Schnellstart: Erstellen von Warnungen mit Azure Resource Graph und Log Analytics

Artikel
06/18/2024

In diesem Schnellstart erfahren Sie, wie Sie Azure Log Analytics verwenden können, um Warnungen für Azure Resource Graph-Abfragen zu erstellen. Sie können Warnungen mit Azure Resource Graph-Abfragen, Log Analytics-Arbeitsbereichen und verwalteten Identitäten erstellen. Die Bedingungen der Warnung senden Benachrichtigungen in einem bestimmten Intervall.

Sie können Abfragen verwenden, um Warnungen für Ihre bereitgestellten Azure-Ressourcen einzurichten. Sie können Abfragen mithilfe von Azure Resource Graph-Tabellen erstellen oder Azure Resource Graph-Tabellen und Log Analytics-Daten aus Azure Monitor-Protokollen kombinieren.

Erstellen Sie in den Beispielen dieses Artikels Ressourcen in derselben Ressourcengruppe, und verwenden Sie dieselbe Region, z. B. USA, Westen 3. In den Beispielen in diesem Artikel werden Abfragen ausgeführt und Warnungen für Azure-Ressourcen in einem einzigen Azure-Mandanten erstellt. Azure Data Explorer-Cluster liegen außerhalb des Umfangs dieses Artikels.

Dieser Artikel enthält zwei Beispiele für Warnungen:

Azure Resource Graph: Verwendet die Azure Resource Graph-Tabelle Resources, um eine Abfrage zu erstellen, die Daten für Ihre bereitgestellten Azure-Ressourcen abruft und eine Warnung erstellt.
Azure Resource Graph und Log Analytics: Verwenden die Azure Resource Graph-Tabelle Resources und Log Analytics-Daten aus der Azure Monitor Logs-Tabelle Heartbeat. In diesem Beispiel wird eine VM verwendet, um zu zeigen, wie die Abfrage und Warnung eingerichtet werden.

Hinweis

Die Integration von Azure Resource Graph-Warnungen in Log Analytics befindet sich in der öffentlichen Vorschauphase.

Voraussetzungen

Sollten Sie kein Azure-Konto haben, erstellen Sie zunächst ein kostenloses Konto.
In Azure bereitgestellte Ressourcen wie VMs oder Speicherkonten
Um das Beispiel für die Azure Resource Graph- und Log Analytics-Abfrage zu verwenden, benötigen Sie mindestens eine Azure-VM mit dem Azure Monitor-Agent.

Erstellen des Arbeitsbereichs

Erstellen Sie einen Log Analytics-Arbeitsbereich in dem Abonnement, das überwacht wird.

Melden Sie sich beim Azure-Portal an.
Geben Sie in das Suchfeld Log Analytics-Arbeitsbereiche ein, und wählen Sie Log Analytics-Arbeitsbereiche aus.

Wenn Sie Log Analytics-Arbeitsbereiche verwendet haben, können Sie diese unter Azure-Dienste auswählen.
Wählen Sie Erstellen aus:
- Abonnement: Wählen Sie Ihr Azure-Abonnement aus.
- Ressourcengruppe: demo-arg-alert-rg
- Name: demo-arg-alert-workspace
- Region: USA, Westen 3
  - Sie können eine andere Region auswählen, sollten jedoch für andere Ressourcen dieselbe Region verwenden.
Wählen Sie Überprüfen und erstellen aus, und warten Sie, bis Überprüfung erfolgreich angezeigt wird.
Wählen Sie Erstellen aus, um mit der Bereitstellung zu beginnen.
Wählen Sie Zu Ressource wechseln aus, wenn die Bereitstellung abgeschlossen ist.

Sie müssen keine VM für das Beispiel erstellen, das die Azure Resource Graph-Tabelle verwendet.

Hinweis

Dieser Abschnitt ist optional, wenn Sie über vorhandene VMs verfügen oder wissen, wie Sie eine VM erstellen. In diesem Beispiel wird eine VM verwendet, um zu zeigen, wie eine Abfrage mithilfe einer Azure Resource Graph-Tabelle und Log Analytics-Daten erstellt wird.

Um Protokollinformationen abzurufen, wird der Azure Monitor-Agent auf der VM installiert, wenn Sie Ihre VM mit dem Log Analytics-Arbeitsbereich verbinden. Wenn Sie keine VM besitzen, können Sie eine für dieses Beispiel erstellen. Um unnötige Kosten zu vermeiden, löschen Sie die VM, wenn Sie mit dem Beispiel fertig sind.

Die folgenden Anweisungen sind grundlegende Einstellungen für eine Linux-VM. Ausführliche Schritte zum Erstellen einer VM sind nicht in diesem Artikel enthalten. Ihre Organisation benötigt möglicherweise andere Sicherheits- oder Netzwerkeinstellungen für virtuelle Computer.

Erstellen Sie in Azure eine Ubuntu Linux-VM.
Klicken Sie auf Erstellen.
In Erstellen eines virtuellen Computers können Sie die Standardeinstellungen mit den folgenden Ausnahmen übernehmen:

Grundlagen
- Ressourcengruppe: demo-arg-alert-rg
- Name der virtuellen Maschine: Geben Sie einen Namen für die VM wie demovm01 ein.
- Verfügbarkeitsoptionen: Keine Infrastrukturredundanz erforderlich
- Größe: Standard_B1s
- Administratorkonto: Sie müssen Anmeldeinformationen erstellen, aber für dieses Beispiel müssen Sie sich nicht anmelden:
  - Authentifizierungstyp: Öffentlicher SSH-Schlüssel
  - Benutzername: Erstellen Sie einen Benutzernamen.
  - SSH-Quelle für öffentliche Schlüssel: Neues Schlüsselpaar generieren
  - Schlüsselpaarname: Übernehmen Sie den Standardnamen.
- Öffentliche Eingangsports: Keine
Datenträger
- Vergewissern Sie sich, dass Mit VM löschen ausgewählt ist.
Netzwerk
- Öffentliche IP-Adresse: Keine
- Wählen Sie NIC beim Löschen des virtuellen Computers löschen aus.
Verwaltung
- Wählen Sie Automatisches Herunterfahren aktivieren aus.
- Wählen Sie einen Zeitpunkt für das Herunterfahren in Ihrer Zeitzone aus.
- Fügen Sie Ihre E-Mail-Adresse hinzu, wenn Sie eine Benachrichtigung zum Herunterfahren wünschen.
Überwachung, Erweitert und Tags
- Für dieses Beispiel sind keine Änderungen erforderlich.
Wählen Sie Überprüfen + erstellen und danach Erstellen aus.

Sie werden aufgefordert, ein neues Schlüsselpaar zu generieren. Wählen Sie Privaten Schlüssel herunterladen und Ressource erstellen aus. Wenn Sie mit der VM fertig sind, löschen Sie die Datei mit dem privaten Schlüssel von Ihrem Computer.
Wählen Sie Zu Ressource wechseln aus, nachdem die VM bereitgestellt wurde.

Hinweis

Dieser Abschnitt ist optional, wenn Sie wissen, wie Sie eine VM mit einem Log Analytics-Arbeitsbereich und Azure Monitor-Agent verbinden.

Richten Sie eine Datensammlungsregel für die Überwachung der VM ein.

Geben Sie im Azure-Suchfeld Datensammlungsregeln ein, und wählen Sie Datensammlungsregeln aus.
Wählen Sie Erstellen aus:
- Regelname: Geben Sie einen Namen wie demo-data-collection-rule ein.
- Abonnement: Wählen Sie Ihr Abonnement aus.
- Ressourcengruppe: Wählen Sie demo-arg-alert-rg aus.
- Region: USA, Westen 3
- Plattformtyp: Wählen Sie Alle aus.
Wählen Sie Weiter: Ressourcen aus.
- Wählen Sie Ressourcen hinzufügen aus.
- Abonnement: Wählen Sie Ihr Abonnement aus.
- Bereich: Wählen Sie Ihre Ressourcengruppe und den Namen der VM aus.
- Wählen Sie Übernehmen.
Wählen Sie Weiter: Sammeln und übermitteln aus.
- Wählen Sie die Option Datenquelle hinzufügen.
- Datenquellentyp: Wählen Sie die Option Leistungsindikatoren aus.
- Wählen Sie Weiter: Ziel und anschließend Ziel hinzufügen aus:
- Zieltyp: Azure Monitor-Protokolle.
- Abonnement: Wählen Sie Ihr Abonnement aus.
- Konto oder Namespace: Wählen Sie Ihren Log Analytics-Arbeitsbereich demo-arg-alert-workspace aus.
- Wählen Sie die Option Datenquelle hinzufügen.
- Wählen Sie Überprüfen + erstellen und danach Erstellen aus.
- Wählen Sie nach Abschluss der Bereitstellung die Option Zu Ressourcengruppe wechseln aus.

Überprüfen Sie, ob die Überwachung für die VM konfiguriert ist:

Wechseln Sie zu Ihrer Datensammlungsregel, und überprüfen Sie die Konfiguration:
- Datenquellen: Zeigt die Leistungsindikatoren der Datenquelle und die Azure Monitor-Zielprotokolle an.
- Ressourcen: Zeigt die VM, die Ressourcengruppe und das Abonnement an
Wechseln Sie zu Ihrem Log Analytics-Arbeitsbereich demo-arg-alert-workspace. Wählen Sie Einstellungen>Agents>Linux-Server und Ihren Linux-Computer aus, der mit dem Azure Monitor-Linux-Agent verbunden ist. Es kann einige Minuten dauern, bis der Agent angezeigt wird.
Wechseln Sie zu Ihrer VM, und wählen Sie Einstellungen>Erweiterungen und Anwendungen aus, und vergewissern Sie sich unter AzureMonitorLinuxAgent, dass die Bereitstellung erfolgreich war.

Erstellen einer Abfrage

Azure Resource Graph
Azure Resource Graph und Log Analytics

Erstellen Sie über den Log Analytics-Arbeitsbereich eine Azure Resource Graph-Abfrage, um die Anzahl Ihrer Azure-Ressourcen abzurufen. In diesem Beispiel wird die Azure Resource Graph-Tabelle Resources verwendet.

Wählen Sie Protokolle auf der linken Seite der Seite Log Analytics-Arbeitsbereich aus. Schließen Sie das Fenster Abfragen, wenn es angezeigt wird.
Verwenden Sie den folgenden Code in Neue Abfrage.
```
arg("").Resources
| count
```
Bei Tabellennamen in Log Analytics sollte der erste Buchstabe jedes Worts muss großgeschrieben werden, z. B. Resources oder ResourceContainers. Sie können aber auch Kleinbuchstaben wie bei resources oder resourcecontainers verwenden.
Ausführen auswählen.

Unter Ergebnisse wird die Anzahl der Ressourcen in Ihrem Azure-Abonnement angezeigt. Notieren Sie sich diese Zahl, da Sie sie für die Bedingung der Warnungsregel benötigen. Wenn Sie die Abfrage manuell ausführen, basiert die Anzahl auf der Benutzeridentität, und eine ausgelöste Warnung verwendet eine verwaltete Identität. Es ist möglich, dass die Anzahl zwischen einer manuellen Ausführung oder einer ausgelösten Warnung variiert.
Entfernen Sie die Anzahl aus Ihrer Abfrage.
```
arg("").Resources
```

Erstellen Sie im Log Analytics-Arbeitsbereich eine Azure Resource Graph-Abfrage, um die letzten Taktinformationen von Ihrer VM abzurufen. In diesem Beispiel werden die Azure Resource Graph-Tabelle Resources und die Log Analytics-Daten aus der Azure Monitor Logs-Tabelle Heartbeat verwendet.

Wechseln Sie zu Ihrem Log Analytics-Arbeitsbereich demo-arg-alert-workspace.
Wählen Sie Protokolle auf der linken Seite der Seite Log Analytics-Arbeitsbereich aus. Schließen Sie das Fenster Abfragen, wenn es angezeigt wird.
Verwenden Sie den folgenden Code in Neue Abfrage.
```
arg("").Resources
| where type == 'microsoft.compute/virtualmachines'
| project ResourceId = id, name, PowerState = tostring(properties.extended.instanceView.powerState.code)
| join (Heartbeat
  | where TimeGenerated > ago(15m)
  | summarize lastHeartBeat = max(TimeGenerated) by ResourceId)
  on ResourceId
| project lastHeartBeat, PowerState, name, ResourceId
```
Bei Tabellennamen in Log Analytics sollte der erste Buchstabe jedes Worts muss großgeschrieben werden, z. B. Resources oder ResourceContainers. Sie können aber auch Kleinbuchstaben wie bei resources oder resourcecontainers verwenden.

Sie können andere Zeitbereiche für TimeGenerated verwenden. Sie können statt Minuten (15m) beispielsweise Stunden (12h, 24h oder 48h) verwenden.
Ausführen auswählen.

Die Abfrage sollte den letzten Takt, den Energiezustand, den Namen und die Ressourcen-ID der VM zurückgeben. Wenn keine Ergebnisse angezeigt werden, fahren Sie mit den nächsten Schritten fort. Bei neuen Konfigurationen kann es 30 Minuten dauern, bis Überwachungsdaten für die Abfrage und Warnungen verfügbar sind.

Erstellen einer Warnungsregel

Azure Resource Graph
Azure Resource Graph und Log Analytics

Wählen Sie im Log Analytics-Arbeitsbereich Neue Warnungsregel aus. Die Abfrage aus Ihrem Log Analytics-Arbeitsbereich wird in die Warnungsregel kopiert. Warnungsregel erstellen enthält mehrere Registerkarten, die aktualisiert werden müssen, um die Warnung zu erstellen.

Screenshot: Seite „Log Analytics-Arbeitsbereich“, auf der die neue Warnungsregel hervorgehoben ist

Bereich

Vergewissern Sie sich, dass der Bereich standardmäßig auf Ihren Log Analytics-Arbeitsbereich demo-arg-alert-workspace festgelegt ist.

Führen Sie die folgenden Schritte nur dann aus, wenn Ihr Bereich nicht auf die Standardeinstellung festgelegt ist:

Wechseln Sie zur Registerkarte Bereich, und wählen Sie Bereich auswählen aus.
Löschen Sie am unteren Rand des Bildschirms Ausgewählte Ressourcen den aktuellen Bereich.
Wählen Sie die Option Bereich auswählen aus.
Erweitern Sie demo-arg-alert-rg in der Liste der Ressourcen, und wählen Sie demo-arg-alert-workspace aus.
Wählen Sie Übernehmen.
Wählen Sie Weiter: Bedingung aus.

Bedingung

Das Formular enthält mehrere auszufüllende Felder:

Signalname: benutzerdefinierte Protokollsuche
Suchabfrage: Zeigt den Abfragecode an.
- Wenn Sie den Bereich geändert haben, müssen Sie die Abfrage aus dem Abschnitt Abfrage erstellen hinzufügen.

Verbrauchsberechnung

Measure: Tabellenzeilen
Aggregationstyp: Count (Anzahl)
Aggregationsgranularität: 5 Minuten

Warnungslogik

Operator: Größer als
Schwellenwert: Verwenden Sie eine Zahl, die kleiner als die von der Ressourcenanzahl zurückgegebene Zahl ist.
- Wenn die Ressourcenanzahl beispielsweise 50 war, verwenden Sie 45. Dieser Wert löst die entsprechende Warnung aus, wenn Ihre Ressourcen ausgewertet wird, da die Anzahl der Ressourcen den Schwellenwert übersteigt.
Häufigkeit der Auswertung: 5 Minuten

Wählen Sie Weiter: Aktionen aus.

Aktionen

Wählen Sie Aktionsgruppe erstellen aus:

Abonnement: Wählen Sie Ihr Azure-Abonnement.
Ressourcengruppe: demo-arg-alert-rg
Region: Global ermöglicht dem Aktionsgruppendienst, den Standort auszuwählen.
Name der Aktionsgruppe: demo-arg-alert-action-group
Anzeigename: demo-action (maximal 12 Zeichen)

Wählen Sie Weiter: Benachrichtigungen aus:

Benachrichtigungstyp: Wählen Sie E-Mail/SMS/Push/Sprachanruf aus.
Name: email-alert
Aktivieren Sie das Kontrollkästchen E-Mail, und geben Sie Ihre E-Mail-Adresse ein.
Klicken Sie auf OK.

Wählen Sie Überprüfen und erstellen aus, überprüfen Sie, ob die Zusammenfassung korrekt ist, und wählen Sie dann Erstellen aus. Sie kehren zur Registerkarte Aktionen der Seite Warnungsregel erstellen zurück. Der Aktionsgruppenname zeigt die von Ihnen erstellte Aktionsgruppe an. Sie erhalten eine E-Mail-Benachrichtigung, um zu bestätigen, dass Sie der Aktionsgruppe hinzugefügt wurden.

Wählen Sie Weiter: Details aus.

Details

Verwenden Sie die folgenden Informationen auf der Registerkarte Details:

Abonnement: Wählen Sie Ihr Azure-Abonnement.
Ressourcengruppe: demo-arg-alert-rg
Schweregrad: Übernehmen Sie den Standardwert 3 – Informativ.
Name der Warnungsregel: demo-arg-alert-rule
Beschreibung der Warnungsregel: E-Mail-Warnung für die Anzahl der Azure-Ressourcen
Region: USA, Westen 3
Identität: Wählen Sie Systemseitig zugewiesene verwaltete Identität aus.

Wählen Sie Überprüfen und erstellen aus, überprüfen Sie, ob die Zusammenfassung korrekt ist, und wählen Sie dann Erstellen aus. Sie kehren zur Seite Protokolle Ihres Log Analytics-Arbeitsbereichs zurück.

Zuweisen einer Rolle

Weisen Sie der systemseitig zugewiesenen verwalteten Identität die Rolle Log Analytics-Leser zu, damit sie berechtigt ist, Warnungen auszulösen, die E-Mail-Benachrichtigungen senden.

Wählen Sie Überwachen>Warnungen im Log Analytics-Arbeitsbereich aus. Wählen Sie OK aus, wenn Sie darauf hingewiesen werden, dass Ihre nicht gespeicherten Bearbeitungen verworfen werden.
Wählen Sie Warnungsregeln aus.
Wählen Sie demo-arg-alert-rule aus.
Wählen Sie Einstellungen>Identität>Systemseitig zugewiesen aus:
- Status: Ein
- Objekt-ID: Zeigt die GUID für Ihre Unternehmensanwendung (Dienstprinzipal) in Microsoft Entra ID an
- Berechtigung: Wählen Sie Azure-Rollenzuweisungen aus:
  - Überprüfen Sie, ob Ihr Abonnement ausgewählt ist.
  - Wählen Sie Rollenzuweisung hinzufügen aus.
  - Bereich: Abonnement
  - Abonnement: Wählen Sie Ihr Azure-Abonnement aus.
  - Rolle: Log Analytics-Leser
Wählen Sie Speichern aus.

Es dauert ein paar Minuten, bis die Rolle Log Analytics-Leser auf der Seite Azure-Rollenzuweisungen angezeigt wird. Wählen Sie zum Aktualisieren der Seite die Option Aktualisieren aus.

Verwenden Sie die Schaltfläche „Zurück“ Ihres Browsers, um zu Identität zurückzukehren, und wählen Sie dann Übersicht aus, um zur Warnungsregel zurückzukehren. Wählen Sie den Link zu Ihrer Ressourcengruppe demo-arg-alert-rg aus.

Es gehört zwar nicht zum Umfang dieses Artikels, doch fügen Sie bei einem Azure Data Explorer-Cluster der systemseitig zugewiesenen verwalteten Identität die Rolle Reader hinzu. Weitere Informationen finden Sie am Ende dieses Artikels unter dem Link Rollenzuweisungen für Azure Data Explorer-Cluster.

Überprüfen von Warnungen

Azure Resource Graph
Azure Resource Graph und Log Analytics

Nachdem die Rolle Ihrer Warnungsregel zugewiesen wurde, empfangen Sie E-Mails für Warnmeldungen. Die Regel wurde dafür konfiguriert, Benachrichtigungen alle fünf Minuten zu senden. Es dauert ein paar Minuten, bis Sie die erste Warnung erhalten.

Darüber hinaus können Sie die Warnungen im Azure-Portal anzeigen:

Wechseln Sie zur Ressourcengruppe demo-arg-alert-rg.
Wählen Sie demo-arg-alert-workspace in der Ressourcenliste aus.
Wählen Sie Überwachung>Warnungen aus.
Eine Liste der Warnungen wird angezeigt.

Bereinigen von Ressourcen

Wenn Sie die Warnungskonfiguration beibehalten möchten, die Warnung jedoch nicht mehr ausgelöst werden und E-Mail-Benachrichtigungen senden soll, können Sie sie deaktivieren. Wechseln Sie zu Ihrer Warnungsregel demo-arg-alert-rule oder demo-arg-la-alert-rule, und wählen Sie Deaktivieren aus.

Wenn Sie die Warnung oder die Ressourcen nicht mehr benötigen, die Sie in diesem Beispiel erstellt haben, löschen Sie die Ressourcengruppe mit den folgenden Schritten:

Wechseln Sie zur Ressourcengruppe demo-arg-alert-rg.
Wählen Sie die Option Ressourcengruppe löschen.
Geben Sie den Namen der Ressourcengruppe zur Bestätigung ein.
Klicken Sie auf Löschen.

Wenn Sie eine VM erstellt haben, löschen Sie den privaten Schlüssel, den Sie während der Bereitstellung auf Ihren Computer heruntergeladen haben. Der Dateiname hat die Erweiterung .pem.

Weitere Informationen zur Abfragesprache oder zu Ressourcen finden Sie in den folgenden Artikeln.

Teilen über

Schnellstart: Erstellen von Warnungen mit Azure Resource Graph und Log Analytics

Voraussetzungen

Erstellen des Arbeitsbereichs

Erstellen eines virtuellen Computers

Erstellen einer Abfrage