チュートリアル: Azure リソースのログ検索アラートを作成する

[アーティクル]
04/12/2024

Azure Monitor のアラートは、監視データで重要な状態が見つかると事前に通知します。ログ検索警告ルールは、ログクエリが特定の結果を返す場合にアラートを作成します。たとえば、仮想マシンで特定のイベントが作成された場合にアラートを受信したり、ストレージアカウントに対して過剰な数の匿名要求が行われた場合に警告を送信したりします。

このチュートリアルでは、次の作業を行う方法について説明します。

さまざまな種類のリソースのアラートルールをサポートするように設計された事前構築済みのログクエリにアクセスする
ログ検索警告ルールを作成する
通知の詳細を定義するアクショングループを作成する

前提条件

このチュートリアルを完了するには、以下のものが必要です:

監視する Azure リソース。診断設定がサポートされている、Azure サブスクリプション内の任意のリソースを使用できます。リソースで診断設定がサポートされているかどうかを調べるには、Azure portal でリソースのメニューの [監視] セクションに [診断設定] オプションがあることを確認します。

仮想マシン以外の Azure リソースを使用している場合は、以下が必要です。

Azure リソースから Log Analytics ワークスペースにリソースログを送信する診断設定。チュートリアル: Azure Monitor での Log Analytics ワークスペースの作成に関するページをご覧ください。

Azure 仮想マシンを使用している場合は、以下が必要です。

ゲストのログとメトリックを Log Analytics ワークスペースに送信するデータ収集ルール。「チュートリアル: Azure 仮想マシンからゲストのログとメトリックを収集する」をご覧ください。

ログクエリを選択し、結果を確認する

Log Analytics ワークスペースからデータを取得するには、Kusto クエリ言語 (KQL) で記述したログクエリを使用します。 Azure Monitor の分析情報とソリューションには、特定のサービスのデータを取得するためのログクエリが用意されていますが、Azure portal では Log Analytics を使用してログクエリとその結果を直接処理することができます。

リソースのメニューから [ログ] を選択します。 Log Analytics が [クエリ] ウィンドウとともに開き、[リソースの種類] に対する事前構築済みのクエリが表示されます。 [アラート] を選択して、警告ルール用に設計されたクエリを表示します。

Note

[クエリ] ウィンドウが開かない場合は、右上にある [クエリ] をクリックします。

クエリを選択し、 [実行] をクリックしてクエリエディターに読み込み、結果を返します。クエリを変更して、もう一度実行することもできます。たとえば、ストレージアカウントに対する匿名要求の表示クエリが次のスクリーンショットに示されています。 [AuthenticationType] を変更したり、別の列でフィルター処理したりできます。

アラートルールの作成

クエリを確認したら、アラートルールを作成できます。 [新しいアラートルール] を選択し、現在のログクエリに基づいて新しいアラートルールを作成します。 [スコープ] は既に現在のリソースに設定されています。この値を変更する必要はありません。

条件の構成

[条件] タブでは、[ログクエリ] が既に入力されています。 [測定] セクションでは、ログクエリからのレコードの測定方法を定義します。クエリで集計が行われない場合、唯一のオプションは [テーブルの行] を [カウント] することです。クエリに 1 つ以上の集計された列が含まれる場合は、[テーブルの行] の数を使用するか、または集計された列のいずれかに基づく計算を行うかを選択できます。 [集約粒度] は、収集された値を集約する時間間隔を定義します。たとえば、集計の細分性が 5 分に設定されている場合、警告ルールは過去 5 分間に集計されたデータを評価します。集計の細分性が 15 分に設定されている場合、警告ルールは過去 15 分間に集計されたデータを評価します。警告ルールはアラートの精度に影響を与える可能性があるため、警告ルールに適した集計の細分性を選択することが重要です。

Note

ログ警告ルールのプロパティ内のすべてのデータの合計サイズが 64KB を超えることはできません。これは、ディメンションが多すぎる、クエリが大きすぎる、アクショングループが多すぎる、または説明が長いことが原因で発生する可能性があります。大きな警告ルールを作成する場合は、これらの領域を最適化することを忘れないでください。

ディメンションの構成

[Split by dimensions](ディメンションで分割) すると、さまざまなリソースに対して個別のアラートを作成できます。この設定は、複数のリソースに適用されるアラートルールを作成する場合に便利です。スコープが 1 つのリソースに設定されている場合、この設定は通常使用されません。

アラート通知メールに特定のディメンションを含める必要がある場合は、ディメンション ("コンピューター" など) を指定できます。アラート通知メールには、アラートをトリガーしたコンピューター名が含まれます。アラートエンジンは、アラートクエリを使用して使用可能なディメンションを決定します。 "ディメンション名" のドロップダウンリストに目的のディメンションが表示されない場合は、アラートクエリで結果にその列が公開されないことが理由です。使用する列を含む Project 行をクエリに追加することで、必要なディメンションを簡単に追加できます。 [集計] 行を使用して、クエリ結果にさらに列を追加することもできます。

アラートロジックの構成

アラートロジックで [演算子] と [しきい値] を設定して、測定から返された値と比較します。この値が true の場合、アラートが作成されます。 [評価の頻度] の値を選択します。この値は、ログクエリを実行して評価する頻度を定義します。アラートルールのコストは、頻度の値が小さいほど増加します。頻度を選択すると、一定期間のクエリ結果のプレビューに加えて、推定月額コストが表示されます。

たとえば、測定が [テーブルの行] である場合は、アラートロジックを、少なくとも 1 つのレコードが返されたことを示す [0 より大きい] にできます。測定が列の値の場合、ロジックは特定のしきい値より大きいか、またはより小さい必要があります。次の例では、ログクエリはストレージアカウントに対する匿名要求を検索しています。匿名の要求が行われた場合には、アラートをトリガーする必要があります。この場合、1 行が返された時点でアラートをトリガーします。そのため、アラートロジックは [Greater than 0](0 より大きい) となります。

アクションを構成する

アクショングループは、携帯ショートメール (SMS) メッセージやメールの送信など、アラートが発生したときに実行される一連のアクションを定義するものです。

アクションを構成するには、[アクション] タブを選択します。

[アクショングループの選択] をクリックして、アラートルールにアクショングループを追加します。

選択すべきアクショングループがまだサブスクリプションにない場合は、 [アクショングループの作成] をクリックして新たに作成します。

アクショングループのサブスクリプションとリソースグループを選択し、ポータルに表示されるアクショングループ名と、メールや SMS 通知に記載される表示名を指定します。

[通知] タブを選択し、アラートが発生したときに適切な人員に通知する方法を追加します。複数の方法を追加することもできます。

詳細の構成

詳細タブを選択し、アラートルールのさまざまな設定を構成します。

[アラートルール名] はアラートが発生したときに表示されるため、わかりやすい名前を指定する必要があります。
必要に応じて、アラートの詳細に含める [アラートルールの説明] を入力します。
アラートルールの保存先となるサブスクリプションとリソースグループ。監視対象のリソースと同じリソースグループである必要はありません。
アラートの [重要度] です。相対的な重要度が近いアラートをグループ化できます。応答しない仮想マシンには、 [エラー] という重要度が適しています。
[詳細オプション] の [作成時に有効化] チェックボックスはオンのままにします。
[詳細オプション] の [アラートを自動的に解決する] チェックボックスはオンのままにします。これにより、アラートがステートフルになります。つまり、条件が満たされなくなった場合にアラートが解決されます。