👀

Azure Monitor エージェントのカスタムログ収集にファイルパスをつける

Tetsuya Isogai

2023/10/12に公開

はじめに

Azure で OS 上のカスタムログ（任意のテキストログファイル）を監視したいというケースを、特にオンプレミス上で稼働しているシステムの Azure 移行案件等でお見かけします。
この場合、OS 上のテキストログは Azure Monitor エージェントを通じ Log Analytics ワークスペースへ収集することが可能であり、必要に応じて Log Analytics ワークスペース（以降、LAW）上でアラートの設定等を行うことになります。
デフォルトでは収集したログファイルのファイルパスが LAW 上に格納されないため、LAW に収集元のファイルパスを出す方法を記載します。

制限事項

本機能は Windows OS にのみ対応しており、Linux では未サポートです。

参考情報

通常のカスタムログ収集方法については以下をご参照ください。

Japan Azure Monitoring Support Blog - Azure Monitor エージェントでカスタムログを取得する方法
https://jpazmon-integ.github.io/blog/LogAnalytics/AMA_CustomLog/
Microsoft Learn - Azure Monitor エージェントを使用してテキストログを収集する
https://learn.microsoft.com/ja-jp/azure/azure-monitor/agents/data-collection-text-log?tabs=portal
Zenn 内のこちらのブログもわかりやすくまとめていただいていますのでご確認ください。
https://zenn.dev/microsoft/articles/c43655c3905329

設定の流れ

通常のカスタムログ収集の手順とほぼ同じですが、LAW のカスタムログテーブルを作成する際に特別な列（ファイルパス情報を格納する列）を追加する必要があります。

監視対象 VM の準備（※手順省略）
LAW の作成
データ収集エンドポイントの作成
カスタムテーブルの作成
データ収集ルールの作成

設定手順

1. LAW の作成

以下を参照し LAW を作成します。

2. データ収集エンドポイントの作成

以下を参照しデータ収集エンドポイントを作成します。

3. カスタムテーブルの作成

Powershell でカスタムテーブルを作成します。公式ドキュメントに記載されている Powershell スクリプトによるカスタムテーブルのサンプルに加えて、tableParams に格納する JSON 形式のパラメータに今回のファイルパスを格納する列（"name": "FilePath") を追加してテーブルを作成します。
※ {} 内のパラメータは自分の環境にあわせて適宜修正してください。

$tableParams = @'
{
    "properties": {
        "schema": {
               "name": "{TableName}_CL",
               "columns": [
        {
                                "name": "TimeGenerated",
                                "type": "DateTime"
                        }, 
                       {
                                "name": "RawData",
                                "type": "String"
                       },                              # ここの"," から
		       {
                                "name": "FilePath",
                                "type": "Dynamic"
                       }                              # ここまで追加
              ]
        }
    }
}
'@

Invoke-AzRestMethod -Path "/subscriptions/{subscription}/resourcegroups/{resourcegroup}/providers/microsoft.operationalinsights/workspaces/{WorkspaceName}/tables/{TableName}_CL?api-version=2021-12-01-preview" -Method PUT -payload $tableParams