Rozhraní API pro příjem protokolů ve službě Azure Monitor

Rozhraní API pro příjem protokolů ve službě Azure Monitor umožňuje odesílat data do pracovního prostoru služby Log Analytics pomocí volání rozhraní REST API nebo klientských knihoven. Rozhraní API umožňuje odesílat data do podporovaných tabulek Azure nebo do vlastních tabulek, které vytvoříte. Schéma tabulek Azure můžete také rozšířit vlastními sloupci , aby přijímaly další data.

Základní operace

Data je možné odesílat do rozhraní API pro příjem protokolů z libovolné aplikace, která může volat rozhraní REST API. Může se jednat o vlastní aplikaci, kterou vytvoříte, nebo se jedná o aplikaci nebo agenta, která rozumí způsobu odesílání dat do rozhraní API. Určuje pravidlo shromažďování dat (DCR), které zahrnuje cílovou tabulku a pracovní prostor a přihlašovací údaje registrace aplikace s přístupem k zadanému řadiči domény. Odesílá data do koncového bodu určeného řadičem domény nebo do koncového bodu shromažďování dat (DCE), pokud používáte privátní propojení.

Data odesílaná vaší aplikací do rozhraní API musí být naformátovaná ve formátu JSON a musí odpovídat struktuře očekávané dcR. Nemusí nutně odpovídat struktuře cílové tabulky, protože řadič domény může obsahovat transformaci , která převede data tak, aby odpovídala struktuře tabulky. Cílovou tabulku a pracovní prostor můžete upravit úpravou dcR beze změny volání nebo zdrojových dat rozhraní API.

Konfigurace

Následující tabulka popisuje jednotlivé komponenty v Azure, které musíte nakonfigurovat, abyste mohli použít rozhraní API pro příjem protokolů.

Koncový bod

Koncový bod rozhraní REST API pro rozhraní API pro příjem protokolů může být koncový bod shromažďování dat (DCE) nebo koncový bod příjmu protokolů DCR.

Koncový bod příjmu protokolů DCR se vygeneruje při vytváření DCR pro přímý příjem dat. Pokud chcete tento koncový bod načíst, otevřete řadič domény v zobrazení JSON na webu Azure Portal. Možná budete muset změnit verzi rozhraní API na nejnovější verzi, aby se koncové body zobrazily.

DCE se vyžaduje jenom v případě, že se připojujete k pracovnímu prostoru služby Log Analytics pomocí privátního propojení nebo pokud řadič domény neobsahuje koncový bod pro příjem protokolů. To může být v případě, že používáte starší řadič domény nebo jste vytvořili řadič domény bez parametru "kind": "Direct" . Další podrobnosti najdete níže v tématu Pravidlo shromažďování dat (DCR).

Pravidlo shromažďování dat (DCR)

Když vytvoříte vlastní tabulku v pracovním prostoru služby Log Analytics pomocí webu Azure Portal, vytvoří se pro vás dcR, který se dá použít s rozhraním API pro příjem protokolů. Pokud odesíláte data do tabulky, která už existuje, musíte řadič domény vytvořit ručně. Začněte ukázkou DCR níže a nahraďte hodnoty následujících parametrů v šabloně. K vytvoření DCR použijte některou z metod popsaných v tématu Vytvoření a úprava pravidel shromažďování dat (DCR) ve službě Azure Monitor .

{
    "location": "eastus",
    "dataCollectionEndpointId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/my-resource-group/providers/Microsoft.Insights/dataCollectionEndpoints/dce-eastus",
    "kind": "Direct",
    "properties": {
        "streamDeclarations": {
            "Custom-MyTable": {
                "columns": [
                    {
                        "name": "Time",
                        "type": "datetime"
                    },
                    {
                        "name": "Computer",
                        "type": "string"
                    },
                    {
                        "name": "AdditionalContext",
                        "type": "string"
                    }
                ]
            }
        },
        "destinations": {
            "logAnalytics": [
                {
                    "workspaceResourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/cefingestion/providers/microsoft.operationalinsights/workspaces/my-workspace",
                    "name": "LogAnalyticsDest"
                }
            ]
        },
        "dataFlows": [
            {
                "streams": [
                    "Custom-MyTable"
                ],
                "destinations": [
                    "LogAnalyticsDest"
                ],
                "transformKql": "source",
                "outputStream": "Custom-MyTable_CL"
            }
        ]
    }
}

Klientské knihovny

Kromě volání rozhraní REST API můžete k odesílání dat do rozhraní API pro příjem protokolů použít následující klientské knihovny. Knihovny vyžadují stejné součásti popsané v konfiguraci. Příklady použití každé z těchto knihoven najdete v ukázkovém kódu pro odesílání dat do služby Azure Monitor pomocí rozhraní API pro příjem protokolů.

• .NET
• Přejít
• Java
• JavaScript
• Python

Volání rozhraní REST API

Pokud chcete odesílat data do služby Azure Monitor pomocí volání rozhraní REST API, proveďte volání POST přes protokol HTTP. Podrobnosti potřebné pro toto volání jsou popsány v této části.

Identifikátor URI

Identifikátor URI zahrnuje oblast, koncový bod pro příjem dat DCE nebo DCR, ID DCR a název datového proudu. Určuje také verzi rozhraní API.

Identifikátor URI používá následující formát.

{Endpoint}/dataCollectionRules/{DCR Immutable ID}/streams/{Stream Name}?api-version=2023-01-01

Příklad:

https://my-dce-5kyl.eastus-1.ingest.monitor.azure.com/dataCollectionRules/dcr-000a00a000a00000a000000aa000a0aa/streams/Custom-MyTable?api-version=2023-01-01

Vygeneruje se DCR Immutable ID pro dcR při jeho vytvoření. Můžete ho načíst ze stránky Přehled dcR na webu Azure Portal.

Stream Name odkazuje na datový proud v DCR, který by měl zpracovávat vlastní data.

Hlavičky

Následující tabulka popisuje hlavičky pro volání rozhraní API.

Text

Tělo volání obsahuje vlastní data, která se mají odesílat do služby Azure Monitor. Tvar dat musí být pole JSON se strukturou položek, která odpovídá formátu očekávanému datovým proudem v DCR. Pokud je potřeba odeslat jednu položku v rámci volání rozhraní API, měla by se data odeslat jako pole s jednou položkou.

Příklad:

[
{
    "TimeGenerated": "2023-11-14 15:10:02",
    "Column01": "Value01",
    "Column02": "Value02"
}
]

Ujistěte se, že je tělo požadavku správně zakódované v kódování UTF-8, aby se zabránilo problémům s přenosem dat.

Příklad

Příklad volání rozhraní API pomocí PowerShellu najdete v ukázkovém kódu pro odesílání dat do služby Azure Monitor pomocí rozhraní API pro příjem protokolů.

Podporované tabulky

Data odesílaná do rozhraní API pro příjem dat je možné odeslat do následujících tabulek:

• ADAssessmentRecommendation
  
• ADSecurityAssessmentRecommendation
  
• Anomálie
  
• ASimAuditEventLogs
  
• ASimAuthenticationEventLogs
  
• ASimDhcpEventLogs
  
• ASimDnsActivityLogs
  
• ASimDnsAuditLogs
  
• ASimFileEventLogs
  
• ASimNetworkSessionLogs
  
• ASimProcessEventLogs
  
• ASimRegistryEventLogs
  
• ASimUserManagementActivityLogs
  
• ASimWebSessionLogs
  
• AWSCloudTrail
  
• AWSCloudWatch
  
• AWSGuardDuty
  
• AWSVPCFlow
  
• AzureAssessmentRecommendation
  
• CommonSecurityLog
  
• DeviceTvmSecureConfigurationAssessmentKB
  
• DeviceTvmSoftwareVulnerabilitiesKB
  
• ExchangeAssessmentRecommendation
  
• ExchangeOnlineAssessmentRecommendation
  
• GCPAuditLogs
  
• GoogleCloudSCC
  
• SCCMAssessmentRecommendation
  
• SCOMAssessmentRecommendation
  
• SecurityEvent
  
• SfBAssessmentRecommendation
  
• SfBOnlineAssessmentRecommendation
  
• SharePointOnlineAssessmentRecommendation
  
• SPAssessmentRecommendation
  
• SQLAssessmentRecommendation
  
• StorageInsightsAccountPropertiesDaily
  
• StorageInsightsDailyMetrics
  
• StorageInsightsHourlyMetrics
  
• StorageInsightsMonthlyMetrics
  
• StorageInsightsWeeklyMetrics
  
• Syslog
  
• UCClient
  
• UCClientReadinessStatus
  
• UCClientUpdateStatus
  
• UCDeviceAlert
  
• UCDOAggregatedStatus
  
• UCDOStatus
  
• UCServiceUpdateStatus
  
• UCUpdateAlert
  
• WindowsClientAssessmentRecommendation
  
• WindowsEvent
  
• WindowsServerAssessmentRecommendation
  

Limity a omezení

Omezení související s rozhraním API pro příjem protokolů najdete v tématu Omezení služby Azure Monitor.

Další kroky

• Projděte si kurz odesílání dat do protokolů služby Azure Monitor pomocí rozhraní API pro příjem protokolů na webu Azure Portal.
• Projděte si kurz odesílání vlastních protokolů pomocí šablon Resource Manageru a rozhraní REST API.
• Získejte pokyny k používání klientských knihoven pro rozhraní API pro příjem protokolů pro .NET, Javu, JavaScript nebo Python.