API приема журналов в Azure Monitor

API приема журналов в Azure Monitor позволяет отправлять данные в рабочую область Log Analytics с помощью вызова REST API или клиентских библиотек. API позволяет отправлять данные в поддерживаемые таблицы Azure или в пользовательские таблицы, которые вы создаете. Кроме того , можно расширить схему таблиц Azure с настраиваемыми столбцами , чтобы принять дополнительные данные.

Базовая операция

Данные можно отправлять в API приема журналов из любого приложения, которое может вызвать REST API. Это может быть пользовательское приложение, которое вы создаете, или это может быть приложение или агент, которое понимает, как отправлять данные в API. Он указывает правило сбора данных (DCR), включающее целевую таблицу и рабочую область, а также учетные данные регистрации приложения с доступом к указанному DCR. Он отправляет данные в конечную точку, указанную DCR, или в конечную точку сбора данных (DCE), если вы используете приватный канал.

Данные, отправленные приложением в API, должны быть отформатированы в формате JSON и соответствовать структуре, ожидаемой DCR. Она не обязательно должна соответствовать структуре целевой таблицы, так как DCR может включать преобразование для преобразования данных в соответствие со структурой таблицы. Целевая таблица и рабочая область можно изменить, изменив DCR без каких-либо изменений в вызове API или исходных данных.

Настройка

В следующей таблице описывается каждый компонент в Azure, который необходимо настроить, прежде чем использовать API приема журналов.

Конечная точка

Конечная точка REST API для API приема журналов может быть конечной точкой сбора данных (DCE) или конечной точкой приема журналов DCR.

Конечная точка приема журналов DCR создается при создании DCR для прямого приема. Чтобы получить эту конечную точку, откройте DCR в представлении JSON в портал Azure. Возможно, потребуется изменить версию API на последнюю версию для отображения конечных точек.

DCE требуется только при подключении к рабочей области Log Analytics с помощью приватного канала или если DCR не включает конечную точку приема журналов. Это может быть так, если вы используете старый DCR или если вы создали DCR без "kind": "Direct" параметра. Дополнительные сведения см. в описании правила сбора данных (DCR).

Правило сбора данных (DCR)

При создании настраиваемой таблицы в рабочей области Log Analytics с помощью портал Azure создается DCR, который можно использовать с API приема журналов. Если вы отправляете данные в таблицу, которая уже существует, необходимо создать DCR вручную. Начните с примера DCR ниже, заменив значения для следующих параметров в шаблоне. Используйте любой из методов, описанных в разделе "Создание и изменение правил сбора данных" в Azure Monitor для создания DCR.

{
    "location": "eastus",
    "dataCollectionEndpointId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.Insights/dataCollectionEndpoints/dce-eastus",
    "kind": "Direct",
    "properties": {
        "streamDeclarations": {
            "Custom-MyTable": {
                "columns": [
                    {
                        "name": "Time",
                        "type": "datetime"
                    },
                    {
                        "name": "Computer",
                        "type": "string"
                    },
                    {
                        "name": "AdditionalContext",
                        "type": "string"
                    }
                ]
            }
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/cefingestion/providers/microsoft.operationalinsights/workspaces/my-workspace",
                    "name": "LogAnalyticsDest"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Custom-MyTable"
                ],
                "destinations": [
                    "LogAnalyticsDest"
                ],
                "transformKql": "source",
                "outputStream": "Custom-MyTable_CL"
            }
        ]
    }
}

Клиентские библиотеки

Помимо вызова REST API, можно использовать следующие клиентские библиотеки для отправки данных в API приема журналов. Для библиотек требуются те же компоненты, которые описаны в разделе "Конфигурация". Примеры использования каждой из этих библиотек см . в примере кода для отправки данных в Azure Monitor с помощью API приема журналов.

• .NET
• GO
• Java
• JavaScript
• Python

Вызов REST API

Чтобы отправить данные в Azure Monitor с помощью вызова REST API, выполните вызов POST по протоколу HTTP. Сведения, необходимые для этого вызова, описаны в этом разделе.

URI-адрес

URI включает регион, конечную точку приема DCE или DCR, идентификатор DCR и имя потока. Он также указывает версию API.

URI использует следующий формат.

{Endpoint}/dataCollectionRules/{DCR Immutable ID}/streams/{Stream Name}?api-version=2023-01-01

Например:

https://my-dce-5kyl.eastus-1.ingest.monitor.azure.com/dataCollectionRules/dcr-000a00a000a00000a000000aa000a0aa/streams/Custom-MyTable?api-version=2023-01-01

Создается DCR Immutable ID для DCR при его создании. Его можно получить на странице обзора для DCR в портал Azure.

Stream Name указывает на поток в DCR, который должен поддерживать пользовательские данные.

Заголовки

В следующей таблице описаны заголовки для вызова API.

Текст

Текст вызова включает в себя пользовательские данные, отправляемые в Azure Monitor. Форма данных должна быть массивом JSON с структурой элементов, которая соответствует формату, ожидаемому потоком в DCR. Если требуется отправить один элемент в вызове API, данные должны отправляться в виде массива с одним элементом.

Например:

[
{
    "TimeGenerated": "2023-11-14 15:10:02",
    "Column01": "Value01",
    "Column02": "Value02"
}
]

Убедитесь, что текст запроса правильно закодирован в UTF-8, чтобы предотвратить проблемы с передачей данных.

Пример

Пример кода для отправки данных в Azure Monitor с помощью API приема журналов см. в примере вызова API с помощью PowerShell.

Поддерживаемые таблицы

Данные, отправленные в API приема, можно отправить в следующие таблицы:

• ADAssessmentRecommendation
  
• ADSecurityAssessmentRecommendation
  
• Аномалии
  
• ASimAuditEventLogs
  
• ASimAuthenticationEventLogs
  
• ASimDhcpEventLogs
  
• ASimDnsActivityLogs
  
• ASimDnsAuditLogs
  
• ASimFileEventLogs
  
• ASimNetworkSessionLogs
  
• ASimProcessEventLogs
  
• ASimRegistryEventLogs
  
• ASimUserManagementActivityLogs
  
• ASimWebSessionLogs
  
• AWSCloudTrail
  
• AWSCloudWatch
  
• AWSGuardDuty
  
• AWSVPCFlow
  
• AzureAssessmentRecommendation
  
• CommonSecurityLog
  
• DeviceTvmSecureConfigurationAssessmentKB
  
• DeviceTvmSoftwareVulnerabilitiesKB
  
• ExchangeAssessmentRecommendation
  
• ExchangeOnlineAssessmentRecommendation
  
• GCPAuditLogs
  
• GoogleCloudSCC
  
• SCCMAssessmentRecommendation
  
• SCOMAssessmentRecommendation
  
• SecurityEvent
  
• SfBAssessmentRecommendation
  
• SfBOnlineAssessmentRecommendation
  
• SharePointOnlineAssessmentRecommendation
  
• SPAssessmentRecommendation
  
• SQLAssessmentRecommendation
  
• StorageInsightsAccountPropertiesDaily
  
• StorageInsightsDailyMetrics
  
• StorageInsightsHourlyMetrics
  
• StorageInsightsMonthlyMetrics
  
• StorageInsightsWeeklyMetrics
  
• Syslog
  
• UCClient
  
• UCClientReadinessStatus
  
• UCClientUpdateStatus
  
• UCDeviceAlert
  
• UCDOAggregatedStatus
  
• UCDOStatus
  
• UCServiceUpdateStatus
  
• UCUpdateAlert
  
• WindowsClientAssessmentRecommendation
  
• WindowsEvent
  
• WindowsServerAssessmentRecommendation
  

Ограничения и ограничения

Ограничения, связанные с API приема журналов, см. в разделе об ограничениях службы Azure Monitor.

Следующие шаги

• Пошаговое руководство по отправке данных в журналы Azure Monitor с помощью API приема журналов в портал Azure
• Пошаговое руководство по отправке пользовательских журналов с помощью шаблонов Resource Manager и REST API
• Получите рекомендации по использованию клиентских библиотек для API приема журналов для .NET, Java, JavaScript или Python.