Azureで Docker を使用して自動ログアップロードを構成する

この記事では、Azureで Ubuntu または CentOS 上の Docker を使用して、Defender for Cloud Appsの継続的なレポートの自動ログアップロードを構成する方法について説明します。

前提条件

開始する前に、環境が次の要件を満たしていることを確認してください。

要件	説明
OS	以下のいずれか: - Ubuntu 14.04、16.04、18.04、および 20.04 - CentOS 7.2 以上
ディスク領域	250GB
CPU コア	2
CPU アーキテクチャ	Intel 64 と AMD 64
RAM	4GB
ファイアウォール構成	ネットワーク要件で定義されているとおり
ルートアクセス	Docker展開にはログコレクタマシンへのrootアクセスが必要です

性能に基づいてログコレクターを計画する

各ログコレクターは、最大 10 個のデータソースで構成される 1 時間あたり最大 50 GB のログ容量を正常に処理できます。ログ収集プロセスの主なボトルネックは次のとおりです。

ネットワーク帯域幅 - ネットワーク帯域幅によって、ログのアップロード速度が決まります。
仮想マシンの I/O パフォーマンス - ログコレクターのディスクにログを書き込む速度を決定します。ログコレクターには、ログが到着したレートを監視し、アップロード率と比較する安全メカニズムが組み込まれています。輻輳が発生した場合、ログコレクターはログファイルの削除を開始します。通常、セットアップが 1 時間あたり 50 GB を超える場合は、複数のログコレクター間でトラフィックを分割することをお勧めします。

10 を超えるデータソースが必要な場合は、複数のログコレクター間でデータソースを分割することをお勧めします。

データソースを定義する

データソースを定義するために、以下の手順を実行してください:

Microsoft Defender ポータルで、[Cloud Apps > Cloud Discovery >設定] > [自動ログアップロード] を選択します。
[ データソース ] タブで、ログをアップロードするファイアウォールまたはプロキシごとに一致するデータソースを作成します。
1. [ データソースの追加] を選択します。
2. [ データソースの追加 ] ダイアログで、データソースの名前を入力し、ソースとレシーバーの種類を選択します。
  
  ソースを選択する前に、[ 必要なログファイルのサンプルを表示する ] を選択し、ログと予想される形式を比較します。ログファイルの形式がこのサンプルと一致しない場合は、データソースを Other として追加します。
  
  一覧にないネットワークアプライアンスを操作するには、[その他] > [顧客のログ形式] または [その他 ] (手動のみ) を選択します。詳細については、「カスタムログパーサーの操作」を参照してください。
注:

セキュリティで保護された転送プロトコル (FTPS と Syslog – TLS) との統合には、多くの場合、ファイアウォール/プロキシに追加の設定が必要です。詳細については、「高度なログコレクター管理」を参照してください。

ネットワーク上のトラフィックを検出するためにログを使用できるファイアウォールとプロキシごとに、これらのデータソース作成手順を繰り返します。

ネットワークデバイスごとに専用のデータソースを設定し、調査目的で各デバイスの状態を個別に監視できるようにし、各デバイスが異なるユーザーセグメントで使用されている場合は、デバイスごとのシャドウ IT 検出を調べるために使用することをお勧めします。

ログコレクターを作成する

ログコレクタを作成するには以下の手順を踏みます:

Microsoft Defender ポータルで、[Cloud Apps > Cloud Discovery >設定] > [自動ログアップロード] を選択します。
[ ログコレクター ] タブで、[ ログコレクターの追加] を選択します。
[ ログコレクターの作成 ] ダイアログで、次の詳細を入力します。
- ログコレクターの名前
- ホスト IP アドレス。これは、Docker のデプロイに使用するマシンのプライベート IP アドレスです。ホスト IP アドレスは、ホスト名を解決する DNS サーバーまたは同等のサーバーがある場合は、マシン名に置き換えることもできます。
次に、[ データソース ] ボックスを選択してコレクターに接続するデータソースを選択し、[ 更新 ] を選択して変更を保存します。各ログコレクターは、複数のデータソースを処理できます。

[ ログコレクターの作成 ] ダイアログには、コレクター構成をインポートするコマンドなど、デプロイの詳細が表示されます。以下に例を示します。
「コピーアイコンの横にコピーしてクリップボードにコピーしてください。

ログ コレクター作成 ダイアログに表示される詳細は、各データソース作成時に選択したソースタイプや受信機タイプによって異なります。たとえば、Syslog を選択した場合、syslog リスナーがリッスンしているポートの詳細がダイアログに表示されます。

Defender for Cloud Appsと通信するようにログコレクターを構成するときに必要になるので、画面の内容をコピーしてローカルに保存します。
[ エクスポート] を選択して、アプライアンスでログエクスポートを構成する方法を説明する .CSV ファイルにソース構成をエクスポートします。

ヒント

FTP 経由でログデータを初めて送信するユーザーの場合は、FTP ユーザーのパスワードを変更することをお勧めします。詳細については、「 FTP パスワードの変更」を参照してください。

コンピューターを Azure にデプロイする

この手順は、Ubuntuでログコレクタホストマシンを展開する方法を説明しています。他のプラットフォームのデプロイ手順は若干異なります。 Docker CEはこの手順の後半でDockerインストールステップ中にインストールされます。開始する前に、マシンへのルートアクセス権があることを確認します。

Azure環境に新しい Ubuntu マシンを作成します。

マシンが起動したら、ポートを開きます。

マシンビューで、[ ネットワーク ] に移動し、関連するインターフェイスをダブルクリックして選択します。
[ネットワークセキュリティグループ] に移動し、関連するネットワークセキュリティグループを選択します。
[受信セキュリティ規則] に移動し、[追加] をクリックします。

次の規則を追加します ( 詳細モード)。

Name	宛先ポート範囲	プロトコル	ソース	宛先
caslogcollector_ftp	21	TCP	`Your appliance's IP address's subnet`	任意
caslogcollector_ftp_passive	20000-20099	TCP	`Your appliance's IP address's subnet`	任意
caslogcollector_syslogs_tcp	601-700	TCP	`Your appliance's IP address's subnet`	任意
caslogcollector_syslogs_udp	514-600	UDP	`Your appliance's IP address's subnet`	任意

詳細については、「セキュリティ規則の操作」を参照してください。

コンピューターに戻るし、[接続] をクリックしてコンピューター上のターミナルを開きます。
sudo -iを使用してルート特権に変更します。
ソフトウェアライセンス条項に同意する場合は、環境に適したコマンドを実行して、古いバージョンをアンインストールし、Docker CE をインストールします。
- CentOS
- Ubuntu
1. 古いバージョンの Docker を削除します。 yum erase docker docker-engine docker.io
2. Docker エンジンの前提条件をインストールします。 yum install -y yum-utils
3. Docker リポジトリを追加します。
```
yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo
yum makecache
```
4. Docker エンジンをインストールします。 yum -y install docker-ce
5. Docker を起動する
```
systemctl start docker
systemctl enable docker
```
6. Docker のインストールをテストする: docker run hello-world
1. 古いバージョンの Docker を削除します。 apt-get remove docker docker-engine docker.io
2. Ubuntu 14.04 にインストールする場合は、linux-image-extra パッケージをインストールします。
```
apt-get update -y
apt-get install -y linux-image-extra-$(uname -r) linux-image-extra-virtual
```
3. Docker エンジンの前提条件をインストールします。
```
apt-get update -y
(apt-get install -y apt-transport-https ca-certificates curl software-properties-common && curl -fsSL https://download.docker.com/linux/ubuntu/gpg | apt-key add - )
```
4. apt-key のフィンガープリント UID がdocker@docker.comであることを確認します: apt-key fingerprint | grep uid
5. Docker エンジンをインストールします。
```
add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
apt-get update -y
apt-get install -y docker-ce
```
6. Docker のインストールをテストする: docker run hello-world

ログ コレクタ作成 ダイアログからコピーしたコレクタ設定コマンドを実行してください。以下に例を示します。

(echo db3a7c73eb7e91a0db53566c50bab7ed3a755607d90bb348c875825a7d1b2fce) | docker run --name MyLogCollector -p 21:21 -p 20000-20099:20000-20099 -e "PUBLICIP='192.168.1.1'" -e "PROXY=192.168.10.1:8080" -e "CONSOLE=mod244533.us.portal.cloudappsecurity.com" -e "COLLECTOR=MyLogCollector" --security-opt apparmor:unconfined --cap-add=SYS_ADMIN --restart unless-stopped -a stdin -i mcr.microsoft.com/mcas/logcollector starter

ログコレクターが正常に実行されていることを確認するには、次のコマンドを実行します: docker logs <collector_name>。結果が表示されます: 正常に完了しました。

オンプレミスのネットワークアプライアンス設定を設定する

[ ログコレクターの作成 ] ダイアログの指示に従って、FTP ディレクトリの専用 Syslog ポートにログを定期的にエクスポートするようにネットワークファイアウォールとプロキシを構成します。次の例は、 BlueCoat_HQ という名前のデータソースの宛先パス形式を示しています。ここで、 <machine_name> はログコレクターコンピューターの名前です。

BlueCoat_HQ - Destination path: \<<machine_name>>\BlueCoat_HQ\

Defender for Cloud Appsでのデプロイの確認

ステータスが 「Created」であれば、ログコレクタの接続や解析がまだ進行中かもしれません。 ログコレクターテーブルでコレクターの状態を確認し、状態が「接続済み」に変わっているか確認してください。

以下に例を示します。

ガバナンスログに移動し、ログがポータルに定期的にアップロードされていることを確認することもできます。

または、次のコマンドを使用して、docker コンテナー内からログコレクターの状態をチェックすることもできます。

次のコマンドを使用してコンテナーにログインします。 docker exec -it <Container Name> bash
次のコマンドを使用して、ログコレクターの状態を確認します。 collector_status -p

デプロイ中に問題が発生した場合は、「クラウド検出のトラブルシューティング」を参照してください。

省略可能 - カスタムの連続レポートを作成する

ログがDefender for Cloud Appsにアップロードされていること、およびレポートが生成されていることを確認します。検証後、カスタムレポートを作成します。ユーザーグループに基づいてカスタム検出レポートMicrosoft Entra作成できます。たとえば、マーケティング部門のクラウド使用を確認する場合は、ユーザーグループのインポート機能を使用してマーケティンググループをインポートします。次に、このグループのカスタムレポートを作成します。 IP アドレスタグまたは IP アドレス範囲に基づいてレポートをカスタマイズすることもできます。

Microsoft Defender ポータルで、[設定] を選択します。次に、[ Cloud Apps] を選択します。
[ Cloud Discovery]$クラウド検出$ で、[ 継続的なレポート] を選択します。
[ レポートの作成 ] ボタンをクリックし、フィールドに入力します。
[ フィルター ] では、データソース、インポートされたユーザーグループ、または IP アドレスタグと範囲によってデータをフィルター処理できます。

注:

連続レポートにフィルターを適用する場合、選択内容は除外されずに含まれます。たとえば、特定のユーザーグループにフィルターを適用すると、そのユーザーグループのみがレポートに含まれます。

ログコレクターを削除する

Warning

ログコレクターコンテナーを削除すると、関連付けられているデータソースのすべてのログインジェストが停止します。新しいログコレクターを再デプロイまたは再構成するまで、ログはアップロードされません。

既存のログコレクターがあり、再度デプロイする前に削除する場合、または単に削除する場合は、次のコマンドを実行して、ログコレクターの Docker コンテナーを停止および削除します。

docker stop <collector_name>
docker rm <collector_name>

次の手順

ログコレクターの FTP 構成を変更する

問題が発生した場合は、こちらにお問い合わせください。製品の問題に関するサポートを受ける場合は、サポートチケットを開いてください。

フィードバック

このページはお役に立ちましたか?

Last updated on 2026-07-03