Экспорт данных рабочей области Log Analytics в Azure Monitor

1. В меню рабочей области Log Analytics в портал Azure выберите пункт "Экспорт данных" в разделе "Параметры". Выберите новое правило экспорта в верхней части области.

   

2. Выполните действия, а затем нажмите кнопку "Создать". На вкладке "Источник" отображаются только таблицы с данными.

   

Используйте следующую команду, чтобы создать правило экспорта данных в учетную запись хранения с помощью PowerShell. Для каждой таблицы создается отдельный контейнер.

$storageAccountResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name'
New-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -ResourceId $storageAccountResourceId

Используйте следующую команду, чтобы создать правило экспорта данных в определенный концентратор событий с помощью PowerShell. Все таблицы экспортируются в предоставленное имя узла событий и могут фильтроваться по полю "Тип" для разделения таблиц.

$eventHubResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name/eventhubs/eventhub-name'
New-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -ResourceId $eventHubResourceId -EventHubName EventhubName

Используйте следующую команду, чтобы создать правило экспорта данных в Концентратор событий с помощью PowerShell. Если имя концентратора событий не указано, для каждой таблицы создается отдельный контейнер, причем их количество может достигать числа Центров событий, поддерживаемых на каждом уровне Центров событий. Чтобы экспортировать дополнительные таблицы, укажите имя концентратора событий в правиле. Кроме того, можно задать другое правило и экспортировать оставшиеся таблицы в другое пространство имен Центров событий.

$eventHubResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name'
New-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -ResourceId $eventHubResourceId

Используйте следующую команду, чтобы создать правило экспорта данных в учетную запись хранения с помощью интерфейса командной строки. Для каждой таблицы создается отдельный контейнер.

$storageAccountResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name'
az monitor log-analytics workspace data-export create --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --destination $storageAccountResourceId

Используйте следующую команду, чтобы создать правило экспорта данных в определенный концентратор событий с помощью интерфейса командной строки. Все таблицы экспортируются в предоставленное имя концентратора событий и могут фильтроваться по полю типа для разделения таблиц.

$eventHubResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name/eventhubs/eventhub-name'
az monitor log-analytics workspace data-export create --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --destination $eventHubResourceId

Используйте следующую команду, чтобы создать правило экспорта данных в Концентратор событий с помощью интерфейса командной строки. Когда имя конкретного Центра событий не указано, создается отдельный контейнер для каждой таблицы, соблюдая лимит количества поддерживаемых Центров событий для вашего уровня Центров событий. Если у вас есть дополнительные таблицы для экспорта, укажите имя концентратора событий для экспорта любого количества таблиц. Или можно задать другое правило для экспорта оставшихся таблиц в другое пространство имен Центров событий.

$eventHubsNamespacesResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name'
az monitor log-analytics workspace data-export create --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --destination $eventHubsNamespacesResourceId

Используйте следующий запрос, чтобы создать правило экспорта данных в учетную запись хранения с помощью REST API. Для каждой таблицы создается отдельный контейнер. Запрос должен использовать авторизацию маркера-носителя и тип содержимого application/json.

PUT https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01

Текст запроса указывает назначение таблицы. В следующем примере представлен пример текста запроса REST.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name"
        },
        "tablenames": [
            "table1",
            "table2" 
        ],
        "enable": true
    }
}

В следующем примере представлен пример текста запроса REST для концентратора событий.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.EventHub/namespaces/eventhub-namespaces-name"
        },
        "tablenames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

В следующем примере представлен пример текста запроса REST для концентратора событий, в котором указано имя концентратора событий. В этом случае туда отправляются все экспортированные данные.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.EventHub/namespaces/eventhub-namespaces-name",
            "metaData": {
                "EventHubName": "eventhub-name"
        },
        "tablenames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
  }
}

Используйте следующую команду, чтобы создать правило экспорта данных в учетную запись хранения с помощью шаблона Azure Resource Manager.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "workspace-name",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "workspace-region",
            "type": "string"
        },
        "storageAccountRuleName": {
            "defaultValue": "storage-account-rule-name",
            "type": "string"
        },
        "storageAccountResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
                {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/' , parameters('storageAccountRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('storageAccountResourceId')]"
                      },
                      "tableNames": [
                          "Heartbeat",
                          "InsightsMetrics",
                          "VMConnection",
                          "Usage"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Используйте следующую команду, чтобы создать правило экспорта данных в Концентратор событий с помощью шаблона Resource Manager. Для каждой таблицы создается отдельный Центр событий.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "workspace-name",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "workspace-region",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "event-hub-rule-name",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/resource-group-name/providers/microsoft.eventhub/namespaces/namespaces-name",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]"
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Используйте следующую команду, чтобы создать правило экспорта данных в определенный концентратор событий с помощью шаблона Resource Manager. В него будут экспортированы все таблицы.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "workspace-name",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "workspace-region",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "event-hub-rule-name",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/resource-group-name/providers/microsoft.eventhub/namespaces/namespaces-name",
            "type": "String"
        },
        "eventhubName": {
            "defaultValue": "event-hub-name",
            "type": "string"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]",
                          "metaData": {
                              "eventHubName": "[parameters('eventhubName')]"
                          }
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

1. В меню рабочей области Log Analytics в портал Azure выберите пункт "Экспорт данных" в разделе "Параметры".

   

2. Выберите правило для представления конфигурации.

   

Используйте следующую команду, чтобы просмотреть конфигурацию правила экспорта данных с помощью PowerShell.

Get-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName'

Используйте следующую команду, чтобы просмотреть конфигурацию правила экспорта данных с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export show --resource-group resourceGroupName --workspace-name workspaceName --name ruleName

Используйте следующий запрос, чтобы просмотреть конфигурацию правила экспорта данных с помощью REST API. Запрос должен использовать авторизацию с токеном типа "носитель".

GET https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01

Параметр шаблона не применяется.

Правила экспорта можно отключить, чтобы остановить экспорт в течение определенного периода, например при тестировании. В меню рабочей области Log Analytics в портал Azure выберите пункт "Экспорт данных" в разделе "Параметры". Выберите переключатель состояния , чтобы отключить или включить правило экспорта.

Правила экспорта можно отключить, чтобы остановить экспорт в течение определенного периода, например при тестировании. Используйте следующую команду, чтобы отключить или обновить параметры правила с помощью PowerShell.

Update-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -Enable: $false

Правила экспорта можно отключить, чтобы остановить экспорт в течение определенного периода, например при тестировании. Используйте следующую команду, чтобы отключить или обновить параметры правила с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export update --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --enable false

Правила экспорта можно отключить, чтобы остановить экспорт в течение определенного периода, например при тестировании. Используйте следующую команду, чтобы отключить или обновить параметры правила с помощью REST API. Запрос должен использовать авторизацию с использованием токена носителя.

PUT https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01
Authorization: Bearer <token>
Content-type: application/json

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name"
        },
        "tablenames": [
"table1",
    "table2" 
        ],
        "enable": false
    }
}

Вы можете отключить правила экспорта, чтобы остановить экспорт при выполнении тестирования, и вам не нужны данные, отправленные в место назначения. Установите "enable": false в шаблоне, чтобы отключить экспорт данных.

В меню рабочей области Log Analytics в портал Azure выберите пункт "Экспорт данных" в разделе "Параметры". Выберите многоточие справа от правила и нажмите кнопку "Удалить".

Используйте следующую команду, чтобы удалить правило экспорта данных с помощью PowerShell.

Remove-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName'

Используйте следующую команду, чтобы удалить правило экспорта данных с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export delete --resource-group resourceGroupName --workspace-name workspaceName --name ruleName

Используйте следующий запрос, чтобы удалить правило экспорта данных с помощью REST API. Запрос должен использовать авторизацию с использованием токена типа Bearer.

DELETE https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01

Параметр шаблона не применяется.

В меню рабочей области Log Analytics в портал Azure выберите пункт "Экспорт данных" в разделе "Параметры", чтобы просмотреть все правила экспорта в рабочей области.

Используйте следующую команду, чтобы просмотреть все правила экспорта данных в рабочей области с помощью PowerShell.

Get-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName

Используйте следующую команду, чтобы просмотреть все правила экспорта данных в рабочей области с помощью интерфейса командной строки.

az monitor log-analytics workspace data-export list --resource-group resourceGroupName --workspace-name workspaceName

Используйте следующий запрос, чтобы просмотреть все правила экспорта данных в рабочей области с помощью REST API. Запрос должен использовать авторизацию токена носителя.

GET https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports?api-version=2023-09-01

Параметр шаблона не применяется.