📘

[Azure]データ収集ルールのカスタムログの送信先テーブルは１つだけ？

2023/07/11に公開

Azure

きっかけ

VMに適用するデータ収集ルールの数をできるだけ少なくしたいという要件があった。少なくともPortal上からの操作では、データの送信先が１つにしか設定できないため、テンプレートデプロイを利用した方法で解消できないかを検証してみた。

手順（公式URL）

を使いながら試してみる。

公式との差分を本記事で載せていく。

データ収集ルール作成後に、テンプレートのダウンロードを行う。
オートメーション → テンプレートのエクスポート
dataSourcesとdataFlowsに出力先のテーブルを追加する。
一部個人情報のためマスキングしています。

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "dataCollectionRules_xxxx_test_name": {
            "defaultValue": "xxx-test",
            "type": "String"
        },
        "dataCollectionEndpoints_xxx_externalid": {
            "defaultValue": "/subscriptions/1e52a4ec-3c4d-47a3-817c-8c2892d41ace/resourceGroups/Sandbox/providers/Microsoft.Insights/dataCollectionEndpoints/xxxx",
            "type": "String"
        },
        "workspaces_xxx_externalid": {
            "defaultValue": "/subscriptions/1e52a4ec-3c4d-47a3-817c-8c2892d41ace/resourceGroups/Sandbox/providers/Microsoft.OperationalInsights/workspaces/xxx",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "Microsoft.Insights/dataCollectionRules",
            "apiVersion": "2022-06-01",
            "name": "[parameters('dataCollectionRules_xxx_test_name')]",
            "location": "japaneast",
            "kind": "Linux",
            "properties": {
                "dataCollectionEndpointId": "[parameters('dataCollectionEndpoints_xxx_externalid')]",
                "streamDeclarations": {
                    "Custom-tbl_audit_CL": {
                        "columns": [
                            {
                                "name": "TimeGenerated",
                                "type": "datetime"
                            },
                            {
                                "name": "RawData",
                                "type": "string"
                            }
                        ]
                    }
                },
                "dataSources": {
                    "logFiles": [
                        {
                            "streams": [
                                "Custom-tbl_audit_CL"
                            ],
                            "filePatterns": [
                                "/tmp/tmp.log"
                            ],
                            "format": "text",
                            "settings": {
                                "text": {
                                    "recordStartTimestampFormat": "ISO 8601"
                                }
                            },
                            "name": "tbl_audit_CL"
                        }
			★★★追加★★★
			,
                        {
                            "streams": [
                                "Custom-tbl_audit2_CL"
                            ],
                            "filePatterns": [
                                "/tmp/tmp.log"
                            ],
                            "format": "text",
                            "settings": {
                                "text": {
                                    "recordStartTimestampFormat": "ISO 8601"
                                }
                            },
                            "name": "tbl_audit2_CL"
                        }
			★★★追加★★★
                    ]
                },
                "destinations": {
                    "logAnalytics": [
                        {
                            "workspaceResourceId": "[parameters('workspaces_xxx_externalid')]",
                            "name": "la-53555362"
                        }
                    ]
                },
                "dataFlows": [
                    {
                        "streams": [
                            "Custom-tbl_audit_CL"
                        ],
                        "destinations": [
                            "la-53555362"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-tbl_audit_CL"
                    }
		    ★★★追加★★★
		    ,
                    {
                        "streams": [
                            "Custom-tbl_audit2_CL"
                        ],
                        "destinations": [
                            "la-53555362"
                        ],
                        "transformKql": "source",
                        "outputStream": "Custom-tbl_audit2_CL"
                    }
		    ★★★追加★★★
                ]
            }
        }
    ]
}