Logic Apps を使用した Log Analytics ワークスペースからストレージアカウントへのデータのエクスポート

[アーティクル]
07/02/2023

この記事では、Azure Logic Apps を使用して Azure Monitor の Log Analytics ワークスペースにあるデータを照会し、Azure Storage に送信する方法について説明します。このプロセスは、監査とコンプライアンスのシナリオに合わせて Azure Monitor のログデータをエクスポートする必要がある場合や、別のサービスでこのデータを取得できるようにする場合に使用します。

その他のエクスポート方法

この記事で説明する方法は、ロジックアプリを使用したログクエリからのスケジュールされたエクスポートについて説明したものです。特定のシナリオでデータをエクスポートするその他のオプションには、次のようなものがあります。

Log Analytics ワークスペースのデータをストレージアカウントまたは Azure Event Hubs にエクスポートするには、Azure Monitor ログの Log Analytics ワークスペースデータエクスポート機能を使用します。「Azure Monitor の Log Analytics ワークスペースデータエクスポート」を参照してください。
ロジックアプリを使用したワンタイムエクスポート。「Logic Apps 用の Azure Monitor Logs コネクタ」を参照してください。
PowerShell スクリプトを使用したローカルコンピューターへのワンタイムエクスポート。「Invoke-AzOperationalInsightsQueryExport」を参照してください。

概要

この手順では、Azure Monitor Logs コネクタを使用します。これにより、ロジックアプリからログクエリを実行し、その出力をワークフロー内の他のアクションで使用できるようになります。この手順では、Azure Blob Storage コネクタを使用して、クエリ出力をストレージに送信します。

Log Analytics ワークスペースからデータをエクスポートするときは、Logic Apps ワークフローによって処理されるデータの量を制限します。クエリでログデータをフィルター処理して集計し、必要なデータを減らします。たとえば、サインインイベントをエクスポートする必要がある場合は、必要なイベントをフィルター処理し、必要なフィールドのみを反映します。次に例を示します。

SecurityEvent
| where EventID == 4624 or EventID == 4625
| project TimeGenerated , Account , AccountType , Computer

スケジュールに基づいてデータをエクスポートする場合は、クエリで ingestion_time() 関数を使用して、遅れて到着するデータを見逃さないようにします。ネットワークまたはプラットフォームの問題のためにデータが遅れた場合は、インジェスト時刻を使用すると、そのデータが次の Logic Apps の実行に確実に含まれるようになります。例については、「Logic Apps の手順」セクションの「Azure Monitor Logs アクションの追加」の手順を参照してください。

前提条件

この手順を開始する前に、次の前提条件を満たしておく必要があります。

Log Analytics ワークスペース: ロジックアプリを作成するユーザーには、少なくともワークスペースに対する読み取りアクセス許可が必要です。
ストレージアカウント: ストレージアカウントは、Log Analytics ワークスペースと同じサブスクリプションに含まれている必要はありません。ロジックアプリを作成するユーザーには、ストレージアカウントに対する書き込みアクセス許可が必要です。

コネクタの制限

Azure Monitor の Log Analytics ワークスペースとログクエリは、お客様を保護および分離し、サービスの品質を維持するための制限を含む、マルチテナントのサービスです。大量のデータを照会する場合は、次の制限事項を考慮します。これは、Logic Apps の繰り返しとログクエリの構成方法に影響する可能性があります。

ログクエリで 500,000 より多い行を返すことはできません。
ログクエリで 64,000,000 より多いバイト数を返すことはできません。
ログクエリの実行時間は 10 分を超えることはできません。
Log Analytics コネクタは、1 分あたり呼び出し 100 回に制限されます。

Logic Apps の手順

以下のセクションでは、手順について説明します。

ストレージアカウントにコンテナーを作成する

「コンテナーを作成する」の手順に従って、エクスポートされたデータを格納するためのコンテナーをストレージアカウントに追加します。この記事で使用するコンテナーの名前は loganalytics-data ですが、任意の名前を使用できます。

ロジックアプリワークフローを作成する

Azure portal で [Logic Apps] に移動し、[追加] を選びます。新しいロジックアプリを格納するサブスクリプション、リソースグループ、リージョンを選択します。次に、一意の名前を付けます。 [Log Analytics] の設定を有効にすると、「Azure Monitor ログを設定し、Azure Logic Apps の診断データを収集する」で説明されているように、ランタイムデータおよびイベントに関する情報を収集できます。この設定は、Azure Monitor Logs コネクタを使用する場合には不要です。
[確認および作成] を選択し、次に [作成] を選択します。デプロイが完了したら、[リソースに移動] を選んで、[Logic Apps デザイナー] を開きます。

ワークフローのトリガーを作成する

[一般的なトリガーで開始する] の下で、 [繰り返し] を選択します。この設定により、一定の間隔で自動的に実行されるロジックアプリワークフローが作成されます。アクションの [頻度] ボックスで、[日] を選択します。 [間隔] ボックスに、ワークフローを 1 日 1 回実行するために「1」を入力します。

Azure Monitor Logs アクションを追加する

Azure Monitor Logs アクションを使用すると、実行するクエリを指定できます。この例で使用されているログクエリは、1 時間ごとの繰り返しに最適化されています。特定の実行時間に対して取り込まれたデータが収集されます。たとえば、ワークフローが 4:35 に実行される場合、時間の範囲は 3:00 から 4:00 までになります。ロジックアプリを別の頻度で実行するように変更する場合は、クエリも変更する必要があります。たとえば、繰り返しが日時で実行するように設定する場合は、クエリの startTime を startofday(make_datetime(year,month,day,0,0)) に設定します。

ワークフローでのクエリの実行に使用するアカウントで Log Analytics ワークスペースへのアクセス権を付与するテナントを選択するように求められます。

[+ 新しいステップ] を選び、繰り返しアクションの後に実行するアクションを追加します。 [アクションの選択] で、「azure monitor」と入力します。次に、[Azure Monitor Logs] を選択します。
[Azure Log Analytics – クエリの実行と結果の一覧表示] を選択します。
Log Analytics ワークスペースのサブスクリプションとリソースグループを選択します。 [リソースの種類] で [Log Analytics ワークスペース] を選択します。次に、[リソース名] でワークスペース名を選択します。

[クエリ] ウィンドウに次のログクエリを追加します。

let dt = now();
let year = datetime_part('year', dt);
let month = datetime_part('month', dt);
let day = datetime_part('day', dt);
 let hour = datetime_part('hour', dt);
let startTime = make_datetime(year,month,day,hour,0)-1h;
let endTime = startTime + 1h - 1tick;
AzureActivity
| where ingestion_time() between(startTime .. endTime)
| project 
    TimeGenerated,
    BlobTime = startTime, 
    OperationName ,
    OperationNameValue ,
    Level ,
    ActivityStatus ,
    ResourceGroup ,
    SubscriptionId ,
    Category ,
    EventSubmissionTimestamp ,
    ClientIpAddress = parse_json(HTTPRequest).clientIpAddress ,
    ResourceId = _ResourceId

[時間の範囲] には、TimeGenerated 列に基づいてクエリに含まれるレコードを指定します。この値は、クエリで選択した時間範囲より大きくする必要があります。このクエリには TimeGenerated 列が使用されていないため、[クエリに設定します] オプションは使用できません。時間範囲の詳細については、「クエリスコープ」を参照してください。 [時間の範囲] で [過去 4 時間] を選択します。この設定により、インジェスト時間が TimeGenerated より大きいレコードが結果に含まれるようになります。

JSON の解析アクションを追加する (省略可能)

[クエリの実行と結果の一覧表示] アクションの出力は JSON 形式です。このデータを解析し、[作成] アクションの準備の一環として操作できます。

受け取りたいペイロードを表す JSON スキーマを指定することができます。デザイナーは、このスキーマを使って JSON コンテンツを解析することにより、JSON コンテンツ内の各種プロパティを表すユーザーフレンドリなトークンを生成します。その後、ロジックアプリのワークフローの全体で、それらのプロパティを簡単に参照して使用することができます。

[クエリの実行と結果の一覧表示] ステップのサンプル出力を使用できます。

[Logic Apps] リボンの [トリガーの実行] を選択します。次に、[実行] を選択し、出力レコードをダウンロードして保存します。先ほどのサンプルクエリの場合、次のサンプル出力を使用できます。

{
    "TimeGenerated": "2020-09-29T23:11:02.578Z",
    "BlobTime": "2020-09-29T23:00:00Z",
    "OperationName": "Returns Storage Account SAS Token",
    "OperationNameValue": "MICROSOFT.RESOURCES/DEPLOYMENTS/WRITE",
    "Level": "Informational",
    "ActivityStatus": "Started",
    "ResourceGroup": "monitoring",
    "SubscriptionId": "00000000-0000-0000-0000-000000000000",
    "Category": "Administrative",
    "EventSubmissionTimestamp": "2020-09-29T23:11:02Z",
    "ClientIpAddress": "192.168.1.100",
    "ResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourcegroups/monitoring/providers/microsoft.storage/storageaccounts/my-storage-account"
}

[+ 新しいステップ] を選択し、[+ アクションの追加] を選択します。 [操作を選択してください] の下に「json」と入力し、[JSON の解析] を選択します。
[コンテンツ] ボックスを選択して、前のアクティビティの値の一覧を表示します。 [クエリの実行と結果の一覧表示] アクションの [本文] を選択します。この出力は、ログクエリからのものです。
前に保存したサンプルレコードをコピーします。 [サンプルのペイロードを使用してスキーマを生成する] を選択して貼り付けます。

作成アクションの追加

[作成] アクションは、解析された JSON 出力を受け取り、BLOB に格納する必要があるオブジェクトを作成します。

[+ 新しいステップ] を選択し、[+ アクションの追加] を選択します。 [操作を選択してください] の下に「compose」と入力します。次に、[作成] アクションを選択します。
[入力] ボックスを選択して、前のアクティビティの値の一覧を表示します。 [JSON の解析] アクションの [本文] を選択します。この解析された出力は、ログクエリからのものです。

BLOB の作成アクションの追加

[BLOB の作成] は、構成された JSON をストレージに書き込むアクションです。

[+ 新しいステップ] を選択し、[+ アクションの追加] を選択します。 [操作を選択してください] の下に「blob」と入力します。次に、[BLOB の作成] アクションを選択します。
[接続名] に、ストレージアカウントへの接続の名前を入力します。次に、[フォルダーパス] ボックス内のフォルダーアイコンを選択して、ストレージアカウント内のコンテナーを選択します。 [BLOB 名] を選択して、前のアクティビティの値の一覧を表示します。 [式] を選択し、使用する時間間隔に一致する式を入力します。 1 時間ごとに実行されるこのクエリの場合、次の式によって、直前の 1 時間あたりの BLOB 名を設定します。
```
subtractFromTime(formatDateTime(utcNow(),'yyyy-MM-ddTHH:00:00'), 1,'Hour')
```
[BLOB コンテンツ] ボックスを選択して、前のアクティビティの値の一覧を表示します。次に、[作成] セクションで [出力] を選択します。

ワークフローをテストする

ワークフローをテストするには、[実行] を選択します。ワークフローにエラーがある場合は、問題が発生したステップに示されます。実行内容を表示し、エラーを調査するために各ステップにドリルインして入力と出力を表示することができます。「Azure Logic Apps でワークフローの問題のトラブルシューティングと診断を行う」を参照してください。

ストレージ内のログを表示する

Azure portal の [ストレージアカウント] メニューに移動し、ストレージアカウントを選択します。 [BLOB] タイルを選択します。次に、[BLOB の作成] アクションで指定したコンテナーを選択します。 BLOB の 1 つを選択し、次に [BLOB の編集] を選択します。

ロジックアプリテンプレート

オプションである JSON の解析ステップはテンプレートに含まれていません

{
    "definition": {
        "$schema": "https://schema.management.azure.com/providers/Microsoft.Logic/schemas/2016-06-01/workflowdefinition.json#",
        "actions": {
            "Compose": {
                "inputs": "@body('Run_query_and_list_results')",
                "runAfter": {
                    "Run_query_and_list_results": [
                        "Succeeded"
                    ]
                },
                "type": "Compose"
            },
            "Create_blob_(V2)": {
                "inputs": {
                    "body": "@outputs('Compose')",
                    "headers": {
                        "ReadFileMetadataFromServer": true
                    },
                    "host": {
                        "connection": {
                            "name": "@parameters('$connections')['azureblob']['connectionId']"
                        }
                    },
                    "method": "post",
                    "path": "/v2/datasets/@{encodeURIComponent(encodeURIComponent('AccountNameFromSettings'))}/files",
                    "queries": {
                        "folderPath": "/logicappexport",
                        "name": "@{utcNow()}",
                        "queryParametersSingleEncoded": true
                    }
                },
                "runAfter": {
                    "Compose": [
                        "Succeeded"
                    ]
                },
                "runtimeConfiguration": {
                    "contentTransfer": {
                        "transferMode": "Chunked"
                    }
                },
                "type": "ApiConnection"
            },
            "Run_query_and_list_results": {
                "inputs": {
                    "body": "let dt = now();\nlet year = datetime_part('year', dt);\nlet month = datetime_part('month', dt);\nlet day = datetime_part('day', dt);\n let hour = datetime_part('hour', dt);\nlet startTime = make_datetime(year,month,day,hour,0)-1h;\nlet endTime = startTime + 1h - 1tick;\nAzureActivity\n| where ingestion_time() between(startTime .. endTime)\n| project \n    TimeGenerated,\n    BlobTime = startTime, \n    OperationName ,\n    OperationNameValue ,\n    Level ,\n    ActivityStatus ,\n    ResourceGroup ,\n    SubscriptionId ,\n    Category ,\n    EventSubmissionTimestamp ,\n    ClientIpAddress = parse_json(HTTPRequest).clientIpAddress ,\n    ResourceId = _ResourceId ",
                    "host": {
                        "connection": {
                            "name": "@parameters('$connections')['azuremonitorlogs']['connectionId']"
                        }
                    },
                    "method": "post",
                    "path": "/queryData",
                    "queries": {
                        "resourcegroups": "resource-group-name",
                        "resourcename": "workspace-name",
                        "resourcetype": "Log Analytics Workspace",
                        "subscriptions": "workspace-subscription-id",
                        "timerange": "Set in query"
                    }
                },
                "runAfter": {},
                "type": "ApiConnection"
            }
        },
        "contentVersion": "1.0.0.0",
        "outputs": {},
        "parameters": {
            "$connections": {
                "defaultValue": {},
                "type": "Object"
            }
        },
        "triggers": {
            "Recurrence": {
                "evaluatedRecurrence": {
                    "frequency": "Day",
                    "interval": 1
                },
                "recurrence": {
                    "frequency": "Day",
                    "interval": 1
                },
                "type": "Recurrence"
            }
        }
    },
    "parameters": {
        "$connections": {
            "value": {
                "azureblob": {
                    "connectionId": "/subscriptions/logic-app-subscription-id/resourceGroups/logic-app-resource-group-name/providers/Microsoft.Web/connections/blob-connection-name",
                    "connectionName": "blob-connection-name",
                    "id": "/subscriptions/logic-app-subscription-id/providers/Microsoft.Web/locations/canadacentral/managedApis/azureblob"
                },
                "azuremonitorlogs": {
                    "connectionId": "/subscriptions/blob-connection-name/resourceGroups/logic-app-resource-group-name/providers/Microsoft.Web/connections/azure-monitor-logs-connection-name",
                    "connectionName": "azure-monitor-logs-connection-name",
                    "id": "/subscriptions/blob-connection-name/providers/Microsoft.Web/locations/canadacentral/managedApis/azuremonitorlogs"
                }
            }
        }
    }
}

次のステップ

Azure Monitor のログクエリについての詳細を見る。
Logic Apps の詳細を見る
Power Automate についての詳細を見る。

Logic Apps を使用した Log Analytics ワークスペースからストレージ アカウントへのデータのエクスポート