Monitorare le macchine virtuali con Monitoraggio di Azure: raccogliere i dati

Questo articolo fa parte della guida Monitorare le macchine virtuali e i relativi carichi di lavoro in Monitoraggio di Azure. Descrive come configurare la raccolta dati dopo aver distribuito l'agente di Monitoraggio di Azure nelle macchine virtuali ibride e di Azure in Monitoraggio di Azure.

Questo articolo fornisce indicazioni sulla raccolta dei tipi più comuni di dati di telemetria dalle macchine virtuali. L'esatta configurazione scelta dipende dai carichi di lavoro eseguiti nei computer. Incluso in ogni sezione sono indicati avvisi di ricerca log di esempio che è possibile usare con tali dati.

• Per altre informazioni sull'analisi dei dati di telemetria raccolti dalle macchine virtuali, vedere Monitorare le macchine virtuali con Monitoraggio di Azure: Analizzare i dati di monitoraggio.
• Per altre informazioni sull'uso dei dati di telemetria raccolti dalle macchine virtuali per creare avvisi in Monitoraggio di Azure, vedere Monitorare le macchine virtuali con Monitoraggio di Azure: Avvisi.

Regole di raccolta dati

La raccolta dati dell'agente di Monitoraggio di Azure è definita da una o più regole di raccolta dati archiviate nella sottoscrizione di Azure e associate alle macchine virtuali.

Per le macchine virtuali, le regole di raccolta dati definiscono i dati come eventi e contatori delle prestazioni da raccogliere e specificano le aree di lavoro Log Analytics in cui devono essere inviati i dati. La regola di raccolta dati può anche usare le trasformazioni per filtrare i dati indesiderati e aggiungere colonne calcolate. Un singolo computer può essere associato a più regole di raccolta dati, mentre una singola regola di raccolta dati può essere associata a più macchine virtuali. Le regole di raccolta dati vengono distribuite su qualsiasi computer a cui sono associate, in cui l'agente di Monitoraggio di Azure le elabora.

Visualizzare le regole di raccolta dati

È possibile visualizzare le regole di raccolta dati nella sottoscrizione di Azure da Regole di raccolta dati nel menu Monitoraggio del portale di Azure. Le regole di raccolta dati supportano altri scenari di raccolta dati in Monitoraggio di Azure e pertanto tutte le regole di raccolta dati non necessariamente si riferiscono alle macchine virtuali.

Creare regole di raccolta dati

Esistono più metodi per creare le regole di raccolta dati a seconda dello scenario di raccolta dei dati. In alcuni casi, nel portale di Azure viene visualizzata la procedura guidata per la configurazione. Per gli altri scenari è necessario modificare direttamente una regola di raccolta dati. Quando si configura l'opzione Informazioni dettagliate macchina virtuale, viene creata automaticamente una regola di raccolta dati preconfigurata. Le sezioni seguenti identificano i dati comuni da raccogliere e spiegano come configurare la raccolta dati.

In alcuni casi, potrebbe essere necessario modificare una regola di raccolta dati per aggiungere la funzionalità. Ad esempio, è possibile usare il portale di Azure per creare una di regola di raccolta dati per la raccolta degli eventi di Windows o Syslog. Si vuole quindi aggiungere una trasformazione a tale regola di raccolta dati per filtrare le colonne negli eventi che non si vuole raccogliere.

Man mano che l'ambiente cresce e diventa più complesso, è necessario implementare una strategia per organizzare le regole di raccolta dati per semplificarne la gestione. Per indicazioni sulle diverse strategie, vedere Procedure consigliate per la creazione e la gestione delle regole di raccolta dati in Monitoraggio di Azure.

Controllare i costi

Poiché il costo di Monitoraggio di Azure dipende dalla quantità di dati raccolti, assicurarsi di non raccogliere più di quanto sia necessario a soddisfare i requisiti di monitoraggio. La configurazione è un equilibrio tra il budget e la quantità di informazioni dettagliate desiderate per il funzionamento delle macchine virtuali.

Una macchina virtuale tipica genera tra 1 GB e 3 GB di dati al mese. Le dimensioni dei dati dipendono dalla configurazione del computer, dai carichi di lavoro in esecuzione e dalla configurazione delle regole di raccolta dati. Prima di configurare la raccolta dati nell'intero ambiente di macchine virtuali, iniziare la raccolta in alcuni computer rappresentativi per prevedere meglio i costi durante la distribuzione nell'ambiente. Usare le informazioni dettagliate dell'area di lavoro Log Analytics o le query di log in Volume dati per computer per determinare la quantità di dati fatturabili raccolti per ogni computer e modificare di conseguenza.

Valutare i dati raccolti e filtrare tutti gli elementi che soddisfano i criteri seguenti per ridurre i costi. Ogni origine dati raccolta può avere un metodo diverso per filtrare i dati indesiderati. Per informazioni dettagliate su ognuna delle origini dati comuni, vedere le sezioni seguenti.

• Non utilizzato per l'invio di avvisi.
• Nessun valore noto per scopi legali o diagnostici.
• Non richiesto dai regolatori.
• Non usato in dashboard o cartelle di lavoro.

È anche possibile usare le trasformazioni per implementare filtri più granulari e anche per filtrare i dati delle colonne che forniscono un valore basso. Ad esempio, potrebbe essere presente un evento di Windows utile per l'invio di avvisi, ma che include colonne con dati ridondanti o eccessivi. È possibile creare una trasformazione che consente di raccogliere l'evento, ma che rimuove i dati eccessivi.

Filtrare i dati il più possibile prima dell'invio a Monitoraggio di Azure per evitare un potenziale addebito per operazioni di filtro di una quantità eccessiva di dati mediante le trasformazioni. Usare le trasformazioni per filtrare i record usando logica complessa e per filtrare le colonne con dati non necessari.

Raccolta dati predefinita

Monitoraggio di Azure esegue automaticamente la raccolta dati seguente senza richiedere altre configurazioni.

Metriche della piattaforma

Le metriche della piattaforma per le macchine virtuali di Azure includono metriche host importanti, ad esempio CPU, rete e utilizzo del disco. Possono essere:

• Visualizzato nella pagina di panoramica.
• Analizzato con Esplora metriche per il computer nel portale di Azure.
• Usato per avvisi relativi alle metriche.

Log attività

Il log attività viene raccolto automaticamente. Include l'attività recente del computer, ad esempio eventuali modifiche alla configurazione e l'arresto e l'avvio. È possibile visualizzare le metriche della piattaforma e il log attività raccolti per ogni computer host nel portale di Azure.

È possibile visualizzare il log attività per un singolo computer o per tutte le risorse in una sottoscrizione. Creare un'impostazione di diagnostica per inviare questi dati nella stessa area di lavoro Log Analytics usata dall'agente di Monitoraggio di Azure per analizzarli con gli altri dati di monitoraggio raccolti per la macchina virtuale. Non sono previsti costi per l'inserimento o la conservazione dei dati del log attività.

Informazioni sulla disponibilità delle macchine virtuali in Azure Resource Graph

Con Azure Resource Graphè possibile usare lo stesso linguaggio di query Kusto usato nelle query di log per eseguire query sulle risorse di Azure su larga scala con filtri complessi, raggruppamenti e ordinamento in base alle proprietà delle risorse. È possibile usare le annotazioni sull'integrità delle macchine virtuali in Resource Graph per l'attribuzione dettagliata degli errori e l'analisi dei tempi di inattività.

Per informazioni sui dati raccolti e su come visualizzarli, vedere Monitorare le macchine virtuali con Monitoraggio di Azure: Analizzare i dati di monitoraggio.

Informazioni dettagliate macchina virtuale

Quando si abilita l'opzione Informazioni dettagliate macchina virtuale, viene creata una regola di raccolta dati con il prefisso MSVMI- per la raccolta delle informazioni seguenti. È possibile usare questa stessa regola di raccolta dati in altri computer anziché crearne una nuova per ogni macchina virtuale.

• I contatori delle prestazioni comuni per il sistema operativo client vengono inviati alla tabella InsightsMetrics nell'area di lavoro Log Analytics. I nomi dei contatori vengono normalizzati per usare lo stesso nome comune indipendentemente dal tipo di sistema operativo.

• Se sono stati specificati processi e dipendenze da raccogliere, vengono popolate le tabelle seguenti:

  • VMBoundPort: traffico per porte server aperte nel computer
  • VMComputer: dati di inventario per il computer
  • VMConnection: traffico per le connessioni in ingresso e in uscita da e verso il computer
  • VMProcess: processi in esecuzione nel computer

Per impostazione predefinita, l'opzione Informazioni dettagliate macchina virtuale non abilita la raccolta di processi e dipendenze per ridurre i costi di inserimento dei dati. Questi dati sono necessari per la funzionalità di mapping e distribuiscono anche Dependency Agent nel computer. Abilitare questa raccolta se si vuole usare questa funzionalità.

Raccogliere eventi di Windows e Syslog

Il sistema operativo e le applicazioni nelle macchine virtuali spesso scrivono nel registro eventi di Windows o Syslog. È possibile creare un avviso non appena viene trovato un evento oppure attendere una serie di eventi corrispondenti all'interno di una determinata finestra temporale. È anche possibile raccogliere eventi per un'analisi successiva, ad esempio l'identificazione di tendenze specifiche nel tempo o l'esecuzione della risoluzione dei problemi dopo che si è verificato un problema.

Per indicazioni su come creare una regola di raccolta dati per raccogliere gli eventi di Windows e Syslog, vedere Raccogliere dati con l'agente di Monitoraggio di Azure. È possibile creare rapidamente una regola di raccolta dati usando i log eventi di Windows più comuni e le strutture Syslog filtrando in base al livello di evento.

Per un filtro più granulare in base a criteri, ad esempio l'ID evento, è possibile creare un filtro personalizzato usando query XPath. È possibile filtrare ulteriormente i dati raccolti modificando la regola di raccolta dati per aggiungere una trasformazione.

Usare le indicazioni seguenti come punto di partenza consigliato per la raccolta di eventi. Modificare le impostazioni della regola di raccolta dati per filtrare gli eventi non necessari e aggiungere altri eventi in base alle esigenze.

Query di log di esempio: eventi di Windows

Query di log di esempio: eventi Syslog

Raccogliere i contatori delle prestazioni

I dati sulle prestazioni del client possono essere inviati alle metriche di Monitoraggio di Azure o ai log di Monitoraggio di Azure, in genere a entrambe le destinazioni. Se l'opzione Informazioni dettagliate macchina virtuale è stata abilitata, viene raccolto un set comune di contatori delle prestazioni in Log per supportare i grafici delle prestazioni. Non è possibile modificare questo set di contatori, ma è possibile creare altre regole di raccolta dati per raccogliere più contatori e inviarli a destinazioni diverse.

Esistono diversi motivi per cui si vuole creare una regola di raccolta dati per raccogliere le prestazioni guest:

• Non si usano informazioni dettagliate sulle macchine virtuali, quindi i dati sulle prestazioni del client non vengono già raccolti.
• Raccogliere altri contatori delle prestazioni che l'opzione Informazioni dettagliate macchina virtuale non raccoglie.
• Raccogliere i contatori delle prestazioni da altri carichi di lavoro in esecuzione nel client.
• Inviare i dati sulle prestazioni alle metriche di Monitoraggio di Azure in cui è possibile usarli con Esplora metriche e gli avvisi delle metriche.

Per indicazioni sulla creazione di una regola di raccolta dati per raccogliere i contatori delle prestazioni, vedere Raccogliere eventi e contatori delle prestazioni dalle macchine virtuali con l'agente di Monitoraggio di Azure. È possibile creare rapidamente una regola di raccolta dati usando i contatori più comuni. Per un filtro più granulare in base a criteri, ad esempio l'ID evento, è possibile creare un filtro personalizzato usando query XPath.

Query di log di esempio

Gli esempi seguenti usano la Perf tabella con dati sulle prestazioni personalizzati.

Raccogliere i log di testo

Alcune applicazioni scrivono eventi scritti in un log di testo archiviato nella macchina virtuale. Creare una tabella e una regola di raccolta dati personalizzate per raccogliere questi dati. Definire il percorso del log di testo, la relativa configurazione dettagliata e lo schema della tabella personalizzata. È previsto un costo per l'inserimento e la conservazione di questi dati nell'area di lavoro.

Query di log di esempio

I nomi di colonna usati qui sono solo esempi. I nomi delle colonne per il log saranno probabilmente diversi.

Raccogliere log di IIS

IIS in esecuzione nei computer Windows scrive i log in un file di testo. Configurare la raccolta di log IIS facendo riferimenti alle istruzioni riportate in Raccogliere i log IIS con l'agente di Monitoraggio di Azure. È previsto un costo per l'inserimento e la conservazione di questi dati nell'area di lavoro.

I record del log IIS vengono archiviati nella tabella W3CIISLog nell'area di lavoro Log Analytics. È previsto un costo per l'inserimento e la conservazione di questi dati nell'area di lavoro.

Query di log di esempio

Monitorare un servizio o un daemon

Per monitorare lo stato di un servizio Windows o di un daemon Linux, abilitare la soluzione Rilevamento modifiche e inventario in Automazione di Azure.

Monitoraggio di Azure non è in grado di monitorare autonomamente lo stato di un servizio o di un daemon. Esistono alcuni metodi possibili da usare, ad esempio la ricerca di eventi nel registro eventi di Windows, ma questo metodo non è affidabile. È anche possibile cercare il processo associato al servizio in esecuzione nel computer mediante la tabella VMProcess popolata dalle informazioni dettagliate sulle macchine virtuali. Questa tabella viene aggiornata solo ogni ora, un intervallo di tempo in genere insufficiente se si vogliono usare questi dati per l'invio di avvisi.

Per informazioni sulle diverse opzioni per abilitare la soluzione Rilevamento modifiche nelle macchine virtuali, vedere Abilitare Rilevamento modifiche e inventario. Questa soluzione include metodi per configurare le macchine virtuali su larga scala. È necessario creare un account di Automazione di Azure per supportare la soluzione.

Quando si abilita Rilevamento modifiche e inventario, nell'area di lavoro Log Analytics vengono create due nuove tabelle. Usare queste tabelle per le query di log e le regole di avviso di ricerca log.

Query di log di esempio

• Elencare tutti i servizi e i daemon avviati di recente.

  ConfigurationChange
  | where ConfigChangeType == "Daemons" or ConfigChangeType == "WindowsServices"
  | where SvcState == "Running"
  | sort by Computer, SvcName
  

• Avvisa quando un servizio specifico si arresta. Usare questa query in una regola di avviso di ricerca log.

  ConfigurationData
  | where SvcName == "W3SVC" 
  | where SvcState == "Stopped"
  | where ConfigDataType == "WindowsServices"
  | where SvcStartupType == "Auto"
  | summarize AggregatedValue = count() by Computer, SvcName, SvcDisplayName, SvcState, bin(TimeGenerated, 15m)
  

• Avvisa quando si arresta un servizio di un set di servizi. Usare questa query in una regola di avviso di ricerca log.

  let services = dynamic(["omskd","cshost","schedule","wuauserv","heathservice","efs","wsusservice","SrmSvc","CertSvc","wmsvc","vpxd","winmgmt","netman","smsexec","w3svc","sms_site_vss_writer","ccmexe","spooler","eventsystem","netlogon","kdc","ntds","lsmserv","gpsvc","dns","dfsr","dfs","dhcp","DNSCache","dmserver","messenger","w32time","plugplay","rpcss","lanmanserver","lmhosts","eventlog","lanmanworkstation","wnirm","mpssvc","dhcpserver","VSS","ClusSvc","MSExchangeTransport","MSExchangeIS"]);
  ConfigurationData
  | where ConfigDataType == "WindowsServices"
  | where SvcStartupType == "Auto"
  | where SvcName in (services)
  | where SvcState == "Stopped"
  | project TimeGenerated, Computer, SvcName, SvcDisplayName, SvcState
  | summarize AggregatedValue = count() by Computer, SvcName, SvcDisplayName, SvcState, bin(TimeGenerated, 15m)
  

Monitorare una porta

Il monitoraggio delle porte verifica che un computer sia in ascolto su una determinata porta. Di seguito sono descritte due possibili strategie per il monitoraggio delle porte.

Tabelle di Dependency Agent

Se si usano le informazioni dettagliate sulle macchine virtuali con la funzionalità Raccolta processi e dipendenze abilitata, è possibile usare VMConnection e VMBoundPort per analizzare le connessioni e le porte nel computer. La tabella VMBoundPort viene aggiornata ogni minuto con ogni processo in esecuzione nel computer e nella porta su cui è in ascolto. È possibile creare un avviso di ricerca log simile all'avviso heartbeat mancante per trovare i processi arrestati o per inviare un avviso quando il computer non è in ascolto su una determinata porta.

• Esaminare il numero di porte aperte nelle macchine virtuali per valutare le macchine virtuali con vulnerabilità a livello di configurazione e sicurezza.

  VMBoundPort
  | where Ip != "127.0.0.1"
  | summarize by Computer, Machine, Port, Protocol
  | summarize OpenPorts=count() by Computer, Machine
  | order by OpenPorts desc
  

• Elencare le porte associate nelle macchine virtuali per valutare le macchine virtuali con vulnerabilità a livello di configurazione e sicurezza.

  VMBoundPort
  | distinct Computer, Port, ProcessName
  

• Analizzare l'attività di rete in base alla porta per determinare la configurazione dell'applicazione o del servizio.

  VMBoundPort
  | where Ip != "127.0.0.1"
  | summarize BytesSent=sum(BytesSent), BytesReceived=sum(BytesReceived), LinksEstablished=sum(LinksEstablished), LinksTerminated=sum(LinksTerminated), arg_max(TimeGenerated, LinksLive) by Machine, Computer, ProcessName, Ip, Port, IsWildcardBind
  | project-away TimeGenerated
  | order by Machine, Computer, Port, Ip, ProcessName
  

• Esaminare le tendenze di byte inviati e ricevuti per le macchine virtuali.

  VMConnection
  | summarize sum(BytesSent), sum(BytesReceived) by bin(TimeGenerated,1hr), Computer
  | order by Computer desc
  | render timechart
  

• Usare gli errori di connessione nel tempo per determinare se la frequenza degli errori è stabile o variabile.

  VMConnection
  | where Computer == <replace this with a computer name, e.g. 'acme-demo'>
  | extend bythehour = datetime_part("hour", TimeGenerated)
  | project bythehour, LinksFailed
  | summarize failCount = count() by bythehour
  | sort by bythehour asc
  | render timechart
  

• Collegare le tendenze di stato per analizzare il comportamento e lo stato di connessione di un computer.

  VMConnection
  | where Computer == <replace this with a computer name, e.g. 'acme-demo'>
  | summarize  dcount(LinksEstablished), dcount(LinksLive), dcount(LinksFailed), dcount(LinksTerminated) by bin(TimeGenerated, 1h)
  | render timechart
  

Gestione connessioni

La funzionalità Monitoraggio connessione di Network Watcher viene usata per testare le connessioni a una porta in una macchina virtuale. Un test verifica che il computer sia in ascolto sulla porta e che sia accessibile in rete.

Gestione connessioni richiede l'estensione Network Watcher nel computer client che avvia il test. Non è necessario installarlo nel computer sottoposto a test. Per altre informazioni, vedere Esercitazione: Monitorare le comunicazioni di rete tramite il portale di Azure.

È previsto un costo aggiuntivo per Gestione connessione. Per altre informazioni, vedere Prezzi di Network Watcher.

Eseguire un processo in un computer locale

Il monitoraggio di alcuni carichi di lavoro richiede un processo locale. Un esempio è uno script di PowerShell eseguito nel computer locale per connettersi a un'applicazione e raccogliere o elaborare i dati. È possibile usare il ruolo di lavoro ibrido per runbook, che fa parte di Automazione di Azure, per eseguire uno script di PowerShell locale. Non è previsto alcun addebito diretto per il ruolo di lavoro ibrido per runbook, ma è previsto un costo per ogni runbook usato.

Il runbook può accedere a qualsiasi risorsa nel computer locale per raccogliere i dati necessari. Non può inviare dati direttamente a Monitoraggio di Azure o creare un avviso. Per creare un avviso, chiedere al runbook di scrivere una voce in un log personalizzato. Configurare quindi il log che verrà raccolto da Monitoraggio di Azure. Creare una regola di avviso di ricerca log che viene attivata sulla voce di log.

Passaggi successivi

• Analizzare i dati di monitoraggio raccolti per le macchine virtuali
• Creare avvisi dai dati raccolti