Condividi tramite

Preparare la modifica del formato ai log della piattaforma di Monitoraggio di Azure archiviati in un account di archiviazione

Avvertimento

Se invii log o metriche delle risorse di Azure a un account di archiviazione utilizzando le impostazioni di diagnostica o i log delle attività a un account di archiviazione utilizzando i profili di log, il formato dei dati nell'account di archiviazione è stato modificato in JSON Lines il 1° novembre 2018. Le istruzioni seguenti descrivono l'impatto e come aggiornare gli strumenti per gestire il nuovo formato.

Cosa è cambiato

Monitoraggio di Azure offre una funzionalità che consente di inviare i log delle risorse e i log delle attività in un account di archiviazione di Azure, in uno spazio dei nomi di Event Hubs o in un'area di lavoro di Log Analytics in Monitoraggio di Azure. Per risolvere un problema di prestazioni del sistema, il 1° novembre 2018 alle 12:00 UTC il formato dei dati di log inviati all'archivio BLOB è cambiato. Se si dispone di strumenti per la lettura dei dati dall'archivio BLOB, è necessario aggiornare gli strumenti per comprendere il nuovo formato di dati.

  • Giovedì 1° novembre 2018 alle 12.00 UTC, il formato BLOB è cambiato in righe JSON. Ciò significa che ogni record verrà delimitato da una nuova riga, senza matrice di record esterni e senza virgole tra i record JSON.
  • Il formato BLOB è stato modificato per tutte le impostazioni di diagnostica in tutte le sottoscrizioni contemporaneamente. Il primo PT1H.json file generato per il 1° novembre usa questo nuovo formato. I nomi di BLOB e contenitori rimangono invariati.
  • L'impostazione di un'impostazione di diagnostica prima del 1° novembre ha continuato a emettere dati nel formato corrente fino al 1° novembre.
  • Questa modifica si è verificata contemporaneamente in tutte le aree del cloud pubblico. La modifica non si verificherà ancora nei cloud di Microsoft Azure gestiti da 21Vianet, Azure Germania o Azure per enti pubblici.
  • Questa modifica influisce sui tipi di dati seguenti:
  • Questa modifica non influisce:
    • Log dei flussi di rete
    • I log dei servizi di Azure non sono ancora disponibili tramite Monitoraggio di Azure (ad esempio, i log delle risorse del servizio app di Azure, i log di analisi dell'archiviazione)
    • Routing dei log delle risorse di Azure e dei log delle attività verso altre destinazioni (Hub eventi, Log Analytics)

Come verificare se si è colpiti

L'utente è interessato solo da questa modifica se:

  1. Invia dati di log a un account di archiviazione di Azure usando un'impostazione di diagnostica e
  2. Disporre di strumenti che dipendono dalla struttura JSON di questi log nell'archiviazione.

Per identificare se sono presenti impostazioni di diagnostica che inviano dati a un account di archiviazione di Azure, è possibile passare alla sezione Monitoraggio del portale, fare clic su Impostazioni di diagnostica e identificare le risorse con stato di diagnostica impostato su Abilitato:

Riquadro Impostazioni diagnostiche di Azure Monitor

Se lo stato di diagnostica è impostato su abilitato, è disponibile un'impostazione di diagnostica attiva per tale risorsa. Fare clic sulla risorsa per verificare se le impostazioni di diagnostica inviano dati a un account di archiviazione:

Account di archiviazione abilitato

Se si dispone di risorse che inviano dati a un account di archiviazione usando queste impostazioni di diagnostica delle risorse, il formato dei dati in tale account di archiviazione sarà interessato da questa modifica. A meno che non si disponga di strumenti personalizzati che operano da questi account di archiviazione, la modifica del formato non influisce sull'utente.

Dettagli della modifica del formato

Il formato corrente del file PT1H.json nell'archivio BLOB di Azure usa una matrice JSON di record. Di seguito è riportato un esempio di file di log di KeyVault:

{
    "records": [
        {
            "time": "2016-01-05T01:32:01.2691226Z",
            "resourceId": "/SUBSCRIPTIONS/361DA5D4-A47A-4C79-AFDD-XXXXXXXXXXXX/RESOURCEGROUPS/CONTOSOGROUP/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/CONTOSOKEYVAULT",
            "operationName": "VaultGet",
            "operationVersion": "2015-06-01",
            "category": "AuditEvent",
            "resultType": "Success",
            "resultSignature": "OK",
            "resultDescription": "",
            "durationMs": "78",
            "callerIpAddress": "104.40.82.76",
            "correlationId": "",
            "identity": {
                "claim": {
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "d9da5048-2737-4770-bd64-XXXXXXXXXXXX",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "live.com#username@outlook.com",
                    "appid": "1950a258-227b-4e31-a9cf-XXXXXXXXXXXX"
                }
            },
            "properties": {
                "clientInfo": "azure-resource-manager/2.0",
                "requestUri": "https://control-prod-wus.vaultcore.azure.net/subscriptions/361da5d4-a47a-4c79-afdd-XXXXXXXXXXXX/resourcegroups/contosoresourcegroup/providers/Microsoft.KeyVault/vaults/contosokeyvault?api-version=2015-06-01",
                "id": "https://contosokeyvault.vault.azure.net/",
                "httpStatusCode": 200
            }
        },
        {
            "time": "2016-01-05T01:33:56.5264523Z",
            "resourceId": "/SUBSCRIPTIONS/361DA5D4-A47A-4C79-AFDD-XXXXXXXXXXXX/RESOURCEGROUPS/CONTOSOGROUP/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/CONTOSOKEYVAULT",
            "operationName": "VaultGet",
            "operationVersion": "2015-06-01",
            "category": "AuditEvent",
            "resultType": "Success",
            "resultSignature": "OK",
            "resultDescription": "",
            "durationMs": "83",
            "callerIpAddress": "104.40.82.76",
            "correlationId": "",
            "identity": {
                "claim": {
                    "http://schemas.microsoft.com/identity/claims/objectidentifier": "d9da5048-2737-4770-bd64-XXXXXXXXXXXX",
                    "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "live.com#username@outlook.com",
                    "appid": "1950a258-227b-4e31-a9cf-XXXXXXXXXXXX"
                }
            },
            "properties": {
                "clientInfo": "azure-resource-manager/2.0",
                "requestUri": "https://control-prod-wus.vaultcore.azure.net/subscriptions/361da5d4-a47a-4c79-afdd-XXXXXXXXXXXX/resourcegroups/contosoresourcegroup/providers/Microsoft.KeyVault/vaults/contosokeyvault?api-version=2015-06-01",
                "id": "https://contosokeyvault.vault.azure.net/",
                "httpStatusCode": 200
            }
        }
    ]
}

Il nuovo formato usa righe JSON, in cui ogni evento è una riga e il carattere di nuova riga indica un nuovo evento. Di seguito è riportato l'aspetto dell'esempio precedente nel file di PT1H.json dopo la modifica:

{"time": "2016-01-05T01:32:01.2691226Z","resourceId": "/SUBSCRIPTIONS/361DA5D4-A47A-4C79-AFDD-XXXXXXXXXXXX/RESOURCEGROUPS/CONTOSOGROUP/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/CONTOSOKEYVAULT","operationName": "VaultGet","operationVersion": "2015-06-01","category": "AuditEvent","resultType": "Success","resultSignature": "OK","resultDescription": "","durationMs": "78","callerIpAddress": "104.40.82.76","correlationId": "","identity": {"claim": {"http://schemas.microsoft.com/identity/claims/objectidentifier": "d9da5048-2737-4770-bd64-XXXXXXXXXXXX","http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "live.com#username@outlook.com","appid": "1950a258-227b-4e31-a9cf-XXXXXXXXXXXX"}},"properties": {"clientInfo": "azure-resource-manager/2.0","requestUri": "https://control-prod-wus.vaultcore.azure.net/subscriptions/361da5d4-a47a-4c79-afdd-XXXXXXXXXXXX/resourcegroups/contosoresourcegroup/providers/Microsoft.KeyVault/vaults/contosokeyvault?api-version=2015-06-01","id": "https://contosokeyvault.vault.azure.net/","httpStatusCode": 200}}
{"time": "2016-01-05T01:33:56.5264523Z","resourceId": "/SUBSCRIPTIONS/361DA5D4-A47A-4C79-AFDD-XXXXXXXXXXXX/RESOURCEGROUPS/CONTOSOGROUP/PROVIDERS/MICROSOFT.KEYVAULT/VAULTS/CONTOSOKEYVAULT","operationName": "VaultGet","operationVersion": "2015-06-01","category": "AuditEvent","resultType": "Success","resultSignature": "OK","resultDescription": "","durationMs": "83","callerIpAddress": "104.40.82.76","correlationId": "","identity": {"claim": {"http://schemas.microsoft.com/identity/claims/objectidentifier": "d9da5048-2737-4770-bd64-XXXXXXXXXXXX","http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn": "live.com#username@outlook.com","appid": "1950a258-227b-4e31-a9cf-XXXXXXXXXXXX"}},"properties": {"clientInfo": "azure-resource-manager/2.0","requestUri": "https://control-prod-wus.vaultcore.azure.net/subscriptions/361da5d4-a47a-4c79-afdd-XXXXXXXXXXXX/resourcegroups/contosoresourcegroup/providers/Microsoft.KeyVault/vaults/contosokeyvault?api-version=2015-06-01","id": "https://contosokeyvault.vault.azure.net/","httpStatusCode": 200}}

Questo nuovo formato consente a Azure Monitor di eseguire il push dei file di log usando append blobs, che sono più efficienti per l'aggiunta continua di nuovi dati di eventi.

Come eseguire l'aggiornamento

È necessario apportare aggiornamenti solo se si dispone di strumenti personalizzati che inseriscono questi file di log per un'ulteriore elaborazione. Se stai utilizzando uno strumento esterno di analisi dei log o un tool SIEM, raccomandiamo di utilizzare gli hub eventi per acquisire questi dati. L'integrazione degli hub eventi è più semplice per elaborare i log da molti servizi e creare segnalibri nei log specifici.

Gli strumenti personalizzati devono essere aggiornati per gestire sia il formato corrente che il formato json Lines descritto in precedenza. Ciò garantisce che quando i dati iniziano a essere visualizzati nel nuovo formato, gli strumenti non si interrompono.

Passaggi successivi

  • Last updated on