Beobachtbarkeit in Microsoft-Erkennung

Microsoft Discovery ist in Azure Monitor integriert, um umfassende Observierbarkeit für alle Plattformressourcen bereitzustellen. Sie können Arbeitsbereiche, Supercomputer und Bookshelves durch Abfrage der Anwendungsprotokolle in dedizierten Log-Analytics-Arbeitsbereichen und Überprüfung der Aktivitätsprotokolle für Vorgänge auf der Steuerungsebene überwachen und Probleme behandeln.

Protokolltypen

Microsoft Discovery zeigt drei Kategorien von Protokollen an:

Protokolltyp Quelle Konfiguration Purpose
Anwendungsprotokolle Log Analytics-Arbeitsbereich in der verwalteten Ressourcengruppe Automatisch (kein Setup erforderlich) Verfolgen der Agent-Ausführung, Toolausführung, Indizierungsaufträge und Abfragevorgänge innerhalb der Plattform
Aktivitätsprotokolle Azure Monitor Automatisch (standardmäßig in Azure Monitor verfügbar) Überwachen und Verfolgen von Vorgängen der Steuerungsebene für Discovery-Ressourcen (Erstellen, Aktualisieren, Löschen)
Überwachungsprotokolle Azure Storage-Konto oder Log Analytics-Arbeitsbereich (im Besitz des Kunden) Kundenkonfigurierbar über Diagnoseeinstellungen Plattform zur Archivierung oder Abfrage von Protokollen auf Ressourcenebene für Compliance, Sicherheitsaudits und langfristige Aufbewahrung

Verwaltete Ressourcengruppe und Log Analytics-Arbeitsbereiche

Wenn Sie eine Microsoft Discovery-Ressource wie einen Arbeitsbereich, Supercomputer oder Bücherhelf erstellen, stellt Microsoft Discovery-Dienst eine Managed Resource Group (MRG) zusammen mit der Ressource in Ihrem Abonnement bereit. Die MRG enthält die verwaltete Infrastruktur, die für den Betrieb der Ressource erforderlich ist, einschließlich eines dedizierten Log Analytics Workspace, der automatisch Anwendungsprotokolle sammelt.

Protokolle fließen ohne andere Konfiguration in den MRG-Log Analytics Arbeitsbereich ein. Jeder Ressourcentyp in Discovery (ein Arbeitsbereich, Supercomputer oder Bücherregal) verfügt über einen eigenen MRG und einen eigenen Log-Analytics-Arbeitsbereich, der Protokolldaten isoliert und auf die jeweilige Ressource beschränkt bleibt.

Hinweis

Die MRG wird von Microsoft verwaltet. Sie können Daten aus dem Log Analytics Arbeitsbereich lesen, sie sollten jedoch keine Ressourcen innerhalb der MRG ändern oder löschen.

Anwendungsprotokolltabellen nach Ressource

In den folgenden Tabellen werden die Protokolltabellen beschrieben, die im MRG-Log Analytics-Arbeitsbereich der einzelnen Ressourcen verfügbar sind.

Workspace

Tabelle Beschreibung
DiscoveryLogs_CL Ausführungsablaufverfolgungen für Agentaufrufe, Toolaufrufe, Workflowschritte und Fehlerdiagnose für Untersuchungen, die im Arbeitsbereich ausgeführt werden
DiscoveryCogLoopLogs KI-Orchestrierungsprotokolle von der CogLoop-Engine, einschließlich Act- und Cognition-Subschleifenaktivität, Untersuchungsfortschritt, Entscheidungen und Fehlerdiagnosen

Supercomputer

Tabelle Beschreibung
KubePodInventory_CL Erfasst die Erstellung, Platzierung und den Lebenszyklusstatus von Pods über den gesamten Cluster hinweg.
KubeEvents_CL Erfasst Kubernetes-Ereignisse wie Planungsfehler, Volume Mount-Fehler und Pod-Zustandsübergänge
Syslog_CL Zeichnet Signale auf der Betriebssystemebene bezüglich der Knotenintegrität und zugrunde liegender Infrastrukturprobleme auf.
SystemContainerLogs_CL Protokolle von plattformverwalteten Controllern und Orchestrierungsdiensten
DiscoveryToolLogs_CL Anwendungsprotokolle aus Toolcontainern, einschließlich Ausführungsausgabe und Fehlern
DiscoveryBookshelfLogs_CL Protokolle von Bookshelf-Indizierungsaufträgen, die auf dem Supercomputer ausgeführt werden

Bücherregal

Tabelle Beschreibung
DiscoveryLogs_CL Protokolle aus dem Wissensdatenbank-Abfragecontainer, einschließlich Abfrageausführungsspuren und Fehlerdiagnose
AzureDiagnostics Diagnoseprotokolle des Azure KI-Suche-Diensts, der dem Bookshelf zugeordnet ist, einschließlich Indizierungsvorgängen, Abfragevorgängen und Diagnose auf Dienstebene

Hinweis

Bookshelf-Indizierungsaufträge werden auf dem Supercomputer ausgeführt, sodass Indizierungsprotokolle in der MRG des Supercomputers unter DiscoveryBookshelfLogs_CL angezeigt werden, nicht in der Bookshelf-MRG.

Die Tabelle AzureDiagnostics wird von der in der MRG des Bookshelf bereitgestellten Azure KI-Suche-Ressource ausgefüllt.

Aktivitätsprotokolle

Azure-Aktivitätsprotokolle zeichnen alle Steuerebenenoperationen auf, die an Microsoft Discovery-Ressourcen ausgeführt werden. Hierbei handelt es sich um Schreib- und Löschvorgänge, die von Benutzern oder automatisierten Prozessen über die AZURE RESOURCE MANAGER -API (ARM) initiiert werden, z. B. erstellen eines Arbeitsbereichs, Aktualisieren einer Supercomputerkonfiguration oder Löschen eines Bücherregals.

Aktivitätsprotokolle sind in Azure Monitor verfügbar und werden standardmäßig für 90 Tage aufbewahrt. Sie können die Aufbewahrung erweitern, indem Sie Aktivitätsprotokolle über Diagnoseeinstellungen in einen Log Analytics Arbeitsbereich oder ein Speicherkonto exportieren.

Allgemeine Discovery-Steuerungsebenenvorgänge, die in Aktivitätsprotokollen sichtbar sind, umfassen:

Operation Beschreibung
Microsoft.Discovery/workspaces/write Erstellen oder Aktualisieren eines Arbeitsbereichs
Microsoft.Discovery/workspaces/delete Löschen eines Arbeitsbereichs
Microsoft.Discovery/supercomputers/write Erstellen oder Aktualisieren eines Supercomputers
Microsoft.Discovery/supercomputers/delete Löschen eines Supercomputers
Microsoft.Discovery/bookshelves/write Erstellen oder aktualisieren eines Bücherregals
Microsoft.Discovery/bookshelves/delete Löschen eines Bücherregals

Anweisungen zum Zugreifen auf Aktivitätsprotokolle finden Sie unter View activity logs for Microsoft Discovery resources.

Überwachungsprotokolle

Überwachungsprotokolle sind vom Kunden konfigurierbare Protokolle, die Sie aus Microsoft Discovery-Ressourcen in ein Azure Storage Konto oder einen Log Analytics Arbeitsbereich in Ihrem eigenen Abonnement exportieren. Im Gegensatz zu Anwendungsprotokollen (die automatisch in den MRG-Protokollen erfasst werden) und Aktivitätsprotokolle (die immer in Azure Monitor verfügbar sind), müssen Überwachungsprotokolle explizit über Azure Monitor diagnostische Einstellungen aktiviert werden.

Sie können auswählen, dass alle verfügbaren Protokollkategorien oder Überwachungsprotokolle nur exportiert werden sollen. Überwachungsprotokolle eignen sich gut für:

  • Complianceanforderungen – Aufbewahren von Plattformprotokollen auf Ressourcenebene für einen definierten Zeitraum, um behördliche oder organisatorische Richtlinien zu erfüllen.
  • Sicherheitsüberwachung – Speichert Protokolle in einem Ziel, das Sie steuern, um Sicherheitsüberprüfungen und Vorfalluntersuchungen zu unterstützen.
  • Daueraufbewahrung – Erweitern der Protokollaufbewahrung über die 90-Tage-Standardeinstellung von Azure Monitor Aktivitätsprotokollen hinaus.

Die Überwachungsprotokollierung wird für die folgenden Discovery-Ressourcentypen unterstützt:

Ressourcentyp Ressourcenanbieterpfad
Workspace Microsoft.Discovery/workspaces
Bücherregal Microsoft.Discovery/bookshelves
Supercomputer Microsoft.Discovery/supercomputers

Schrittweise Anleitungen zum Einrichten finden Sie unter Enable audit logging for Microsoft Discovery resources.

Korrelations-IDs

Wenn ein Vorgang in Discovery Studio ausgeführt wird, z. B. das Ausführen einer Untersuchung, weist die Plattform eine Korrelations-ID zu, die die Anforderung eindeutig identifiziert. Diese ID wird über alle Systemkomponenten verteilt, die an der Verarbeitung dieser Anforderung beteiligt sind, und jeder zugehörige Protokolleintrag in der Tabelle des Arbeitsbereichs enthält die Korrelations-ID DiscoveryLogs_CL im CorrelationId Feld.

Mit einer Korrelations-ID können Sie den vollständigen End-to-End-Fluss einer Anforderung nachverfolgen: Beim Start, welche Agents und Tools aufgerufen wurden, alle aufgetretenen Fehler und wann sie abgeschlossen wurden.

Korrelations-IDs werden im X-Ms-Correlation-Request-Id Antwortheader von API-Aufrufen von Discovery Studio zurückgegeben. Sie können sie über die Registerkarte "Netzwerk" der Entwicklerwerkzeuge des Browsers abrufen.

Eine schrittweise exemplarische Vorgehensweise zum Suchen und Verwenden einer Korrelations-ID finden Sie in den Abfragearbeitsbereichsprotokollen.

Überprüfen Sie bei Problemen mit der Steuerungsebene die Aktivitätsprotokolle auf eine Korrelations-ID, die dem fehlgeschlagenen Vorgang zugeordnet ist. Schließen Sie diese Korrelations-ID ein, wenn Sie eine Supportanfrage mit Microsoft-Support öffnen, um die Untersuchung zu beschleunigen.

Protokollaufnahmelatenz

Protokolle sind in der Regel innerhalb weniger Sekunden nach dem Ereignis in Log Analytics verfügbar. In seltenen Fällen kann die Aufnahme um bis zu fünf Minuten verzögert werden. Warten Sie bei der Problembehandlung der letzten Aktivität einen Moment, und aktualisieren Sie Ihre Abfrage, wenn die erwarteten Protokolleinträge nicht angezeigt werden.

Nächste Schritte

  • Zuletzt aktualisiert um