي تنتقل فيه من عامل إلى آخر فقط.

مصادر البيانات

يسرد الجدول أدناه أنواع البيانات التي يمكنك تجميعها حاليًّا مع عامل Azure Monitor والمكان الذي يمكنك إرسال هذه البيانات إليه. الارتباط لكل منها هو مقال يصف تفاصيل كيفية تكوين مصدر البيانات هذا. اتبع هذه المقالة لإنشاء DCR وتعيينه إلى الموارد، ثم اتبع المقالة المرتبطة لتكوين مصدر البيانات.

Data source ‏‏الوصف نظام تشغيل العميل الوجهات
أحداث Windows المعلومات المرسلة إلى نظام تسجيل أحداث Windows، بما في ذلك أحداث sysmon. Windows مساحة عمل Log Analytics
عدادات الأداء القيم العددية التي تقيس أداء مختلف جوانب نظام التشغيل وأحمال العمل. Windows
Linux		 مقاييس Azure Monitor (معاينة)
مساحة عمل Log Analytics
Syslog المعلومات المرسلة إلى نظام تسجيل أحداث عبر Linux. Linux مساحة عمل Log Analytics
سجل النص المعلومات المرسلة إلى ملف سجل نصي على قرص محلي. Windows
Linux		 مساحة عمل Log Analytics
سجل JSON المعلومات المرسلة إلى ملف سجل JSON على قرص محلي. Windows
Linux		 مساحة عمل Log Analytics
سجلات IIS سجلات خدمة معلومات الإنترنت (IIS) من إلى القرص المحلي لأجهزة Windows Windows مساحة عمل Log Analytics

إشعار

يدعم عامل Azure Monitor أيضا تقييم أفضل ممارسات خدمة Azure SQL المتوفر حاليا بشكل عام. لمزيد من المعلومات، راجع تكوين تقييم أفضل الممارسات باستخدام Azure Monitor Agent.

المتطلبات الأساسية

نظرة عامة

عند إنشاء DCR في مدخل Microsoft Azure، يتم التنقل عبر سلسلة من الصفحات لتوفير المعلومات اللازمة لجمع البيانات من الأجهزة التي تحددها. يصف الجدول التالي المعلومات التي تحتاج إلى توفيرها في كل صفحة.

قسم ‏‏الوصف
الموارد الأجهزة التي ستستخدم DCR. عند إضافة جهاز إلى DCR، فإنه ينشئ اقتران قاعدة تجميع البيانات (DCRA) بين الجهاز وDCR. يمكنك تحرير DCR لإضافة الأجهزة أو إزالتها بعد إنشائها.
Data source نوع البيانات التي يجب جمعها من الجهاز. يتم سرد قائمة مصادر البيانات المتوفرة أعلاه في مصادر البيانات. يحتوي كل مصدر بيانات على إعدادات التكوين الخاصة به والمتطلبات الأساسية المحتملة، لذا راجع المقالة الفردية لكل منها للحصول على التفاصيل.
الوجهة الوجهة حيث يجب إرسال البيانات التي تم جمعها من مصدر البيانات. إذا كان لديك مصادر بيانات متعددة في DCR، فيمكن إرسالها إلى وجهات منفصلة، وقد يتم إرسال البيانات من مصدر بيانات واحد إلى وجهات متعددة. راجع المقالة لكل مصدر بيانات للحصول على مزيد من التفاصيل حول وجهته مثل الجدول في مساحة عمل Log Analytics.

إنشاء قاعدة جمع البيانات

في قائمة Monitor، حدد Data Collection Rules>Create لفتح صفحة إنشاء DCR.

لقطة شاشة تعرض الزر

تتضمن الصفحة الأساسية معلومات أساسية حول DCR.

لقطة شاشة تعرض علامة التبويب

الإعدادات ‏‏الوصف
اسم القاعدة اسم DCR. يجب أن يكون هذا شيئا وصفيا يساعدك على تحديد القاعدة.
الاشتراك الاشتراك لتخزين DCR. لا يلزم أن يكون هذا نفس الاشتراك مثل الأجهزة الظاهرية.
مجموعة الموارد مجموعة الموارد لتخزين DCR. لا يلزم أن يكون هذا نفس مجموعة الموارد مثل الأجهزة الظاهرية.
المنطقة منطقة لتخزين DCR. يجب أن تكون هذه هي نفس المنطقة مثل أي مساحة عمل Log Analytics أو مساحة عمل Azure Monitor المستخدمة في وجهة DCR. إذا كان لديك مساحات عمل في مناطق مختلفة، فقم بإنشاء DCRs متعددة مقترنة بنفس مجموعة الأجهزة.
النوع الخاص بالنظام الأساسي يحدد نوع مصادر البيانات التي ستكون متاحة ل DCR، إما Windows أو Linux. لا شيء يسمح لكليهما. 1
نقطة نهاية تجميع البيانات تحديد نقطة نهاية جمع البيانات (DCE) المستخدمة لجمع البيانات. هذا مطلوب فقط إذا كنت تستخدم Azure Monitor Private Links. يجب أن يكون DCE هذا في نفس المنطقة مثل DCR. لمزيد من المعلومات، راجع كيفية إعداد نقاط نهاية تجميع البيانات استنادا إلى التوزيع.

1 يعين هذا الخيار السمة kind في DCR. هناك قيم أخرى يمكن تعيينها لهذه السمة، ولكنها غير متوفرة في المدخل.

إضافة موارد

تسمح لك صفحة الموارد بإضافة الموارد التي سيتم إقرانها ب DCR. انقر فوق + Add resources لتحديد الموارد. سيتم تثبيت عامل Azure Monitor تلقائيا على أي موارد ليس لديها بالفعل.

هام

يتيح المدخل الهوية المدارة المعينة من قبل النظام على الموارد المستهدفة، جنبا إلى جنب مع الهويات الحالية المعينة من قبل المستخدم، إذا كان هناك أي منها. بالنسبة للتطبيقات الموجودة، ما لم تحدد الهوية المعينة من قبل المستخدم في الطلب، يتم تعيين الجهاز افتراضيا لاستخدام الهوية المعينة من قبل النظام بدلا من ذلك.

لقطة شاشة تعرض علامة تبويب الموارد لقاعدة تجميع بيانات جديدة.

إذا لم يكن الجهاز الذي تراقبه في نفس منطقة مساحة عمل Log Analytics الوجهة وكنت تجمع أنواع البيانات التي تتطلب DCE، فحدد Enable Data Collection Endpoints وحدد نقطة نهاية في منطقة كل جهاز مراقب. إذا كان الجهاز الخاضع للمراقبة في نفس المنطقة مثل مساحة عمل Log Analytics الوجهة، أو إذا كنت لا تحتاج إلى DCE، فلا تحدد نقطة نهاية تجميع البيانات في علامة التبويب الموارد .

إضافة مصادر البيانات

تسمح لك صفحة Collect and deliver بإضافة مصادر البيانات وتكوينها ل DCR والوجهة لكل منها.

عنصر الشاشة ‏‏الوصف
مصدر البيانات حدد نوع مصدر بيانات وحدد الحقول ذات الصلة استنادا إلى نوع مصدر البيانات الذي تحدده. راجع المقالات المرتبطة في مصادر البيانات أعلاه للحصول على تفاصيل حول تكوين كل نوع من مصادر البيانات.
مقصد إضافة وجهة واحدة أو أكثر لكل مصدر بيانات. يمكنك تحديد وجهات متعددة من نفس الأنواع أو أنواع مختلفة. على سبيل المثال، يمكنك تحديد مساحات عمل Log Analytics متعددة، والتي تعرف أيضا باسم تعدد الاستضافة. راجع تفاصيل كل نوع بيانات للوجهات المختلفة التي يدعمونها.

يمكن أن يحتوي DCR على مصادر بيانات مختلفة متعددة تصل إلى حد 10 مصادر بيانات في DCR واحد. يمكنك دمج مصادر بيانات مختلفة في نفس DCR، ولكنك ستحتاج عادة إلى إنشاء DCRs مختلفة لسيناريوهات جمع البيانات المختلفة. راجع أفضل الممارسات لإنشاء قاعدة جمع البيانات وإدارتها في Azure Monitor للحصول على توصيات حول كيفية تنظيم DCRs.

التحقق من العملية

بمجرد إنشاء DCR وربطه بجهاز، يمكنك التحقق من أن العامل يعمل وأنه يتم تجميع البيانات عن طريق تشغيل الاستعلامات في مساحة عمل Log Analytics.

التحقق من عملية العامل

تحقق من أن العامل يعمل ويتواصل بشكل صحيح عن طريق تشغيل الاستعلام التالي في Log Analytics للتحقق مما إذا كانت هناك أي سجلات في جدول Heartbeat . يجب إرسال سجل إلى هذا الجدول من كل عامل كل دقيقة.

Heartbeat
| where TimeGenerated > ago(24h)
| where Computer has "<computer name>"
| project TimeGenerated, Category, Version
| order by TimeGenerated desc

التحقق من تلقي السجلات

سيستغرق الأمر بضع دقائق حتى يتم تثبيت العامل وبدء تشغيل أي DCRs جديدة أو معدلة. يمكنك بعد ذلك التحقق من تلقي السجلات من كل مصدر من مصادر البيانات الخاصة بك عن طريق التحقق من الجدول الذي يكتب كل منها في مساحة عمل Log Analytics. على سبيل المثال، يتحقق الاستعلام التالي من أحداث Windows في جدول الأحداث .

Event
| where TimeGenerated > ago(48h)
| order by TimeGenerated desc

استكشاف الأخطاء وإصلاحها

انتقل إلى الخطوات التالية إذا كنت لا تجمع البيانات التي تتوقعها.

  • تحقق من تثبيت العامل وتشغيله على الجهاز.
  • راجع قسم استكشاف الأخطاء وإصلاحها في المقالة لمصدر البيانات الذي تواجه مشكلة فيه.
  • راجع مراقبة واستكشاف أخطاء جمع بيانات DCR في Azure Monitor لتمكين مراقبة DCR.
    • عرض المقاييس لتحديد ما إذا كان يتم تجميع البيانات وما إذا كان يتم إسقاط أي صفوف.
    • عرض السجلات لتحديد الأخطاء في جمع البيانات.

الخطوات التالية