クイックスタート: Azure Resource Graph と Log Analytics を使用してアラートを作成する

このクイックスタートでは、Azure Log Analytics を使用して Azure Resource Graph クエリでアラートを作成する方法について説明します。 Azure Resource Graph クエリ、Log Analytics ワークスペース、マネージド ID を使用してアラートを作成できます。 アラートの条件によって、指定した間隔で通知が送信されます。

クエリを使用して、デプロイされた Azure リソースのアラートを設定できます。 Azure Resource Graph テーブルを使用してクエリを作成するか、Azure Monitor ログの Azure Resource Graph テーブルと Log Analytics データを結合できます。

この記事には、次の 2 つのアラートの例が含まれています。

• Azure Resource Graph: Azure Resource Graph Resources テーブルを使用して、デプロイされた Azure リソースのデータを取得し、アラートを作成するクエリを作成します。
• Azure Resource Graph と Log Analytics: Azure Monitor ログ Heartbeat テーブルの Azure Resource Graph Resources テーブルと Log Analytics データを使用します。 この例では、仮想マシンを使用して、クエリとアラートを設定する方法について説明します。

Note

Azure Resource Graph アラートと Log Analytics の統合はパブリック プレビュー段階です。

前提条件

• Azure アカウントをお持ちでない場合は、開始する前に無料アカウントを作成してください。
• Azure にデプロイされたリソース (仮想マシンやストレージ アカウントなど)。
• Azure Resource Graph と Log Analytics クエリの例を使用するには、Azure Monitor エージェントを使用する Azure 仮想マシンが少なくとも 1 つ必要です。

どのような問題が解決されますか?

Azure Resource Graph クエリを使用して、Azure リソースに関する情報を取得する必要があるとします。 Azure Log Analytics を使用して、特定の条件が満たされたときに通知するアラートを設定できます。

ワークスペースの作成

監視対象のサブスクリプションに Log Analytics ワークスペースを作成します。

1. Azure portal にサインインします。

2. 検索フィールドに「log analytics workspaces」と入力し、[Log Analytics ワークスペース] を選択します。

   Log Analytics ワークスペースを使用している場合は、[Azure サービス] から選択できます。

   

3. ［作成］ を選択します

   • [サブスクリプション]: Azure サブスクリプションを選択します
   • [リソース グループ]: 「demo-arg-alert-rg」
   • [名前]: 「demo-arg-alert-workspace」
   • [リージョン]: West US3 (米国西部 3)

4. [確認および作成] を選択し、[検証に成功しました] が表示されるのを待ちます。

5. [作成] を選択して、デプロイを開始します。

6. デプロイが完了したら、[リソースに移動] を選択します。

仮想マシンの作成

Azure Resource Graph

Azure Resource Graph テーブルを使用する例では、仮想マシンを作成する必要はありません。

Azure Resource Graph と Log Analytics

Note

既存の仮想マシンがある場合、または仮想マシンを作成する方法がわかっている場合、このセクションは省略可能です。 この例では、仮想マシンを使用して、Azure Resource Graph テーブルと Log Analytics データを使用してクエリを作成する方法について説明します。

ログ情報を取得する際、仮想マシンを Log Analytics ワークスペースに接続すると、Azure Monitor エージェントが仮想マシンにインストールされます。 仮想マシンがない場合は、この例で使用するために作成できます。 不要なコストが発生しないように、この例の作業が完了したら仮想マシンを削除してください。

次の手順は、Linux 仮想マシンの基本設定です。 仮想マシンの作成方法の詳細な手順については、この記事では取り扱いません。

1. Azure で、Ubuntu Linux 仮想マシンを作成します。

2. ［作成］ を選択します

3. [仮想マシンの作成] を使用します。 次の例外を除き、ほとんどの既定の設定をそのまま使用できます。

   仮想マシンを作成する

   • [リソース グループ]: 「demo-arg-alert-rg」
   • [仮想マシン名]: 仮想マシン名を入力します
   • [可用性オプション]: [インフラストラクチャ冗長は必要ありません]
   • [サイズ]: [B1ms]
   • [管理者アカウント]: キーの組を作成するか、ユーザー名とパスワードを入力します
   • [パブリック受信ポート]: [なし]

   [ディスク]: 既定値をそのまま使用します

   • [VM と共に削除] が選択されていることを確認します。

   ネットワーク

   • 既定値をそのまま使用します。
   • [VM が削除されたときにパブリック IP と NIC を削除する] を選択します。

   管理

   • 既定値をそのまま使用します
   • [自動シャットダウン] の [タイム ゾーン] を使用しているタイム ゾーンに変更します。

   [監視]、 [詳細]、[タグ]

   • この例では変更は不要です。

4. [確認および作成]、[作成] の順に選択します。

   認証に SSH を選択した場合は、新しいキーの組を生成するように求められます。 秘密キーをダウンロードし、仮想マシンを作成します。 VM の使用が完了したら、キー ファイルを削除します。

仮想マシンがデプロイされたら、[リソースに移動] を選択します。

Note

仮想マシンを Log Analytics ワークスペースに接続する方法がわかっている場合、このセクションは省略可能です。

仮想マシンの監視を設定します。

1. 仮想マシンに移動します。
2. [監視]>[分析情報]>[Azure Monitor]>[概要] の順に選択します。
3. [監視対象外] を選択します。
4. 仮想マシンの [監視範囲] で [有効にする] を選択します。
5. [Azure Monitor Insights のオンボード] で [有効] を選択します。
6. 監視の構成を設定する
   • Azure Monitor エージェントを使用して Insights を有効にする
   • [サブスクリプション]:サブスクリプションを選択します。
   • 新しいデータ収集ルールを作成する
     • 名前を作成します。
     • サブスクリプションを選択します。
     • Log Analytics ワークスペース [demo-arg-alert-workspace] を選択します。
   • [作成] を選択し、設定が正しいことを確認し、[構成] を選択してデプロイを開始します。
7. [Azure Monitor Insights のオンボード] を閉じます。

デプロイが成功すると、[分析情報]>[概要]>[監視対象] で仮想マシンの [監視範囲] が有効になり、データ収集ルールへのリンクが表示されます。

データ収集ルールへのリンクを選択し、[構成] の設定を確認します。

• [リソース]: 仮想マシン、リソース グループ、サブスクリプションが表示されます。
• [データ ソース]:
  • [データ ソース]: パフォーマンス カウンター
  • [送信先]: Azure Monitor ログ

[パフォーマンス カウンター] リンクを選択して詳細を確認できます。

Log Analytics ワークスペース [demo-arg-alert-workspace] に移動します。 [設定]>[エージェント]>[Linux サーバー] の順に選択すると、1 台の Linux コンピューターが [Azure Monitor Linux エージェント] に接続されます。

仮想マシンに移動し、[設定]>[拡張機能とアプリケーション] の順に選択し、AzureMonitorLinuxAgent でプロビジョニングが成功したことを示すメッセージが表示されていることを確認します。

クエリを作成する

Azure Resource Graph

Log Analytics ワークスペースで、Azure リソースの数を取得する Azure Resource Graph クエリを作成します。 この例では、Azure Resource Graph Resources テーブルを使用します。

1. [Log Analytics ワークスペース] ページの左側から [ログ] を選択します。

   [クエリ] ウィンドウが表示されている場合は閉じます。

2. [新しいクエリ] で次のコードを使用します。

   arg("").Resources
   | count
   

   Log Analytics のテーブル名は、Resources や ResourceContainers のように、各単語の最初の文字を大文字にしたキャメル ケースにする必要があります。 resources や resourcecontainers などの小文字を使うこともできます。

   

3. [実行] を選択します。

   [結果] には、Azure サブスクリプション内のリソースの [数] が表示されます。 アラート ルールの条件に必要なため、その数をメモしておきます。 クエリを手動で実行する場合、数はユーザー ID に基づいており、発行したアラートではマネージド ID が使用されます。 手動による実行または発行したアラートの間で、数が異なる可能性があります。

4. クエリから数を削除します。

   arg("").Resources
   

Azure Resource Graph と Log Analytics

Log Analytics ワークスペースで、仮想マシンから最後のハートビート情報を取得する Azure Resource Graph クエリを作成します。 この例では、Azure Monitor ログ Heartbeat テーブルの Azure Resource Graph Resources テーブルと Log Analytics データを使用します。

1. [demo-arg-alert-workspace] Log Analytics ワークスペースに移動します。

2. [Log Analytics ワークスペース] ページの左側から [ログ] を選択します。

   [クエリ] ウィンドウが表示されている場合は閉じます。

3. [新しいクエリ] で次のコードを使用します。

   arg("").Resources
   | where type == 'microsoft.compute/virtualmachines'
   | project ResourceId = id, name, PowerState = tostring(properties.extended.instanceView.powerState.code)
   | join (Heartbeat
     | where TimeGenerated > ago(15m)
     | summarize lastHeartBeat = max(TimeGenerated) by ResourceId)
     on ResourceId
   | project lastHeartBeat, PowerState, name, ResourceId
   

   Log Analytics のテーブル名は、Resources や ResourceContainers のように、各単語の最初の文字を大文字にしたキャメル ケースにする必要があります。 resources や resourcecontainers などの小文字を使うこともできます。

   TimeGenerated にその他の期間を使用することができます。 たとえば、分 (15m など) ではなく時間 (12h、24h、48h など) を使用できます。

   

4. [実行] を選択します。

   クエリでは、仮想マシンの最後のハートビート、電源状態、名前、リソース ID が返されるはずです。 [結果] が表示されない場合は、次の手順に進んでください。

アラート ルールの作成

Azure Resource Graph

Log Analytics ワークスペースで、[新しいアラート ルール] を選択します。 Log Analytics ワークスペースからのクエリがアラート ルールにコピーされます。 [アラート ルールの作成] には、アラートを作成するために更新する必要があるタブがいくつかあります。

Scope

スコープが [demo-arg-alert-workspace] という名前の Log Analytics ワークスペースに設定されていることを確認します。

スコープを変更する必要がある場合は、次の手順を実行します。

1. [スコープ] タブに移動し、[スコープの選択] を選択します。
2. [選択したリソース] 画面の下部で、現在のスコープを削除します。
3. リソースの一覧から [demo-arg-alert-rg] を展開し、[demo-arg-alert-workspace] を選択します。
4. [適用] を選択します。
5. [次へ: 条件] を選択します。

条件

フォームには、入力するフィールドがいくつかあります。

• [シグナル名]: カスタム ログ検索
• [検索クエリ]: クエリ コードを表示します。

測定

• 測定: テーブルの行
• 集計の種類: カウント
• 集計の細分性: 5 分

アラート ロジック

• 演算子: より大きい

• [しきい値]: リソース数から返される数値より小さい数値を使用します。

  たとえば、リソース数が 50 の場合は 45 を使用します。 この値では、リソースの数がしきい値を超えるため、リソースを評価する際にアラートがトリガーされます。

• 評価の頻度: 5 分

[次へ: アクション] を選択します。

アクション

[アクション グループの作成] を選択します。

• サブスクリプション:Azure サブスクリプションを選択します。
• [リソース グループ]: 「demo-arg-alert-rg」
• [リージョン]: グローバル
• [アクション グループ名]: 「demo-arg-alert-action-group」
• [表示名]: 「demo-action」(制限は 12 文字)

[次へ: 通知] を選択します。

• [通知の種類]: [メール/SMS メッセージ/プッシュ/音声] を選択します。
• [名前]: 「email-alert」
• [電子メール] チェック ボックスをオンにし、メール アドレスを入力します。
• [OK] を選択します。

[確認および作成] を選択し、概要が正しいことを確認して、[作成] を選択します。 [アラート ルールの作成] ページの [アクション] タブに戻ります。 [アクション グループ名] には、作成したアクション グループが表示されます。

[Next: Details](次へ: 詳細) を選択します。

詳細

[詳細] タブで次の情報を使用します。

• [サブスクリプション]: Azure サブスクリプションを選択します
• [リソース グループ]: 「demo-arg-alert-rg」
• [重大度]: 既定値 [3 - 情報] をそのまま使用します
• [アラート ルール名]: 「demo-arg-alert-rule」
• [アラート ルールの説明]: 「Azure リソースの数に関する電子メール アラート」
• [ID]: [システム割り当てマネージド ID] を選択します

[確認および作成] を選択し、概要が正しいことを確認して、[作成] を選択します。 [Log Analytics ワークスペース] の [ログ] ページに戻ります。

アクション グループに追加されたことを確認する電子メール通知が届きます。

ロールを割り当てる

[Log Analytics 閲覧者] をシステム割り当てマネージド ID に割り当て、電子メール通知を送信するアラートを発行するアクセス許可を付与します。

1. Log Analytics ワークスペースで [監視]>[アラート] の順に選択します。

   [保存されていない編集は破棄されます] メッセージが表示されたら、[OK] を選択します。

2. 警告ルールを選択します。

3. [demo-arg-alert-rule] を選択します。

4. [設定]>[ID]>[システム割り当て] の順に選択します。

   • [状態]: オン
   • [オブジェクト ID]: エンタープライズ アプリケーション (サービス プリンシパル) の GUID を Microsoft Entra ID で表示します。
   • [アクセス許可]: [Azure でのロールの割り当て] を選択します
     • 正しいサブスクリプションが選択されていることを確認します。
     • [ロールの割り当ての追加] を選択します
     • [スコープ]: [サブスクリプション]
     • [サブスクリプション]: お使いの Azure サブスクリプション名
     • [役割]: [Log Analytics 閲覧者]

5. [保存] を選択します。

[Log Analytics 閲覧者] が [Azure でのロールの割り当て] ページに表示されるのには数分かかります。 [最新の情報に更新] を選択して、ページを更新します。

ブラウザーの [戻る] ボタンを使用して [ID] に戻り、[概要] を選択してアラート ルールに戻ります。 [demo-arg-alert-rg] という名前のリソース グループへのリンクを選択します。

Azure Resource Graph と Log Analytics

Log Analytics ワークスペースで、[新しいアラート ルール] を選択します。 Log Analytics ワークスペースからのクエリがアラート ルールにコピーされます。 [アラート ルールの作成] には、更新する必要があるタブがいくつかあります。

Scope

スコープがお使いの Log Analytics ワークスペースに設定されていることを確認します。

スコープを変更する必要がある場合は、次の手順を実行します。

1. [スコープ] タブに移動し、[スコープの選択] を選択します。
2. [選択したリソース] 画面の下部で、現在のスコープを削除します。
3. リソースの一覧から [demo-arg-alert-rg] を展開し、[demo-arg-alert-workspace] を選択します。
4. [適用] を選択します。
5. [次へ: 条件] を選択します。

条件

フォームには、入力するフィールドがいくつかあります。

• [シグナル名]: カスタム ログ検索
• [検索クエリ]: クエリ コードを表示します。

測定

• 測定: テーブルの行
• 集計の種類: カウント
• 集計の細分性: 5 分

アラート ロジック

• [演算子]: より小さい
• [しきい値]: 2
• 評価の頻度: 5 分

[次へ: アクション] を選択します。

アクション

[アクション グループの作成] を選択します。

• サブスクリプション:Azure サブスクリプションを選択します。
• [リソース グループ]: 「demo-arg-alert-rg」
• [リージョン]: グローバル
• [アクション グループ名]: 「demo-arg-la-alert-action-group」
• [表示名]: 「demo-argla」(制限は 12 文字)

[次へ: 通知] を選択します。

• [通知の種類] で、[メール/SMS メッセージ/プッシュ/音声] を選択します
• [名前]: 「email-alert-arg-la」
• [電子メール] チェック ボックスをオンにし、メール アドレスを入力します
• [OK] を選択します。

[確認および作成] を選択し、概要が正しいことを確認して、[作成] を選択します。 [アラート ルールの作成] ページの [アクション] タブに戻ります。 [アクション グループ名] には、作成したアクション グループが表示されます。

[Next: Details](次へ: 詳細) を選択します。

詳細

[詳細] タブで次の情報を使用します。

• [サブスクリプション]: Azure サブスクリプションを選択します
• [リソース グループ]: 「demo-arg-alert-rg」
• [重大度]: 既定値 [2 - 警告] をそのまま使用します
• [アラート ルール名]: 「demo-arg-la-alert-rule」
• [アラート ルールの説明]: 「Azure 仮想マシンの ARG-LA クエリに関する電子メール アラート」
• [ID]: [システム割り当てマネージド ID] を選択します

[確認および作成] を選択し、概要が正しいことを確認して、[作成] を選択します。 [Log Analytics ワークスペース] の [ログ] ページに戻ります。

アクション グループに追加されたことを確認する電子メール通知が届きます。

ロールを割り当てる

[Log Analytics 閲覧者] をシステム割り当てマネージド ID に割り当て、電子メール通知を送信するアラートを発行するアクセス許可を付与します。

1. Log Analytics ワークスペースで [監視]>[アラート] の順に選択します。

   [保存されていない編集は破棄されます] メッセージが表示されたら、[OK] を選択します。

2. [アラート ルール] を選択します

3. [demo-arg-la-alert-rule] を選択します

4. [設定]>[ID]>[システム割り当て] の順に選択します

   • [状態]: オン
   • [オブジェクト ID]: エンタープライズ アプリケーション (サービス プリンシパル) の GUID を Microsoft Entra ID で表示します。
   • [アクセス許可]: [Azure でのロールの割り当て] を選択します
     • 正しいサブスクリプションが選択されていることを確認します。
     • [ロールの割り当ての追加] を選択します
     • [スコープ]: [サブスクリプション]
     • [サブスクリプション]: お使いの Azure サブスクリプション名
     • [役割]: [Log Analytics 閲覧者]

5. [保存] を選択します。

[Log Analytics 閲覧者] が [Azure でのロールの割り当て] ページに表示されるのには数分かかります。 [最新の情報に更新] を選択して、ページを更新します。

ブラウザーの [戻る] ボタンを使用して [ID] に戻り、[概要] を選択してアラート ルールに戻ります。 [demo-arg-alert-rg] という名前のリソース グループへのリンクを選択します。

アラートを確認します

Azure Resource Graph

役割がアラート ルールに割り当てられると、アラート メッセージの電子メールの受信が始まります。 5 分おきにアラートを送信するルールが作成されたため、最初のアラートを取得するまでには数分かかります。

また、Azure portal でアラートを表示することもできます。

1. リソース グループ [demo-arg-alert-rg] に移動します。

2. リソースの一覧で [demo-arg-alert-workspace] を選択します。

3. [監視]>[アラート] の順に選択します。

4. アラートの一覧が表示されます。

   

Azure Resource Graph と Log Analytics

役割がアラート ルールに割り当てられると、アラート メッセージの電子メールの受信が始まります。 5 分おきにアラートを送信するルールが作成されたため、最初のアラートを取得するまでには数分かかります。

また、Azure portal でアラートを表示することもできます。

1. リソース グループ [demo-arg-alert-rg] に移動します。

2. 仮想マシンを選択します。

3. [監視]>[アラート] の順に選択します。

4. アラートの一覧が表示されます。

   

Note

ログ情報がアラートの作成に使用できるようになるまで、30 分かかる場合があります。

問題をどのように解決したか。

Azure リソースを監視するために Azure Resource Graph クエリと Log Analytics ワークスペースを作成しました。 また、アラートを設定してイベントを通知し、システム割り当てマネージド ID に役割を割り当てました。 アラートが作成された後、アラート ルールの条件に基づいて電子メール アラートを受信しました。

リソースをクリーンアップする

アラートの構成を維持しながら、アラートの発生と電子メール通知の送信を停止する場合、アラート ルールを無効にすることができます。 アラート ルール [demo-arg-alert-rule] または [demo-arg-la-alert-rule] に移動し、[無効化] を選択します。

このアラートやこの例で作成したリソースが不要な場合は、次の手順でリソース グループを削除します。

1. リソース グループ [demo-arg-alert-rg] に移動します。
2. [リソース グループの削除] を選択します。
3. 確認するリソース グループ名を入力します。
4. 削除を選択します。

関連するコンテンツ

クエリ言語、またはリソースを調べる方法の詳細については、次の記事を参照してください。

• Azure Resource Graph クエリ言語の概要
• Resource Graph を使用してご利用の Azure リソースを探索する
• Azure Monitor の Log Analytics の概要
• 「Azure Resource Graph アラートのトラブルシューティング」