Przykładowe reguły zbierania danych (DCR) w usłudze Azure Monitor
Ten artykuł zawiera przykładowe reguły zbierania danych (DCR) dla różnych scenariuszy. Aby zapoznać się z opisami poszczególnych właściwości tych kontrolerów domeny, zobacz Struktura reguł zbierania danych.
Uwaga
Te przykłady udostępniają źródłowy kod JSON kontrolera domeny, jeśli używasz szablonu usługi ARM lub interfejsu API REST do tworzenia lub modyfikowania kontrolera domeny. Po utworzeniu kontroler domeny będzie miał dodatkowe właściwości zgodnie z opisem w temacie Struktura reguły zbierania danych w usłudze Azure Monitor.
Agent usługi Azure Monitor — zdarzenia i dane wydajności
Poniższa przykładowa reguła zbierania danych dotyczy maszyn wirtualnych z agentem usługi Azure Monitor i zawiera następujące szczegóły:
- Dane wydajności
- Zbiera określone liczniki procesora, pamięci, dysku logicznego i dysku fizycznego co 15 sekund i przekazuje co minutę.
- Zbiera określone liczniki procesów co 30 sekund i przekazuje co 5 minut.
- Zdarzenia systemu Windows
- Zbiera zdarzenia zabezpieczeń systemu Windows i przekazuje je co minutę.
- Zbiera zdarzenia aplikacji i systemu Windows oraz przekazuje je co 5 minut.
- Dziennik systemowy
- Zbiera zdarzenia debugowania, krytyczne i awaryjne z obiektu cron.
- Zbiera zdarzenia alertów, krytycznych i awaryjnych z obiektu dziennika systemowego.
- Miejsc
- Wysyła wszystkie dane do obszaru roboczego usługi Log Analytics o nazwie centralWorkspace.
Uwaga
Aby uzyskać wyjaśnienie funkcji XPaths używanych do określania zbierania zdarzeń w regułach zbierania danych, zobacz Ograniczanie zbierania danych za pomocą niestandardowych zapytań XPath.
{
"location": "eastus",
"properties": {
"dataSources": {
"performanceCounters": [
{
"name": "cloudTeamCoreCounters",
"streams": [
"Microsoft-Perf"
],
"scheduledTransferPeriod": "PT1M",
"samplingFrequencyInSeconds": 15,
"counterSpecifiers": [
"\\Processor(_Total)\\% Processor Time",
"\\Memory\\Committed Bytes",
"\\LogicalDisk(_Total)\\Free Megabytes",
"\\PhysicalDisk(_Total)\\Avg. Disk Queue Length"
]
},
{
"name": "appTeamExtraCounters",
"streams": [
"Microsoft-Perf"
],
"scheduledTransferPeriod": "PT5M",
"samplingFrequencyInSeconds": 30,
"counterSpecifiers": [
"\\Process(_Total)\\Thread Count"
]
}
],
"windowsEventLogs": [
{
"name": "cloudSecurityTeamEvents",
"streams": [
"Microsoft-Event"
],
"scheduledTransferPeriod": "PT1M",
"xPathQueries": [
"Security!*"
]
},
{
"name": "appTeam1AppEvents",
"streams": [
"Microsoft-Event"
],
"scheduledTransferPeriod": "PT5M",
"xPathQueries": [
"System!*[System[(Level = 1 or Level = 2 or Level = 3)]]",
"Application!*[System[(Level = 1 or Level = 2 or Level = 3)]]"
]
}
],
"syslog": [
{
"name": "cronSyslog",
"streams": [
"Microsoft-Syslog"
],
"facilityNames": [
"cron"
],
"logLevels": [
"Debug",
"Critical",
"Emergency"
]
},
{
"name": "syslogBase",
"streams": [
"Microsoft-Syslog"
],
"facilityNames": [
"syslog"
],
"logLevels": [
"Alert",
"Critical",
"Emergency"
]
}
]
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "centralWorkspace"
}
]
},
"dataFlows": [
{
"streams": [
"Microsoft-Perf",
"Microsoft-Syslog",
"Microsoft-Event"
],
"destinations": [
"centralWorkspace"
]
}
]
}
}
Agent usługi Azure Monitor — dzienniki tekstowe
Poniższa przykładowa reguła zbierania danych służy do zbierania dzienników tekstowych przy użyciu agenta usługi Azure Monitor. Należy pamiętać, że nazwy strumieni niestandardowych dzienników tekstowych powinny zaczynać się od prefiksu "Custom-".
{
"location": "eastus",
"properties": {
"streamDeclarations": {
"Custom-MyLogFileFormat": {
"columns": [
{
"name": "TimeGenerated",
"type": "datetime"
},
{
"name": "RawData",
"type": "string"
}
]
}
},
"dataSources": {
"logFiles": [
{
"streams": [
"Custom-MyLogFileFormat"
],
"filePatterns": [
"C:\\JavaLogs\\*.log"
],
"format": "text",
"settings": {
"text": {
"recordStartTimestampFormat": "ISO 8601"
}
},
"name": "myLogFileFormat-Windows"
},
{
"streams": [
"Custom-MyLogFileFormat"
],
"filePatterns": [
"//var//*.log"
],
"format": "text",
"settings": {
"text": {
"recordStartTimestampFormat": "ISO 8601"
}
},
"name": "myLogFileFormat-Linux"
}
]
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "MyDestination"
}
]
},
"dataFlows": [
{
"streams": [
"Custom-MyLogFileFormat"
],
"destinations": [
"MyDestination"
],
"transformKql": "source",
"outputStream": "Custom-MyTable_CL"
}
]
}
}
Event Hubs
Poniższa przykładowa reguła zbierania danych służy do zbierania danych z centrum zdarzeń.
{
"location": "eastus",
"properties": {
"streamDeclarations": {
"Custom-MyEventHubStream": {
"columns": [
{
"name": "TimeGenerated",
"type": "datetime"
},
{
"name": "RawData",
"type": "string"
},
{
"name": "Properties",
"type": "dynamic"
}
]
}
},
"dataSources": {
"dataImports": {
"eventHub": {
"consumerGroup": "<consumer-group>",
"stream": "Custom-MyEventHubStream",
"name": "myEventHubDataSource1"
}
}
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "MyDestination"
}
]
},
"dataFlows": [
{
"streams": [
"Custom-MyEventHubStream"
],
"destinations": [
"MyDestination"
],
"transformKql": "source",
"outputStream": "Custom-MyTable_CL"
}
]
}
}
Interfejs API pozyskiwania dzienników
Poniższa przykładowa reguła zbierania danych jest używana z interfejsem API pozyskiwania dzienników. Zawiera następujące szczegóły:
- Wysyła dane do tabeli o nazwie MyTable_CL w obszarze roboczym o nazwie my-workspace.
- Stosuje przekształcenie do danych przychodzących.
Uwaga
Interfejs API pozyskiwania dzienników wymaga właściwości logsIngestion , która zawiera adres URL punktu końcowego. Ta właściwość jest dodawana do kontrolera domeny po jej utworzeniu.
{
"location": "eastus",
"kind": "Direct",
"properties": {
"streamDeclarations": {
"Custom-MyTable": {
"columns": [
{
"name": "Time",
"type": "datetime"
},
{
"name": "Computer",
"type": "string"
},
{
"name": "AdditionalContext",
"type": "string"
}
]
}
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/cefingestion/providers/microsoft.operationalinsights/workspaces/my-workspace",
"name": "LogAnalyticsDest"
}
]
},
"dataFlows": [
{
"streams": [
"Custom-MyTable"
],
"destinations": [
"LogAnalyticsDest"
],
"transformKql": "source | extend jsonContext = parse_json(AdditionalContext) | project TimeGenerated = Time, Computer, AdditionalContext = jsonContext, ExtendedColumn=tostring(jsonContext.CounterName)",
"outputStream": "Custom-MyTable_CL"
}
]
}
}
Przekształcanie obszaru roboczego DCR
Poniższa przykładowa reguła zbierania danych jest używana jako przekształcenie DCR obszaru roboczego w celu przekształcenia wszystkich danych wysyłanych do tabeli o nazwie LAQueryLogs.
{
"location": "eastus",
"properties": {
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "clv2ws1"
}
]
},
"dataFlows": [
{
"streams": [
"Microsoft-Table-LAQueryLogs"
],
"destinations": [
"clv2ws1"
],
"transformKql": "source |where QueryText !contains 'LAQueryLogs' | extend Context = parse_json(RequestContext) | extend Resources_CF = tostring(Context['workspaces']) |extend RequestContext = ''"
}
]
}
}