Руководство по миграции от функции отслеживания изменений и инвентаризации с помощью Log Analytics к функции отслеживания изменений и инвентаризации с помощью версии агента мониторинга Azure

Область применения: ✔️ виртуальные машины ✔️ ✔️ Linux под управлением Windows с поддержкой Azure Arc.

В этой статье приводятся рекомендации по переходу от Отслеживание изменений и инвентаризация с помощью версии Log Analytics (LA) к версии агента мониторинга Azure (AMA).

С помощью портал Azure можно выполнить миграцию из Отслеживание изменений и инвентаризации с агентом LA в Отслеживание изменений и инвентаризации с помощью AMA, и выполнить эту миграцию можно двумя способами:

• Перенос одной или нескольких виртуальных машин с Виртуальные машины страницы.
• Перенос нескольких виртуальных машин в решении версии LA в определенной учетной записи службы автоматизации.

Примечание.

Мониторинг целостности файлов (FIM) с помощью Microsoft Defender для конечной точки (MDE) теперь доступен. Выполните инструкции по миграции из:

• FIM с Отслеживание изменений и инвентаризация с помощью AMA.
• FIM с Отслеживание изменений и инвентаризация с помощью MMA.

Подключение к отслеживанию изменений и инвентаризации с помощью агента мониторинга Azure

Отдельная виртуальная машина Azure — портал Azure

Чтобы подключиться к портал Azure, выполните следующие действия.

1. Войдите в портал Azure и выберите виртуальную машину.

2. В разделе "Операции " выберите "Отслеживание изменений".

3. Выберите "Настроить с помощью AMA " и в разделе "Настройка с помощью агента Azure Monitor", укажите рабочую область Log Analytics и выберите "Миграция ", чтобы инициировать развертывание.

   

4. Выберите параметр Switch to CT&I with AMA , чтобы оценить входящие события и журналы в агенте LA и версии AMA.

   

Учетная запись службы автоматизации — портал Azure

1. Войдите в портал Azure и выберите учетную запись службы автоматизации.

2. В разделе "Управление конфигурацией" выберите "Отслеживание изменений", а затем выберите "Настроить" с помощью AMA.

   

3. На странице "Подключение к Отслеживание изменений с помощью мониторинга Azure" можно просмотреть учетную запись службы автоматизации и список компьютеров Azure и Azure Arc, которые в настоящее время находятся в Log Analytics и готовы к подключению к агенту мониторинга Azure Отслеживание изменений и инвентаризации.

   

4. На вкладке "Оценка виртуальных машин" выберите компьютеры и нажмите кнопку "Далее".

5. На вкладке "Назначение рабочей области" назначьте новый идентификатор ресурса рабочей области Log Analytics, в котором должны храниться параметры решения на основе AMA, и нажмите кнопку "Далее".

   

6. На вкладке "Рецензирование " можно просмотреть компьютеры, подключенные и новую рабочую область.

7. Выберите "Миграция ", чтобы инициировать развертывание.

8. После успешной миграции выберите "Переключиться на CT&I" с AMA , чтобы сравнить интерфейс LA и AMA.

   

Одна виртуальная машина Azure Arc — портал Azure

1. Войдите на портал Azure. Найдите и выберите Machines-Azure Arc.

   

2. Выберите конкретный компьютер Arc с включенным Отслеживание изменений версии 1, который необходимо перенести в Отслеживание изменений версии 2.

3. Выберите "Миграция в Отслеживание изменений с помощью AMA" и в разделе "Настройка с помощью агента Azure Monitor", укажите идентификатор ресурса в рабочей области Log Analytics и выберите "Миграция", чтобы инициировать развертывание.

   

4. Выберите "Управление подключением журнала действий", чтобы оценить входящие события и журналы в агенте LA и версии AMA.

Виртуальные машины с поддержкой Arc — скрипт PowerShell

Чтобы подключить виртуальные машины с поддержкой Arc, выполните следующие действия.

Необходимые компоненты

• Убедитесь, что вы установили PowerShell. Рекомендуется использовать последнюю версию PowerShell 7 или более поздней. Выполните действия по установке PowerShell в Windows, Linux и macOS.
• Получение доступа на чтение для указанных ресурсов рабочей области.
• Установите последнюю версию модуля Az PowerShell. Модули Az.Accounts и Az.OperationalInsights необходимы для извлечения сведений о конфигурации агента рабочей области.
• Убедитесь, что у вас есть учетные данные Azure для выполнения Connect-AzAccount и Select-AzContext настройки контекста скрипта. Выполните следующие действия, чтобы выполнить миграцию с помощью скриптов.

Руководство по миграции

1. Установите скрипт и запустите его для выполнения миграций. Сценарий выполняет следующее:

   1. Он гарантирует, что новый идентификатор ресурса рабочей области отличается от идентификатора, связанного с Отслеживание изменений и инвентаризация с использованием версии LA.

   2. Он переносит параметры для следующих типов данных:

      • Службы Windows
      • Файлы Linux
      • Файлы Windows
      • реестр Windows;
      • Управляющие программы Linux

   3. Скрипт состоит из следующих параметров , для которых требуется входные данные.

   Параметр	Обязательный	Description
   InputWorkspaceResourceId	Да	Идентификатор ресурса рабочей области, связанной с Отслеживание изменений и инвентаризацией с Log Analytics.
   OutputWorkspaceResourceId	Да	Идентификатор ресурса рабочей области, связанной с Отслеживание изменений и инвентаризацией с агентом мониторинга Azure.
   OutputDCRName	Да	Настраиваемое имя созданного DCR.
   OutputDCRLocation	Да	Расположение выходной рабочей области Azure.
   OutputDCRTemplateFolderPath	Да	Путь к папке, в которой создаются шаблоны DCR.

2. Шаблон DCR создается при запуске приведенного выше скрипта, а шаблон доступен в OutputDCRTemplateFolderPath. Необходимо связать новый DCR для передачи параметров в Отслеживание изменений и инвентаризация с помощью AMA.

   1. Войдите в портал Azure и перейдите в раздел "Мониторинг" и в разделе "Параметры" выберите "Правила сбора данных".
   2. Выберите правило сбора данных, созданное на шаге 1, на странице описания.
   3. На странице правила сбора данных в разделе "Конфигурации" выберите "Ресурсы" и нажмите кнопку "Добавить".
   4. В области выбора области из типов ресурсов выберите Machine-Azure Arc, подключенный к подписке, а затем нажмите кнопку "Применить", чтобы связать ctdcr, созданный на шаге 1, с компьютером с поддержкой Arc, и он также установит расширение агента мониторинга Azure. Дополнительные сведения см. в разделе "Включение Отслеживание изменений и инвентаризация" для виртуальных машин с поддержкой Arc с помощью портала или интерфейса командной строки.

   Установите расширение Отслеживание изменений по типу ОС для виртуальной машины с поддержкой Arc.

   Linux

   az connectedmachine extension create  --name ChangeTracking-Linux  --publisher Microsoft.Azure.ChangeTrackingAndInventory --type-handler-version 2.20  --type ChangeTracking-Linux  --machine-name XYZ --resource-group XYZ-RG  --location X --enable-auto-upgrade
   

   Windows

   az connectedmachine extension create  --name ChangeTracking-Windows  --publisher Microsoft.Azure.ChangeTrackingAndInventory --type-handler-version 2.20  --type ChangeTracking-Windows  --machine-name XYZ --resource-group XYZ-RG  --location X --enable-auto-upgrade
   

   Если схема таблицы журналов CT не существует, сценарий, упомянутый на шаге 1, завершится сбоем. Чтобы устранить неполадки, выполните следующий сценарий:

   
   $psWorkspace = Get-AzOperationalInsightsWorkspace -ResourceGroupName $resourceGroup -Name $laws
     # Enabling CT solution on LA ws
     New-AzMonitorLogAnalyticsSolution -Type ChangeTracking -ResourceGroupName $resourceGroup -Location $psWorkspace.Location -WorkspaceResourceId $psWorkspace.ResourceId
   

Сравнение данных между агентом Log Analytics и версией агента мониторинга Azure

После завершения подключения к отслеживанию изменений с помощью версии AMA выберите "Переключиться на CT" с AMA на целевой странице, чтобы переключиться между двумя версиями и сравнить следующие события.

Например, если подключение к версии службы AMA происходит после 3 ноября в 6:00 утра. Вы можете сравнить данные, сохраняя согласованные фильтры в таких параметрах, как "Типы изменений", "Диапазон времени". Входящие журналы можно сравнить в разделе "Изменения" и в графическом разделе, чтобы обеспечить согласованность данных.

Примечание.

После подключения к версии AMA необходимо сравнить входящие данные и журналы.

Получение идентификатора ресурса рабочей области Log Analytics

Чтобы получить идентификатор ресурса рабочей области Log Analytics, выполните следующие действия.

1. Войдите на портал Azure.

2. В рабочей области Log Analytics выберите конкретную рабочую область и выберите json View.

3. Скопируйте идентификатор ресурса.

   

Ограничения

Используя портал Azure

Для одной виртуальной машины и учетной записи службы автоматизации

1. 100 виртуальных машин на учетную запись службы автоматизации можно перенести в одном экземпляре.
2. Любая виртуальная машина с > 100 параметрами файла или реестра для миграции с помощью портала сейчас не поддерживается.
3. Миграция виртуальных машин Arc не поддерживается на портале, рекомендуется использовать миграцию скриптов PowerShell.
4. Для параметров на основе содержимого файлов необходимо вручную перенести версию LA в версию AMA Отслеживание изменений и инвентаризации. Следуйте инструкциям, приведенным в разделе "Отслеживание содержимого файла".
5. Оповещения, настроенные с помощью рабочей области Log Analytics, должны быть настроены вручную.

Использование скрипта PowerShell

1. Для параметров на основе содержимого файлов необходимо перенести вручную из la версии в версию AMA Отслеживание изменений и инвентаризации. Следуйте инструкциям, приведенным в разделе "Отслеживание содержимого файла".
2. Любая виртуальная машина с > 100 параметрами файла или реестра для миграции через портал Azure не поддерживается.
3. Оповещения, настроенные с помощью рабочей области Log Analytics, должны быть настроены вручную.

Отключение отслеживания изменений с помощью агента Log Analytics

После включения управления виртуальными машинами с помощью Отслеживание изменений и инвентаризация с помощью агента мониторинга Azure можно остановить использование Отслеживание изменений и инвентаризации с версией агента LA и удалить конфигурацию из учетной записи.

Метод disable включает в себя следующее:

• Удаляет отслеживание изменений с помощью агента LA для выбранных нескольких виртуальных машин в рабочей области Log Analytics.
• Удаляет отслеживание изменений с помощью агента LA из всей рабочей области Log Analytics.

Следующие шаги

• Инструкции по включению на портале Azure см. в статье Включение отслеживания изменений и инвентаризации на портале Azure.