Erőforrásnaplók az Azure Monitorban

Az Azure-erőforrásnaplók betekintést nyújtanak az Azure-erőforrásokban végrehajtott műveletekbe. Az erőforrásnaplók tartalma minden erőforrástípus esetében eltérő. Ezek tartalmazhatnak információkat az erőforráson végrehajtott műveletekről, a műveletek állapotáról és az erőforrás állapotának és teljesítményének megértését segítő egyéb részletekről.

Erőforrásnaplók gyűjtése

Az erőforrásnaplók alapértelmezés szerint nem lesznek összegyűjtve. Az adatgyűjtéshez létre kell hoznia egy diagnosztikai beállítást az egyes Azure-erőforrásokhoz. További részletekért tekintse meg az Azure Monitor diagnosztikai beállításait . Az alábbi információk további részleteket tartalmaznak azokról a különböző célhelyekről, amelyekbe az erőforrások naplói elküldhetők.

Megjegyzés:

Az erőforrásnaplók nem teljesen veszteségmentesek. Ezek egy tároló- és továbbítási architektúrán alapulnak, amely lehetővé szeretné tenni, hogy a petabájtnyi adat naponta nagy léptékben mozogjon. Ez a képesség magában foglalja a beépített redundanciát és az újrapróbálkozásokat a platformon, de nem biztosít tranzakciós garanciákat. Az adatvesztés állandó forrásának azonosításakor a megoldás és a jövőbeli megelőzés rangsorolása történik. A kis adatvesztések továbbra is előfordulhatnak az Azure-ban elosztott, ideiglenes, nem ismétlődő szolgáltatásproblémák miatt.

Az erőforrásnaplók összegyűjtése után az elemzéshez rendelkezésre álló idő a cél és az Azure szolgáltatás szerint változik. A várható betöltési késésről az Azure Monitor naplóadat-betöltési idejét tekintheti meg.

Célpontok

Diagnosztikai beállítás létrehozásakor dönthet úgy, hogy az erőforrásnaplókat az alábbi célhelyek valamelyikére küldi el. A választott célhelyek az elemzés, a megőrzés és a más rendszerekkel való integráció igényein alapulnak.

Az alábbi szakaszok az egyes célhelyek erőforrásnaplóinak részleteit ismertetik.

Log Analytics-munkaterület

Küldje el az erőforrásnaplókat egy Log Analytics-munkaterületre a következő funkciók érdekében:

• Az erőforrásnaplók és más naplóadatok összekapcsolása napló lekérdezésekkel.
• Naplóriasztások létrehozása erőforrásnapló-bejegyzésekből.
• Erőforrásnapló-adatok elérése a Power BI-val.

Gyűjtemény mód

Az erőforrásnaplók által használt Log Analytics-munkaterület táblái az erőforrás típusától és az erőforrás által használt gyűjtemény típusától függnek. Az erőforrásnaplókhoz kétféle gyűjtési mód használható:

• Azure-diagnosztika: A rendszer minden adatot az AzureDiagnostics táblába ír.
• Erőforrás-specifikus: Az adatok az erőforrás egyes kategóriáinak egyes tábláiba lesznek írva.

Erőforrás-specifikus

Erőforrás-specifikus módot használó naplók esetén a rendszer a diagnosztikai beállításban kiválasztott naplókategóriákhoz külön táblákat hoz létre a kijelölt munkaterületen. Az erőforrás-specifikus naplók az alábbi előnyökkel rendelkeznek az Azure diagnosztikai naplókkal szemben:

• Megkönnyíti az adatok kezelését a napló lekérdezéseiben.
• Jobb felderíthetőséget biztosít a sémák és azok struktúrája számára.
• Javítja a teljesítményt a betöltési késés és a lekérdezési idők között.
• Lehetővé teszi az Azure szerepköralapú hozzáférés-vezérlési jogosultságainak biztosítását egy adott táblán.

Az erőforrás-specifikus naplók és táblák leírásáért tekintse meg az Azure Monitor támogatott erőforrásnapló-kategóriáit

Azure diagnosztikai mód

Az Azure diagnosztikai módban a rendszer minden diagnosztikai beállítás adatait összegyűjti az AzureDiagnostics táblában. Ezt az örökölt módszert ma az Azure-szolgáltatások egy kisebbsége használja. Mivel több erőforrástípus küld adatokat ugyanarra a táblára, a séma az összes összegyűjtött adattípus sémáinak szuperhalmaza. A táblázat szerkezetéről és a lehetségesen nagy számú oszlop használatáról az AzureDiagnostics-referenciában olvashat.

Az AzureDiagnostics tábla tartalmazza a naplót létrehozó erőforrás resourceId azonosítóját, a napló kategóriáját és a napló létrehozásának idejét, valamint az erőforrás-specifikus tulajdonságokat.

A gyűjtemény mód kiválasztása

A legtöbb Azure-erőforrás Azure diagnosztika vagy erőforrás-specifikus módban ír adatokat a munkaterületre anélkül, hogy választási lehetőséget biztosítana. További információ: Az Azure-erőforrásnaplók általános és szolgáltatásspecifikus sémái.

Az összes Azure-szolgáltatás végül az erőforrás-specifikus módot fogja használni. Az áttűnés részeként egyes erőforrások lehetővé teszik egy mód kiválasztását a diagnosztikai beállításban. Adjon meg erőforrás-specifikus módot az új diagnosztikai beállításokhoz, mert ez a mód megkönnyíti az adatok kezelését. Segíthet az összetett migrálások későbbi elkerülésében is.

Megjegyzés:

Ha egy Azure Resource Manager-sablon használatával állítja be a gyűjtési módot, tekintse meg a Resource Manager-sablonmintákat az Azure Monitor diagnosztikai beállításaihoz.

A meglévő diagnosztikai beállításokat erőforrás-specifikus módra módosíthatja. Ebben az esetben a már összegyűjtött adatok a AzureDiagnostics táblában maradnak, amíg el nem távolítják őket a munkaterület megőrzési beállításainak megfelelően. A rendszer új adatokat gyűjt a dedikált táblában. Az egyesítő operátor használatával mindkét táblában lekérdezheti az adatokat.

Tekintse meg az Azure Updates blogot az erőforrás-specifikus módot támogató Azure-szolgáltatásokkal kapcsolatos bejelentésekért.

Eseményközpontok

Erőforrásnaplók küldése egy eseményközpontba, hogy azokat az Azure-on kívülre továbbítsák. Előfordulhat például, hogy az erőforrásnaplók egy külső SIEM-nek vagy más log analytics-megoldásnak lesznek elküldve.

Az eseményközpontokból származó erőforrásnaplókat JSON formátumban dolgozzák fel, egy records elemmel, amely az egyes hasznos adatcsomagok rekordjait tartalmazza. A séma az Azure-erőforrásnaplók általános és szolgáltatásspecifikus sémájában leírt erőforrástípustól függ.

A következő kimeneti mintaadatok az Azure Event Hubsból származnak egy erőforrásnaplóhoz:

{
    "records": [
        {
            "time": "2019-07-15T18:00:22.6235064Z",
            "workflowId": "/SUBSCRIPTIONS/AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E/RESOURCEGROUPS/JOHNKEMTEST/PROVIDERS/MICROSOFT.LOGIC/WORKFLOWS/JOHNKEMTESTLA",
            "resourceId": "/SUBSCRIPTIONS/AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E/RESOURCEGROUPS/JOHNKEMTEST/PROVIDERS/MICROSOFT.LOGIC/WORKFLOWS/JOHNKEMTESTLA/RUNS/08587330013509921957/ACTIONS/SEND_EMAIL",
            "category": "WorkflowRuntime",
            "level": "Error",
            "operationName": "Microsoft.Logic/workflows/workflowActionCompleted",
            "properties": {
                "$schema": "2016-04-01-preview",
                "startTime": "2016-07-15T17:58:55.048482Z",
                "endTime": "2016-07-15T18:00:22.4109204Z",
                "status": "Failed",
                "code": "BadGateway",
                "resource": {
                    "subscriptionId": "AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E",
                    "resourceGroupName": "JohnKemTest",
                    "workflowId": "2222cccc-33dd-eeee-ff44-aaaaaa555555",
                    "workflowName": "JohnKemTestLA",
                    "runId": "08587330013509921957",
                    "location": "westus",
                    "actionName": "Send_email"
                },
                "correlation": {
                    "actionTrackingId": "3333dddd-44ee-ffff-aa55-bbbbbbbb6666",
                    "clientTrackingId": "08587330013509921958"
                }
            }
        },
        {
            "time": "2019-07-15T18:01:15.7532989Z",
            "workflowId": "/SUBSCRIPTIONS/AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E/RESOURCEGROUPS/JOHNKEMTEST/PROVIDERS/MICROSOFT.LOGIC/WORKFLOWS/JOHNKEMTESTLA",
            "resourceId": "/SUBSCRIPTIONS/AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E/RESOURCEGROUPS/JOHNKEMTEST/PROVIDERS/MICROSOFT.LOGIC/WORKFLOWS/JOHNKEMTESTLA/RUNS/08587330012106702630/ACTIONS/SEND_EMAIL",
            "category": "WorkflowRuntime",
            "level": "Information",
            "operationName": "Microsoft.Logic/workflows/workflowActionStarted",
            "properties": {
                "$schema": "2016-04-01-preview",
                "startTime": "2016-07-15T18:01:15.5828115Z",
                "status": "Running",
                "resource": {
                    "subscriptionId": "AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E",
                    "resourceGroupName": "JohnKemTest",
                    "workflowId": "dddd3333-ee44-5555-66ff-777777aaaaaa",
                    "workflowName": "JohnKemTestLA",
                    "runId": "08587330012106702630",
                    "location": "westus",
                    "actionName": "Send_email"
                },
                "correlation": {
                    "actionTrackingId": "ffff5555-aa66-7777-88bb-999999cccccc",
                    "clientTrackingId": "08587330012106702632"
                }
            }
        }
    ]
}

Azure Storage

Erőforrásnaplók küldése az Azure Storage-ba archiválás céljából. A diagnosztikai beállítás létrehozása után a rendszer azonnal létrehoz egy tárolót a tárfiókban, amint esemény történik az engedélyezett naplókategóriák egyikében.

Megjegyzés:

Egy alternatíva az archiválás helyett, ha az erőforrásnaplót a Log Analytics munkaterület egy táblájába továbbítja alacsony költségű, hosszú távú megőrzéssel.

A tárolón belüli blobok a következő elnevezési konvencióval használhatók:

insights-logs-{log category name}/resourceId=/SUBSCRIPTIONS/{subscription ID}/RESOURCEGROUPS/{resource group name}/PROVIDERS/{resource provider name}/{resource type}/{resource name}/y={four-digit numeric year}/m={two-digit numeric month}/d={two-digit numeric day}/h={two-digit 24-hour clock hour}/m=00/PT1H.json

Egy hálózati biztonsági csoport blobjának neve az alábbi példához hasonló lehet:

insights-logs-networksecuritygrouprulecounter/resourceId=/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/TESTRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUP/TESTNSG/y=2016/m=08/d=22/h=18/m=00/PT1H.json

Minden PT1H.json blob tartalmaz egy JSON-objektumot, amely a blob URL-címében megadott órában fogadott naplófájlokból származó eseményeket tartalmazza. A jelen órában az eseményeket a rendszer hozzáfűzi a PT1H.json fájlhoz, függetlenül attól, hogy mikor lettek létrehozva. Az URL-cím m=00 percértéke mindig 00 az, mivel a blobokat óránként hozzák létre.

A PT1H.json fájlban minden esemény a következő formátumban lesz tárolva. Általános legfelső szintű sémát használ, de minden Azure-szolgáltatás esetében egyedi, az Erőforrásnaplók sémában leírtak szerint.

Megjegyzés:

A naplók a napló beérkezésének időpontjától függően blobokra lesznek írva, függetlenül a létrehozás időpontjától. Ez azt jelenti, hogy egy adott blob a blob URL-címében megadott órán kívül eső naplóadatokat tartalmazhat. Ahol egy adatforrás, például az Application Insights támogatja az elavult telemetriai adatok feltöltését, a blobok az előző 48 órából származó adatokat tartalmazhatnak. Egy új óra kezdetén lehetséges, hogy a meglévő naplók még mindig az előző óra blobjába vannak írva, míg az új naplók az új óra blobjába lesznek írva.

{"time": "2016-07-01T00:00:37.2040000Z","systemId": "a0a0a0a0-bbbb-cccc-dddd-e1e1e1e1e1e1","category": "NetworkSecurityGroupRuleCounter","resourceId": "/SUBSCRIPTIONS/AAAA0A0A-BB1B-CC2C-DD3D-EEEEEE4E4E4E/RESOURCEGROUPS/TESTRESOURCEGROUP/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/TESTNSG","operationName": "NetworkSecurityGroupCounters","properties": {"vnetResourceGuid": "{aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e}","subnetPrefix": "10.3.0.0/24","macAddress": "000123456789","ruleName": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/testresourcegroup/providers/Microsoft.Network/networkSecurityGroups/testnsg/securityRules/default-allow-rdp","direction": "In","type": "allow","matchedConnections": 1988}}

Azure Monitor-partnerintegrációk

Az erőforrásnaplók elküldhetők olyan partnermegoldásoknak, amelyek teljesen integrálva vannak az Azure-ba. A megoldások listáját és a konfigurálásuk részleteit az Azure Monitor partnerintegrációi című témakörben találja.

Kategóriák és sémák

Minden erőforrásnapló közös legfelső szintű sémával rendelkezik. Minden szolgáltatás egyedi tulajdonságokat határoz meg a saját naplóihoz. Tekintse meg az Azure-erőforrásnaplók általános és szolgáltatásspecifikus sémáit a közös sémához és az egyes szolgáltatások sémáihoz. Tekintse meg az Azure Monitor támogatott erőforrásnapló-kategóriáit az egyes szolgáltatások által támogatott különböző kategóriákhoz, valamint az egyes kategóriák sémáira mutató hivatkozásokat.

Következő lépések

• További információ az erőforrásnaplókról.
• Diagnosztikai beállítások létrehozása platformnaplók és metrikák különböző célhelyekre való küldéséhez.