правила экспорта данных Log Analytics в Azure Monitor

1. На портале Azure перейдите в рабочую область Log Analytics.

2. В меню слева в разделе "Параметры" выберите "Правила".

3. Перейдите на вкладку правил экспорта данных .

4. Выберите новое правило экспорта в верхней части области.

   

5. Выполните действия, а затем нажмите кнопку "Создать". На вкладке "Источник" отображаются только таблицы с данными.

   

Используйте следующую команду, чтобы создать правило экспорта данных в учетную запись хранения с помощью интерфейса командной строки. Этот процесс создает отдельный контейнер для каждой таблицы.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
storageAccountName="myStorageAccountName"

# Build destination storage account resource ID
storagePath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
storageProvider="Microsoft.Storage/storageAccounts/$storageAccountName"
storageAccountResourceId="$storagePath/providers/$storageProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$storageAccountResourceId"

Используйте следующую команду, чтобы создать правило экспорта данных в определенный концентратор событий с помощью интерфейса командной строки. Все таблицы экспортируются в предоставленное имя узла событий и могут фильтроваться по полю "Тип" для разделения таблиц.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"
eventHubName="myEventHub"

# Build destination Event Hub resource ID
eventHubPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubProvider="Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
eventHubResourceId="$eventHubPath/providers/$eventHubProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubResourceId"

Используйте следующую команду, чтобы создать правило экспорта данных в Концентратор событий с помощью интерфейса командной строки. Если имя концентратора событий не указано, процесс создаёт отдельный контейнер для каждой таблицы — вплоть до количества концентраторов событий, поддерживаемых для вашего уровня Event Hubs. Если у вас есть больше таблиц для экспорта, укажите имя концентратора событий для экспорта любого количества таблиц или задайте новое правило для экспорта оставшихся таблиц в другое пространство имен Центров событий.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"

# Build destination Event Hub namespace resource ID
eventHubNsPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubNsProvider="Microsoft.EventHub/namespaces/$eventHubNamespace"
eventHubNamespaceResourceId="$eventHubNsPath/providers/$eventHubNsProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubNamespaceResourceId"

Чтобы создать или обновить правило экспорта данных, используйте этот PUT запрос для группы операций экспорта данных REST API для управления журналами. Используйте ту версию apiVersion, которая описана там последней.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

Текст запроса указывает назначение таблицы. В следующем примере представлен пример текста запроса REST.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2" 
        ],
        "enable": true
    }
}

В следующем примере представлен пример текста запроса REST для концентратора событий.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

В следующем примере представлен пример текста запроса REST для концентратора событий, в котором указано имя концентратора событий. В этом случае туда отправляются все экспортированные данные.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "metaData": {
                "EventHubName": "myEventHub"
            }
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

Используйте следующую команду, чтобы создать правило экспорта данных в учетную запись хранения с помощью PowerShell. Для каждой таблицы создается отдельный контейнер.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$storageAccountName = 'myStorageAccountName'

# Build destination storage account resource ID
$storagePath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$storageProvider = "Microsoft.Storage/storageAccounts/$storageAccountName"
$storageAccountResourceId = "$storagePath/providers/$storageProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $storageAccountResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

Используйте следующую команду, чтобы создать правило экспорта данных в определенный концентратор событий с помощью PowerShell. Команда экспортирует все таблицы в концентратор событий с указанным именем. Фильтруйте по полю "Тип " для отдельных таблиц.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'
$eventHubName = 'myEventHub'

# Build destination Event Hub resource ID
$eventHubPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
$eventHubResourceId = "$eventHubPath/providers/$eventHubProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubResourceId
    EventHubName      = $eventHubName
}
New-AzOperationalInsightsDataExport @dataExportParams

Используйте следующую команду, чтобы создать правило экспорта данных в Концентратор событий с помощью PowerShell. Если имя концентратора событий не указано, команда создает отдельный контейнер для каждой таблицы до количества центров событий, поддерживаемых на каждом уровне Центров событий. Чтобы экспортировать дополнительные таблицы, укажите имя концентратора событий в правиле. Кроме того, можно задать другое правило и экспортировать оставшиеся таблицы в другое пространство имен Центров событий.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'

# Build destination Event Hub namespace resource ID
$eventHubNsPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubNsProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace"
$eventHubNamespaceResourceId = "$eventHubNsPath/providers/$eventHubNsProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubNamespaceResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

Разверните следующий шаблон Bicep, чтобы создать правило экспорта данных в учетную запись хранилища. Шаблон создает отдельный контейнер для каждой таблицы.

param workspaceName string
param workspaceLocation string
param storageAccountRuleName string
param storageAccountResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: storageAccountRuleName
  properties: {
    destination: {
      resourceId: storageAccountResourceId
    }
    tableNames: [
      'Heartbeat'
      'InsightsMetrics'
      'VMConnection'
      'Usage'
    ]
    enable: true
  }
}

Разверните следующий шаблон Bicep, чтобы создать правило экспорта данных в Концентратор событий. Шаблон создает отдельный концентратор событий для каждой таблицы.

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

Разверните следующий шаблон Bicep, чтобы создать правило экспорта данных в конкретный Концентратор событий. Шаблон экспортирует все таблицы в этот концентратор событий.

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string
param eventhubName string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
      metaData: {
        eventHubName: eventhubName
      }
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

Разверните следующий шаблон ARM, чтобы создать правило экспорта данных в учетную запись хранения.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "storageAccountRuleName": {
            "defaultValue": "myStorageAccountRuleName",
            "type": "string"
        },
        "storageAccountResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
                {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/' , parameters('storageAccountRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('storageAccountResourceId')]"
                      },
                      "tableNames": [
                          "Heartbeat",
                          "InsightsMetrics",
                          "VMConnection",
                          "Usage"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Разверните следующий шаблон ARM, чтобы создать правило экспорта данных в Концентратор событий. Шаблон создает отдельный концентратор событий для каждой таблицы.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]"
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Разверните следующий шаблон ARM, чтобы создать правило экспорта данных в определенном концентраторе событий. Правило экспортирует все таблицы в этот концентратор событий.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        },
        "eventhubName": {
            "defaultValue": "myEventHub",
            "type": "string"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]",
                          "metaData": {
                              "eventHubName": "[parameters('eventhubName')]"
                          }
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

1. На портале Azure перейдите в рабочую область Log Analytics.

2. В меню слева в разделе "Параметры" выберите "Правила".

3. Перейдите на вкладку "Правила экспорта данных ", чтобы просмотреть все правила экспорта в рабочей области.

   

4. Выберите правило для представления конфигурации.

   

Используйте следующую команду, чтобы просмотреть конфигурацию правила экспорта данных с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export show \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

Чтобы просмотреть конфигурацию правила экспорта данных, используйте этот GET запрос для группы правил экспорта данных REST API для управления журналами. Используйте ту версию apiVersion, которая описана там последней.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

Используйте следующую команду, чтобы просмотреть конфигурацию правила экспорта данных с помощью PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Get-AzOperationalInsightsDataExport @dataExportParams

Отключите правила экспорта, чтобы остановить экспорт в течение определенного периода, например при тестировании.

1. На портале Azure перейдите в рабочую область Log Analytics.
2. В меню слева в разделе "Параметры" выберите "Правила".
3. Перейдите на вкладку правил экспорта данных .
4. Выберите переключатель состояния , чтобы отключить или включить правило экспорта.

Правила экспорта можно отключить, чтобы остановить экспорт в течение определенного периода, например при тестировании. Используйте следующую команду, чтобы отключить или обновить параметры правила с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export update \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName \
  --tables SecurityEvent Heartbeat \
  --enable false

Этот метод позволяет отключить правило экспорта в течение определенного периода, например во время тестирования. Чтобы отключить или обновить параметры правила, используйте этот PUT запрос для группы операций экспорта данныхREST API для управления журналами. Используйте ту версию apiVersion, которая описана там последней.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": false
    }
}

Чтобы прекратить экспорт правила временно, например для тестирования, отключите правило, задав значение Enable$false. Используйте следующую команду, чтобы отключить правило или обновить его параметры с помощью PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
    TableName         = 'SecurityEvent,Heartbeat'
    Enable            = $false
}
Update-AzOperationalInsightsDataExport @dataExportParams

Задайте enable: false в шаблоне Bicep, чтобы отключить экспорт данных.

Задайте значение "enable": false в шаблоне ARM, чтобы отключить экспорт данных.

1. На портале Azure перейдите в рабочую область Log Analytics.
2. В меню слева в разделе "Параметры" выберите "Правила".
3. Перейдите на вкладку правил экспорта данных .
4. Выберите многоточие справа от правила и нажмите кнопку "Удалить".

Используйте следующую команду, чтобы удалить правило экспорта данных с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export delete \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

Чтобы удалить правило экспорта данных, используйте этот DELETE запрос для группы операций экспорта данных REST API для управления журналами. Используйте ту версию apiVersion, которая описана там последней.

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

Используйте следующую команду, чтобы удалить правило экспорта данных с помощью PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Remove-AzOperationalInsightsDataExport @dataExportParams

1. На портале Azure перейдите в рабочую область Log Analytics.
2. В меню слева в разделе "Параметры" выберите "Правила".
3. Перейдите на вкладку "Правила экспорта данных ", чтобы просмотреть все правила экспорта в рабочей области.

Используйте следующую команду, чтобы просмотреть все правила экспорта данных в рабочей области с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export list \
  --resource-group resourceGroupName \
  --workspace-name workspaceName

Чтобы просмотреть все правила экспорта данных в рабочей области, используйте этот GET запрос для группы правил экспорта данных REST API для управления журналами. Используйте ту версию apiVersion, которая описана там последней.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports?api-version={apiVersion}
Authorization: Bearer {accessToken}

Используйте следующую команду, чтобы просмотреть все правила экспорта данных в рабочей области с помощью PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
}
Get-AzOperationalInsightsDataExport @dataExportParams