Azure İzleyici'de örnek veri toplama kuralları (DCR)
Bu makale, farklı senaryolar için örnek veri toplama kurallarını (DCR) içerir. Bu DCR'lerdeki özelliklerin her birinin açıklamaları için bkz . Veri toplama kuralı yapısı.
Not
Bu örnekler, DCR oluşturmak veya değiştirmek için ARM şablonu veya REST API kullanıyorsanız DCR'nin kaynak JSON'unu sağlar. Oluşturma işleminden sonra DCR, Azure İzleyici'de veri toplama kuralının yapısı bölümünde açıklandığı gibi ek özelliklere sahip olur.
Azure İzleyici aracısı - olaylar ve performans verileri
Aşağıdaki örnek veri toplama kuralı, Azure İzleyici aracısı olan sanal makineler içindir ve aşağıdaki ayrıntılara sahiptir:
- Performans verileri
- 15 saniyede bir belirli İşlemci, Bellek, Mantıksal Disk ve Fiziksel Disk sayaçlarını toplar ve dakikada bir karşıya yükler.
- Belirli İşlem sayaçlarını 30 saniyede bir toplar ve 5 dakikada bir karşıya yükler.
- Windows olayları
- Windows güvenlik olaylarını toplar ve dakikada bir karşıya yükler.
- Windows uygulaması ve sistem olaylarını toplar ve 5 dakikada bir karşıya yükler.
- Syslog
- Cron tesisinden Hata Ayıklama, Kritik ve Acil durum olaylarını toplar.
- Syslog tesisinden Uyarı, Kritik ve Acil durum olaylarını toplar.
- Hedef
- Tüm verileri centralWorkspace adlı bir Log Analytics çalışma alanına gönderir.
Not
Veri toplama kurallarında olay koleksiyonunu belirtmek için kullanılan XPath'lerin açıklaması için bkz . Özel XPath sorguları ile veri toplamayı sınırlama.
{
"location": "eastus",
"properties": {
"dataSources": {
"performanceCounters": [
{
"name": "cloudTeamCoreCounters",
"streams": [
"Microsoft-Perf"
],
"scheduledTransferPeriod": "PT1M",
"samplingFrequencyInSeconds": 15,
"counterSpecifiers": [
"\\Processor(_Total)\\% Processor Time",
"\\Memory\\Committed Bytes",
"\\LogicalDisk(_Total)\\Free Megabytes",
"\\PhysicalDisk(_Total)\\Avg. Disk Queue Length"
]
},
{
"name": "appTeamExtraCounters",
"streams": [
"Microsoft-Perf"
],
"scheduledTransferPeriod": "PT5M",
"samplingFrequencyInSeconds": 30,
"counterSpecifiers": [
"\\Process(_Total)\\Thread Count"
]
}
],
"windowsEventLogs": [
{
"name": "cloudSecurityTeamEvents",
"streams": [
"Microsoft-Event"
],
"scheduledTransferPeriod": "PT1M",
"xPathQueries": [
"Security!*"
]
},
{
"name": "appTeam1AppEvents",
"streams": [
"Microsoft-Event"
],
"scheduledTransferPeriod": "PT5M",
"xPathQueries": [
"System!*[System[(Level = 1 or Level = 2 or Level = 3)]]",
"Application!*[System[(Level = 1 or Level = 2 or Level = 3)]]"
]
}
],
"syslog": [
{
"name": "cronSyslog",
"streams": [
"Microsoft-Syslog"
],
"facilityNames": [
"cron"
],
"logLevels": [
"Debug",
"Critical",
"Emergency"
]
},
{
"name": "syslogBase",
"streams": [
"Microsoft-Syslog"
],
"facilityNames": [
"syslog"
],
"logLevels": [
"Alert",
"Critical",
"Emergency"
]
}
]
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "centralWorkspace"
}
]
},
"dataFlows": [
{
"streams": [
"Microsoft-Perf",
"Microsoft-Syslog",
"Microsoft-Event"
],
"destinations": [
"centralWorkspace"
]
}
]
}
}
Azure İzleyici aracısı - metin günlükleri
Aşağıdaki örnek veri toplama kuralı, Azure İzleyici aracısını kullanarak metin günlüklerini toplamak için kullanılır. Özel metin günlükleri için akış adlarının "Özel" ön ekiyle başlaması gerektiğini unutmayın.
{
"location": "eastus",
"properties": {
"streamDeclarations": {
"Custom-MyLogFileFormat": {
"columns": [
{
"name": "TimeGenerated",
"type": "datetime"
},
{
"name": "RawData",
"type": "string"
}
]
}
},
"dataSources": {
"logFiles": [
{
"streams": [
"Custom-MyLogFileFormat"
],
"filePatterns": [
"C:\\JavaLogs\\*.log"
],
"format": "text",
"settings": {
"text": {
"recordStartTimestampFormat": "ISO 8601"
}
},
"name": "myLogFileFormat-Windows"
},
{
"streams": [
"Custom-MyLogFileFormat"
],
"filePatterns": [
"//var//*.log"
],
"format": "text",
"settings": {
"text": {
"recordStartTimestampFormat": "ISO 8601"
}
},
"name": "myLogFileFormat-Linux"
}
]
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "MyDestination"
}
]
},
"dataFlows": [
{
"streams": [
"Custom-MyLogFileFormat"
],
"destinations": [
"MyDestination"
],
"transformKql": "source",
"outputStream": "Custom-MyTable_CL"
}
]
}
}
Event Hubs
Aşağıdaki örnek veri toplama kuralı bir olay hub'ından veri toplamak için kullanılır.
{
"location": "eastus",
"properties": {
"streamDeclarations": {
"Custom-MyEventHubStream": {
"columns": [
{
"name": "TimeGenerated",
"type": "datetime"
},
{
"name": "RawData",
"type": "string"
},
{
"name": "Properties",
"type": "dynamic"
}
]
}
},
"dataSources": {
"dataImports": {
"eventHub": {
"consumerGroup": "<consumer-group>",
"stream": "Custom-MyEventHubStream",
"name": "myEventHubDataSource1"
}
}
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "MyDestination"
}
]
},
"dataFlows": [
{
"streams": [
"Custom-MyEventHubStream"
],
"destinations": [
"MyDestination"
],
"transformKql": "source",
"outputStream": "Custom-MyTable_CL"
}
]
}
}
Günlük alımı API'si
Aşağıdaki örnek veri toplama kuralı Günlük alımı API'siyle birlikte kullanılır. Aşağıdaki ayrıntılara sahiptir:
- Verileri my-workspace adlı çalışma alanında MyTable_CL adlı bir tabloya gönderir.
- Gelen verilere dönüştürme uygular.
Not
Günlük alımı API'si, uç noktanın URL'sini içeren logsIngestion özelliğini gerektirir. Bu özellik oluşturulduktan sonra DCR'ye eklenir.
{
"location": "eastus",
"properties": {
"streamDeclarations": {
"Custom-MyTable": {
"columns": [
{
"name": "Time",
"type": "datetime"
},
{
"name": "Computer",
"type": "string"
},
{
"name": "AdditionalContext",
"type": "string"
}
]
}
},
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/cefingestion/providers/microsoft.operationalinsights/workspaces/my-workspace",
"name": "LogAnalyticsDest"
}
]
},
"dataFlows": [
{
"streams": [
"Custom-MyTable"
],
"destinations": [
"LogAnalyticsDest"
],
"transformKql": "source | extend jsonContext = parse_json(AdditionalContext) | project TimeGenerated = Time, Computer, AdditionalContext = jsonContext, ExtendedColumn=tostring(jsonContext.CounterName)",
"outputStream": "Custom-MyTable_CL"
}
]
}
}
Çalışma alanı dönüştürme DCR
Aşağıdaki örnek veri toplama kuralı, LAQueryLogs adlı bir tabloya gönderilen tüm verileri dönüştürmek için çalışma alanı dönüştürme DCR'si olarak kullanılır.
{
"location": "eastus",
"properties": {
"destinations": {
"logAnalytics": [
{
"workspaceResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/my-resource-group/providers/Microsoft.OperationalInsights/workspaces/my-workspace",
"name": "clv2ws1"
}
]
},
"dataFlows": [
{
"streams": [
"Microsoft-Table-LAQueryLogs"
],
"destinations": [
"clv2ws1"
],
"transformKql": "source |where QueryText !contains 'LAQueryLogs' | extend Context = parse_json(RequestContext) | extend Resources_CF = tostring(Context['workspaces']) |extend RequestContext = ''"
}
]
}
}