Azure Monitor エージェントのネットワーク設定を定義する

Azure Monitor エージェントでは、直接プロキシ、Log Analytics ゲートウェイ、プライベート リンクを使用して接続をサポートしています。 この記事では、ネットワーク設定を定義して、Azure Monitor エージェントのネットワークの分離を有効にする方法について説明します。

仮想ネットワーク サービス タグ

Azure Monitor エージェントでは、Azure 仮想ネットワーク サービス タグがサポートされています。 AzureMonitor と AzureResourceManager の両方のタグが必要です。

Azure 仮想ネットワークのサービス タグを使用して、ネットワーク セキュリティ グループ、Azure Firewall、ユーザー定義ルートでネットワーク アクセスの制御を定義できます。 セキュリティ規則とルートを作成するときに、特定の IP アドレスの代わりにサービス タグを使用します。 Azure 仮想ネットワークのサービス タグを使用できないシナリオについて、ファイアウォールの要件を以下に示します。

ファイアウォールの要件

クラウド	エンドポイント	目的	Port	Direction	バイパス HTTPS 検査	例
Azure Commercial	global.handler.control.monitor.azure.com	[アクセス制御サービス]	ポート 443	送信	はい	-
Azure Commercial	<virtual-machine-region-name>.handler.control.monitor.azure.com	特定のマシンのデータ収集ルールをフェッチする	ポート 443	送信	はい	westus2.handler.control.monitor.azure.com
Azure Commercial	<log-analytics-workspace-id>.ods.opinsights.azure.com	ログ データの取り込み	ポート 443	送信	はい	1234a123-aa1a-123a-aaa1-a1a345aa6789.ods.opinsights.azure.com
Azure Commercial	management.azure.com	Azure Monitor のカスタム メトリック データベースに時系列データ (メトリック) を送信する場合にのみ必要です	ポート 443	送信	はい	-
Azure Commercial	<virtual-machine-region-name>.monitoring.azure.com	Azure Monitor のカスタム メトリック データベースに時系列データ (メトリック) を送信する場合にのみ必要です	ポート 443	送信	はい	westus2.monitoring.azure.com
Azure Commercial	<data-collection-endpoint>.<virtual-machine-region-name>.ingest.monitor.azure.com	Log Analytics カスタム ログ テーブルにデータを送信する場合にのみ必要です	ポート 443	送信	はい	275test-01li.eastus2euap-1.canary.ingest.monitor.azure.com
Azure Government	上記の '.com' を '.us' に置き換えます	同上	同上	同上	同上
21Vianet が運用する Microsoft Azure	上記の '.com' を '.cn' に置き換えます	同上	同上	同上	同上

注意

エージェントでプライベート リンクを使用する場合は、プライベート データ収集エンドポイント (DCE)のみを追加する必要があります。 エージェントでは、プライベート リンクまたはデータ収集エンドポイントを使用する場合、上記の非プライベート エンドポイントを使用しません。 Azure Monitor メトリック (カスタム メトリック) プレビューは、Azure Government と 21Vianet によって運営される Microsoft Azure クラウドでは使用できません。

[プロキシ構成]

インターネット経由で通信するためにマシンがプロキシ サーバーを介して接続されている場合は、次の要件を確認して必要とされるネットワーク構成を把握してください。

Windows と Linux 用の Azure Monitor エージェント拡張機能では、HTTPS プロトコルを使用することで、プロキシ サーバーまたは Log Analytics ゲートウェイのいずれかを経由して、Azure Monitor と通信できます。 Azure 仮想マシン、Azure 仮想マシン スケール セット、Azure Arc for servers に使用します。 次の手順で説明されているとおりに、その拡張機能の設定を構成に使用します。 匿名認証と、ユーザー名とパスワードを使用する基本認証の両方がサポートされています。

重要

プロキシの構成は、宛先としては Azure Monitor メトリック (パブリック プレビュー) ではサポートされていません。 この宛先にメトリックを送信する場合は、プロキシなしでパブリック インターネットが使用されます。

1. このフローチャートを使用して、Settings および ProtectedSettings パラメーターの値を最初に決定します。

   

   Note

   http_proxy や https_proxy などの環境変数を使用した Linux システム プロキシの設定は、Azure Monitor Agent for Linux バージョン 1.24.2 以降の使用でのみサポートされます。 ARM テンプレートの場合、プロキシ構成がある場合は、次の ARM テンプレートの例に従って、ARM テンプレート内でプロキシ設定を宣言してください。 さらに、ユーザーは 、/etc/systemd/system.conf の DefaultEnvironment 変数を使用して、すべての systemd サービスによって取得される 「グローバル」環境変数を設定できます。

2. Settings および ProtectedSettings パラメーターの値を決定した後、Azure Monitor エージェントをデプロイするときに、これらの他のパラメーターを指定します。 次の例に示すように、PowerShell コマンドを使用します。

Windows VM

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "true"}}';
$protectedSettingsString = '{"proxy":{"username":"[username]","password": "[password]"}}';
Set-AzVMExtension -ExtensionName AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location> -TypeHandlerVersion <type-handler-version> -SettingString $settingsString -ProtectedSettingString $protectedSettingsString

Linux VM

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "true"}}';
$protectedSettingsString = '{"proxy":{"username":"[username]","password": "[password]"}}';
Set-AzVMExtension -ExtensionName AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location> -TypeHandlerVersion <type-handler-version> -SettingString $settingsString -ProtectedSettingString $protectedSettingsString

Windows Arc 対応サーバー

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "true"}}
$protectedSettings = @{"proxy" = @{username = "[username]"; password = "[password]"}}

New-AzConnectedMachineExtension -Name AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings -ProtectedSetting $protectedSettings

Linux Arc 対応サーバー

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "true"}}
$protectedSettings = @{"proxy" = @{username = "[username]"; password = "[password]"}}

New-AzConnectedMachineExtension -Name AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings -ProtectedSetting $protectedSettings

ARM ポリシー テンプレートの例

{
  "properties": {
    "displayName": "Configure Windows Arc-enabled machines to run Azure Monitor Agent",
    "policyType": "BuiltIn",
    "mode": "Indexed",
    "description": "Automate the deployment of Azure Monitor Agent extension on your Windows Arc-enabled machines for collecting telemetry data from the guest OS. This policy will install the extension if the OS and region are supported and system-assigned managed identity is enabled, and skip install otherwise. Learn more: https://aka.ms/AMAOverview.",
    "metadata": {
      "version": "2.3.0",
      "category": "Monitoring"
    },
    "parameters": {
      "effect": {
        "type": "String",
        "metadata": {
          "displayName": "Effect",
          "description": "Enable or disable the execution of the policy."
        },
        "allowedValues": [
          "DeployIfNotExists",
          "Disabled"
        ],
        "defaultValue": "DeployIfNotExists"
      }
    },
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "type",
            "equals": "Microsoft.HybridCompute/machines"
          },
          {
            "field": "Microsoft.HybridCompute/machines/osName",
            "equals": "Windows"
          },
          {
            "field": "location",
            "in": [
              "australiacentral",
              "australiaeast",
              "australiasoutheast",
              "brazilsouth",
              "canadacentral",
              "canadaeast",
              "centralindia",
              "centralus",
              "eastasia",
              "eastus",
              "eastus2",
              "eastus2euap",
              "francecentral",
              "germanywestcentral",
              "japaneast",
              "japanwest",
              "jioindiawest",
              "koreacentral",
              "koreasouth",
              "northcentralus",
              "northeurope",
              "norwayeast",
              "southafricanorth",
              "southcentralus",
              "southeastasia",
              "southindia",
              "swedencentral",
              "switzerlandnorth",
              "uaenorth",
              "uksouth",
              "ukwest",
              "westcentralus",
              "westeurope",
              "westindia",
              "westus",
              "westus2",
              "westus3"
            ]
          }
        ]
      },
      "then": {
        "effect": "[parameters('effect')]",
        "details": {
          "type": "Microsoft.HybridCompute/machines/extensions",
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/cd570a14-e51a-42ad-bac8-bafd67325302"
          ],
          "existenceCondition": {
            "allOf": [
              {
                "field": "Microsoft.HybridCompute/machines/extensions/type",
                "equals": "AzureMonitorWindowsAgent"
              },
              {
                "field": "Microsoft.HybridCompute/machines/extensions/publisher",
                "equals": "Microsoft.Azure.Monitor"
              },
              {
                "field": "Microsoft.HybridCompute/machines/extensions/provisioningState",
                "equals": "Succeeded"
              }
            ]
          },
          "deployment": {
            "properties": {
              "mode": "incremental",
              "template": {
                "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
                "contentVersion": "1.0.0.0",
                "parameters": {
                  "vmName": {
                    "type": "string"
                  },
                  "location": {
                    "type": "string"
                  }
                },
                "variables": {
                  "extensionName": "AzureMonitorWindowsAgent",
                  "extensionPublisher": "Microsoft.Azure.Monitor",
                  "extensionType": "AzureMonitorWindowsAgent"
                },
                "resources": [
                  {
                    "name": "[concat(parameters('vmName'), '/', variables('extensionName'))]",
                    "type": "Microsoft.HybridCompute/machines/extensions",
                    "location": "[parameters('location')]",
                    "apiVersion": "2021-05-20",
                    "properties": {
                      "publisher": "[variables('extensionPublisher')]",
                      "type": "[variables('extensionType')]",
                      "autoUpgradeMinorVersion": true,
                      "enableAutomaticUpgrade": true,
                      "settings": {
                      "proxy": {
                        "auth": "false",
                        "mode": "application",
                        "address": "http://XXX.XXX.XXX.XXX"
                        }
                      },
					            "protectedsettings": { }
                    }
                  }
                ]
              },
              "parameters": {
                "vmName": {
                  "value": "[field('name')]"
                },
                "location": {
                  "value": "[field('location')]"
                }
              }
            }
          }
        }
      }
    }
  },
  "id": "/providers/Microsoft.Authorization/policyDefinitions/94f686d6-9a24-4e19-91f1-de937dc171a4",
  "type": "Microsoft.Authorization/policyDefinitions",
  "name": "94f686d6-9a24-4e19-91f1-de937dc171a4"
}

Log Analytics ゲートウェイ構成

1. 前の指示に従って、エージェントでプロキシ設定を構成し、ゲートウェイ サーバーに対応する IP アドレスとポート番号を指定します。 ロード バランサーの背後に複数のゲートウェイ サーバーをデプロイしている場合、エージェントのプロキシ構成は、ロード バランサーの仮想 IP アドレスとなります。
2. ゲートウェイの許可リストにデータ収集ルールをフェッチするための構成エンドポイント URL を追加しますAdd-OMSGatewayAllowedHost -Host global.handler.control.monitor.azure.comAdd-OMSGatewayAllowedHost -Host <gateway-server-region-name>.handler.control.monitor.azure.com。 (エージェントでプライベート リンクを使用している場合は、データ収集エンドポイントも追加する必要があります)。
3. ゲートウェイの許可リストにデータ インジェスト エンドポイント URL を追加しますAdd-OMSGatewayAllowedHost -Host <log-analytics-workspace-id>.ods.opinsights.azure.com。
4. OMS ゲートウェイ サービスを再起動して、Stop-Service -Name <gateway-name> および Start-Service -Name <gateway-name> の変更を適用します。

次のステップ

• エンドポイントをマシンに関連付ける
• Private Link を使用して Azure Monitor エージェントのネットワークの分離を有効にする。