Definición de la configuración de red del agente de Azure Monitor

El agente de Azure Monitor admite la conexión mediante proxy directos, una puerta de enlace de Log Analytics y vínculos privados. Este artículo explica cómo definir la configuración de la red y habilitar el aislamiento de la red para Azure Monitor Agent.

Etiquetas de servicio de red virtual

El agente de Azure Monitor admite etiquetas de servicio de red virtual de Azure. Se requieren las etiquetas AzureMonitor y AzureResourceManager.

Las etiqueta de servicio de red de Azure Virtual se pueden usar para definir controles de acceso a la red en grupos de seguridad de red, Azure Firewall y rutas definidas por el usuario. Use etiquetas de servicio en lugar de direcciones IP específicas cuando cree reglas de seguridad y rutas. Para los escenarios en los que no se pueden usar etiquetas de servicio de red virtual de Azure, se indican a continuación los requisitos de Firewall.

Requisitos de firewall

Nube	Punto de conexión	Propósito	Port	Dirección	Omitir inspección de HTTPS	Ejemplo
Azure Commercial	global.handler.control.monitor.azure.com	Access Control Service	Puerto 443	Salida	Sí	-
Azure Commercial	<virtual-machine-region-name>.handler.control.monitor.azure.com	Captura de reglas de recopilación de datos para una máquina específica	Puerto 443	Salida	Sí	westus2.handler.control.monitor.azure.com
Azure Commercial	<log-analytics-workspace-id>.ods.opinsights.azure.com	Ingesta de datos de registros	Puerto 443	Salida	Sí	1234a123-aa1a-123a-aaa1-a1a345aa6789.ods.opinsights.azure.com
Azure Commercial	management.azure.com	Solo es necesario si se envían datos de serie temporal (métricas) a la base de datos de métricas personalizadas de Azure Monitor.	Puerto 443	Salida	Sí	-
Azure Commercial	<virtual-machine-region-name>.monitoring.azure.com	Solo es necesario si se envían datos de serie temporal (métricas) a la base de datos de métricas personalizadas de Azure Monitor.	Puerto 443	Salida	Sí	westus2.monitoring.azure.com
Azure Commercial	<data-collection-endpoint>.<virtual-machine-region-name>.ingest.monitor.azure.com	Solo es necesario si se envían datos a la tabla Registros personalizados de Log Analytics	Puerto 443	Salida	Sí	275test-01li.eastus2euap-1.canary.ingest.monitor.azure.com
Azure Government	Reemplace el ".com" anterior por ".us".	Lo mismo que antes.	Lo mismo que antes.	Lo mismo que antes.	Lo mismo que antes.
Microsoft Azure operado por 21Vianet	Reemplace el ".com" anterior por ".cn".	Lo mismo que antes.	Lo mismo que antes.	Lo mismo que antes.	Lo mismo que antes.

Nota

Si usa enlaces privados en el agente, solo deberá agregar los puntos de conexión de recopilación de datos privados (DCE). El agente no usa los puntos de conexión no privados enumerados anteriormente cuando se usan puntos de conexión de recopilación de datos o vínculos privados. La versión preliminar de métricas de Azure Monitor (métricas personalizadas) no está disponible en las nubes Azure Government y Azure operado por 21Vianet.

Configuración de proxy

Si la máquina se conecta mediante un servidor proxy para comunicarse a través de Internet, consulte los siguientes requisitos para conocer la configuración de red necesaria.

Las extensiones del agente de Azure Monitor para Windows y Linux pueden comunicarse a través de un servidor proxy o una puerta de enlace de Log Analytics a Azure Monitor mediante el protocolo HTTPS. Úselo para máquinas virtuales de Azure, conjuntos de escalado de máquinas virtuales de Azure y Azure Arc para servidores. Use los ajustes de extensiones a efectos de configuración como se describe en los siguientes pasos. Se admite autenticación tanto anónima como básica usando un nombre de usuario y una contraseña.

Importante

La configuración del proxy no se admite con métricas de Azure Monitor (versión preliminar) como destino. Si va a enviar métricas a este destino, usará la red pública de Internet sin ningún proxy.

1. Use este diagrama de flujo para determinar primero los valores de los parámetros Settings y ProtectedSettings.

   

   Nota:

   La configuración del proxy del sistema Linux a través de variables de entorno como http_proxy y https_proxy solo se admite mediante el agente de Azure Monitor para la versión 1.24.2 de Linux y versiones posteriores. Para la plantilla de ARM, si tiene configuración de proxy, siga el ejemplo de plantilla de ARM que se muestra a continuación para declarar la configuración de proxy dentro de la plantilla de ARM. Además, un usuario puede establecer variables de entorno "globales" que se recojan por todos los servicios del sistema a través de la variable DefaultEnvironment en /etc/systemd/system.conf.

2. Después de determinar los valores de los parámetros Settings y ProtectedSettings, especifique estos otros parámetros al implementar el agente de Azure Monitor. Use comandos de PowerShell, como se muestra en los ejemplos siguientes:

Máquina virtual Windows

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "true"}}';
$protectedSettingsString = '{"proxy":{"username":"[username]","password": "[password]"}}';
Set-AzVMExtension -ExtensionName AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location> -TypeHandlerVersion <type-handler-version> -SettingString $settingsString -ProtectedSettingString $protectedSettingsString

Máquina virtual Linux

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "true"}}';
$protectedSettingsString = '{"proxy":{"username":"[username]","password": "[password]"}}';
Set-AzVMExtension -ExtensionName AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location> -TypeHandlerVersion <type-handler-version> -SettingString $settingsString -ProtectedSettingString $protectedSettingsString

Servidor habilitado para Windows Arc

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "true"}}
$protectedSettings = @{"proxy" = @{username = "[username]"; password = "[password]"}}

New-AzConnectedMachineExtension -Name AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings -ProtectedSetting $protectedSettings

Servidor habilitado para Linux Arc

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "true"}}
$protectedSettings = @{"proxy" = @{username = "[username]"; password = "[password]"}}

New-AzConnectedMachineExtension -Name AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings -ProtectedSetting $protectedSettings

Ejemplo de plantilla de directiva de ARM

{
  "properties": {
    "displayName": "Configure Windows Arc-enabled machines to run Azure Monitor Agent",
    "policyType": "BuiltIn",
    "mode": "Indexed",
    "description": "Automate the deployment of Azure Monitor Agent extension on your Windows Arc-enabled machines for collecting telemetry data from the guest OS. This policy will install the extension if the OS and region are supported and system-assigned managed identity is enabled, and skip install otherwise. Learn more: https://aka.ms/AMAOverview.",
    "metadata": {
      "version": "2.3.0",
      "category": "Monitoring"
    },
    "parameters": {
      "effect": {
        "type": "String",
        "metadata": {
          "displayName": "Effect",
          "description": "Enable or disable the execution of the policy."
        },
        "allowedValues": [
          "DeployIfNotExists",
          "Disabled"
        ],
        "defaultValue": "DeployIfNotExists"
      }
    },
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "type",
            "equals": "Microsoft.HybridCompute/machines"
          },
          {
            "field": "Microsoft.HybridCompute/machines/osName",
            "equals": "Windows"
          },
          {
            "field": "location",
            "in": [
              "australiacentral",
              "australiaeast",
              "australiasoutheast",
              "brazilsouth",
              "canadacentral",
              "canadaeast",
              "centralindia",
              "centralus",
              "eastasia",
              "eastus",
              "eastus2",
              "eastus2euap",
              "francecentral",
              "germanywestcentral",
              "japaneast",
              "japanwest",
              "jioindiawest",
              "koreacentral",
              "koreasouth",
              "northcentralus",
              "northeurope",
              "norwayeast",
              "southafricanorth",
              "southcentralus",
              "southeastasia",
              "southindia",
              "swedencentral",
              "switzerlandnorth",
              "uaenorth",
              "uksouth",
              "ukwest",
              "westcentralus",
              "westeurope",
              "westindia",
              "westus",
              "westus2",
              "westus3"
            ]
          }
        ]
      },
      "then": {
        "effect": "[parameters('effect')]",
        "details": {
          "type": "Microsoft.HybridCompute/machines/extensions",
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/cd570a14-e51a-42ad-bac8-bafd67325302"
          ],
          "existenceCondition": {
            "allOf": [
              {
                "field": "Microsoft.HybridCompute/machines/extensions/type",
                "equals": "AzureMonitorWindowsAgent"
              },
              {
                "field": "Microsoft.HybridCompute/machines/extensions/publisher",
                "equals": "Microsoft.Azure.Monitor"
              },
              {
                "field": "Microsoft.HybridCompute/machines/extensions/provisioningState",
                "equals": "Succeeded"
              }
            ]
          },
          "deployment": {
            "properties": {
              "mode": "incremental",
              "template": {
                "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
                "contentVersion": "1.0.0.0",
                "parameters": {
                  "vmName": {
                    "type": "string"
                  },
                  "location": {
                    "type": "string"
                  }
                },
                "variables": {
                  "extensionName": "AzureMonitorWindowsAgent",
                  "extensionPublisher": "Microsoft.Azure.Monitor",
                  "extensionType": "AzureMonitorWindowsAgent"
                },
                "resources": [
                  {
                    "name": "[concat(parameters('vmName'), '/', variables('extensionName'))]",
                    "type": "Microsoft.HybridCompute/machines/extensions",
                    "location": "[parameters('location')]",
                    "apiVersion": "2021-05-20",
                    "properties": {
                      "publisher": "[variables('extensionPublisher')]",
                      "type": "[variables('extensionType')]",
                      "autoUpgradeMinorVersion": true,
                      "enableAutomaticUpgrade": true,
                      "settings": {
                      "proxy": {
                        "auth": "false",
                        "mode": "application",
                        "address": "http://XXX.XXX.XXX.XXX"
                        }
                      },
					            "protectedsettings": { }
                    }
                  }
                ]
              },
              "parameters": {
                "vmName": {
                  "value": "[field('name')]"
                },
                "location": {
                  "value": "[field('location')]"
                }
              }
            }
          }
        }
      }
    }
  },
  "id": "/providers/Microsoft.Authorization/policyDefinitions/94f686d6-9a24-4e19-91f1-de937dc171a4",
  "type": "Microsoft.Authorization/policyDefinitions",
  "name": "94f686d6-9a24-4e19-91f1-de937dc171a4"
}

Configuración de la puerta de enlace de Log Analytics

1. Siga las instrucciones anteriores para configurar el proxy en el agente y especifique la dirección IP y el número de puerto correspondientes al servidor de la puerta de enlace. Si ha implementado varios servidores de puerta de enlace detrás de un equilibrador de carga, la configuración de proxy del agente es la dirección IP virtual del equilibrador de carga.
2. Agregue la dirección URL del punto de conexión de configuración para capturar las reglas de recopilación de datos en la lista de permitidos de la puerta de enlace Add-OMSGatewayAllowedHost -Host global.handler.control.monitor.azure.comAdd-OMSGatewayAllowedHost -Host <gateway-server-region-name>.handler.control.monitor.azure.com (Si usa vínculos privados en el agente, también debe agregar los puntos de conexión de recopilación de datos).
3. Agregue la dirección URL del punto de conexión de ingesta de datos a la lista de permitidos de la puerta de enlace Add-OMSGatewayAllowedHost -Host <log-analytics-workspace-id>.ods.opinsights.azure.com.
4. Reinicie el servicio OMS Gateway para aplicar los cambios Stop-Service -Name <gateway-name> y Start-Service -Name <gateway-name>.

Pasos siguientes

• Asociación de un punto de conexión a las máquinas
• Habilitación del aislamiento de red para el agente de Azure Monitor mediante Private Link.