Installare l'agente di Monitoraggio di Azure nei dispositivi client Windows usando il programma di installazione client

Usare il programma di installazione client per installare l'agente di Monitoraggio di Azure nei dispositivi client Windows e inviare i dati di monitoraggio all'area di lavoro Log Analytics. L'estensione agente di Monitoraggio di Azure e il programma di installazione installano lo stesso agente sottostante e usano le regole di raccolta dati per configurare la raccolta dati. Questo articolo illustra come installare l'agente di Monitoraggio di Azure nei dispositivi client Windows usando il programma di installazione client e come associare le regole di raccolta dati ai dispositivi client Windows.

Confronto con l'estensione macchina virtuale

Di seguito è riportato un confronto tra il programma di installazione client e l'estensione macchina virtuale per l'agente di Monitoraggio di Azure:

Tipi di dispositivo supportati

Prerequisiti

• Il computer deve eseguire il sistema operativo client Windows versione 10 RS4 o successiva.
• Per scaricare il programma di installazione, il computer deve avere C++ Redistributable versione 2015) o versione successiva
• Il computer deve essere aggiunto a un tenant di Microsoft Entra (computer AADj o AADj ibridi), che consente all'agente di recuperare i token del dispositivo Microsoft Entra usati per autenticare e recuperare le regole di raccolta dati da Azure.
• Potrebbe essere necessario disporre delle autorizzazioni di amministratore tenant nel tenant di Microsoft Entra.
• Il dispositivo deve avere accesso agli endpoint HTTPS seguenti:
  • global.handler.control.monitor.azure.com
  • <virtual-machine-region-name>.handler.control.monitor.azure.com (esempio: westus.handler.control.monitor.azure.com)
  • <log-analytics-workspace-id>.ods.opinsights.azure.com (ad esempio: 12345a01-b1cd-1234-e1f2-1234567g8h99.ods.opinsights.azure.com) (Se si usano collegamenti privati nell'agente, è necessario aggiungere anche gli endpoint di raccolta dati)
• Regola di raccolta dati da associare ai dispositivi. Se non esiste già, creare una regola di raccolta dati. Non associare la regola ad alcuna risorsa.
• Prima di usare qualsiasi cmdlet di PowerShell, verificare che il modulo PowerShell correlato ai cmdlet sia installato e importato.

Limiti

• Le regole di raccolta dati create per i computer client Windows possono essere destinate solo all'intero ambito del tenant di Microsoft Entra. Ovvero, una regola di raccolta dati associata a un oggetto monitorato si applica a tutti i computer client Windows in cui si installa l'agente di Monitoraggio di Azure usando questo programma di installazione client all'interno del tenant. La selezione granulare tramite regole di raccolta dati non è ancora supportata per i dispositivi client Windows.
• L'agente di Monitoraggio di Azure non supporta il monitoraggio dei computer Windows connessi tramite collegamenti privati di Azure.
• L'agente installato tramite il programma di installazione client Windows è progettato principalmente per desktop o workstation Windows che sono sempre connessi. Anche se è possibile installare l'agente di Monitoraggio di Azure nei portatili usando il programma di installazione, l'agente non è ottimizzato per il consumo di batteria e le limitazioni di rete in un portatile.
• Le metriche di Monitoraggio di Azure non sono supportate come destinazione per i dispositivi client Windows.

Installare l'agente

1. Scaricare il programma di installazione MSI di Windows per l'agente usando questo collegamento. È anche possibile scaricarlo da Monitoraggio>Regole di raccolta dati>Creare esperienza nel portale di Azure (illustrato nello screenshot seguente):

   

2. Aprire una finestra del prompt dei comandi amministratore con privilegi elevati e passare alla directory in cui è stato scaricato il programma di installazione.

3. Per eseguire l'installazione con le impostazioni predefinite, eseguire il comando seguente:

   msiexec /i AzureMonitorAgentClientSetup.msi /qn
   

4. Per eseguire l'installazione con percorsi di file personalizzati, [impostazioni proxy di rete](./azure-monitor-agent-network-configuration.md o in un cloud non pubblico usare il comando seguente con i valori della tabella seguente:

   msiexec /i AzureMonitorAgentClientSetup.msi /qn DATASTOREDIR="C:\example\folder"
   

   Parametro	Descrizione
   INSTALLDIR	Percorso della directory in cui sono installati i file binari dell'agente
   DATASTOREDIR	Percorso della directory in cui l'agente archivia i log e i dati operativi
   PROXYUSE	Deve essere impostato su "true" per l'uso del proxy
   PROXYADDRESS	Impostare su Indirizzo proxy. PROXYUSE deve essere impostato su "true" per essere applicato correttamente
   PROXYUSEAUTH	Impostare su "true" se il proxy richiede l'autenticazione
   PROXYUSERNAME	Impostare su Nome utente proxy. PROXYUSE e PROXYUSEAUTH devono essere impostati su "true"
   PROXYPASSWORD	Impostare su Password proxy. PROXYUSE e PROXYUSEAUTH devono essere impostati su "true"
   CLOUDENV	Impostare su Cloud. "Azure Commercial", "Azure China", "Azure US Gov", "Azure USNat" o "Azure USSec"

5. Verificare l'esito positivo dell'installazione:

   • Aprire il Pannello di controllo ->Programmi e funzionalità OPPURE Impostazioni ->App ->App e funzionalità e assicurarsi di visualizzare l'elenco "Agente di Monitoraggio di Azure"
   • Aprire Servizi e confermare che l'agente di Monitoraggio di Azure sia elencato e visualizzato come In esecuzione.

6. Procedere con la creazione dell'oggetto monitorato a cui verranno associate le regole di raccolta dati per consentire all'agente di avviare effettivamente il funzionamento.

Creare e associare un oggetto monitorato

È necessario creare un oggetto monitorato (MO), che rappresenta il tenant di Microsoft Entra all'interno di Azure Resource Manager (ARM). Questa entità ARM è l'elemento a cui vengono quindi associate le regole di raccolta dati. Azure associa un oggetto monitorato a tutti i computer client Windows nello stesso tenant di Microsoft Entra.

Attualmente questa associazione è limitata solo all'ambito del tenant di Microsoft Entra, il che significa che la configurazione applicata al tenant di Microsoft Entra verrà applicata a tutti i dispositivi che fanno parte del tenant e che eseguono l'agente installato tramite il programma di installazione client. Gli agenti installati come estensione macchina virtuale non saranno interessati da questo problema. L'immagine seguente illustra come funziona:

Procedere quindi con le istruzioni seguenti per creare e associarle a un oggetto monitorato, usando le API REST o i comandi di PowerShell.

Autorizzazioni obbligatorie

Poiché MO è una risorsa a livello di tenant, l'ambito dell'autorizzazione sarebbe superiore a un ambito di sottoscrizione. Pertanto, potrebbe essere necessario un amministratore tenant di Azure per eseguire questo passaggio. Seguire questa procedura per elevare l'amministratore tenant di Microsoft Entra come Amministratore tenant di Azure. Concede all'amministratore di Microsoft Entra le autorizzazioni di "proprietario" nell'ambito radice. Questa operazione è necessaria per tutti i metodi descritti nella sezione seguente.

Uso delle API REST

1. Assegnare il ruolo Collaboratore oggetti monitorati all'operatore

Questo passaggio consente di creare e collegare un oggetto monitorato a un utente o a un gruppo.

URI delle richiesta

PUT https://management.azure.com/providers/microsoft.insights/providers/microsoft.authorization/roleassignments/{roleAssignmentGUID}?api-version=2021-04-01-preview

Parametri URI

Intestazioni

• Autorizzazione: token di connessione ARM (usando 'Get-AzAccessToken' o altro metodo)
• Content-Type: application/json

Corpo della richiesta

{
    "properties":
    {
        "roleDefinitionId":"/providers/Microsoft.Authorization/roleDefinitions/56be40e24db14ccf93c37e44c597135b",
        "principalId":"aaaaaaaa-aaaa-aaaa-aaaa-aaaaaaaaaaaa"
    }
}

Parametri del corpo

Al termine di questo passaggio, ripetere l'autenticazione della sessione e riacquisire il token di connessione ARM.

2. Creare un oggetto monitorato

Questo passaggio crea l'oggetto monitorato per l'ambito del tenant di Microsoft Entra. Viene usato per rappresentare i dispositivi client firmati con l'identità del tenant di Microsoft Entra.

Autorizzazioni necessarie: chiunque disponga di "Collaboratore oggetto monitorato" in un ambito appropriato può eseguire questa operazione, come assegnato nel passaggio 1.

URI delle richiesta

PUT https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/{AADTenantId}?api-version=2021-09-01-preview

Parametri URI

Intestazioni

• Autorizzazione: token di connessione ARM
• Content-Type: application/json

Corpo della richiesta

{
    "properties":
    {
        "location":"eastus"
    }
}

Parametri del corpo

3. Associare DCR all'oggetto monitorato

Adesso, le regole di raccolta dati (DCR) vengono associate all'oggetto monitorato creando associazioni di regole di raccolta dati.

Autorizzazioni necessarie: chiunque disponga di "Collaboratore oggetto monitorato" in un ambito appropriato può eseguire questa operazione, come assegnato nel passaggio 1.

URI delle richiesta

PUT https://management.azure.com/{MOResourceId}/providers/microsoft.insights/datacollectionruleassociations/{associationName}?api-version=2021-09-01-preview

URI della richiesta di esempio

PUT https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/{AADTenantId}/providers/microsoft.insights/datacollectionruleassociations/{associationName}?api-version=2021-09-01-preview

Parametri URI

Intestazioni

• Autorizzazione: token di connessione ARM
• Content-Type: application/json

Corpo della richiesta

{
    "properties":
    {
        "dataCollectionRuleId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.Insights/dataCollectionRules/{DCRName}"
    }
}

Parametri del corpo

4. Elencare le associazioni all'oggetto monitorato

Se è necessario visualizzare le associazioni, è possibile elencarle per l'oggetto monitorato.

Autorizzazioni necessarie: chiunque abbia "Lettore" in un ambito appropriato può eseguire questa operazione, simile a quella assegnata nel passaggio 1.

URI delle richiesta

GET https://management.azure.com/{MOResourceId}/providers/microsoft.insights/datacollectionruleassociations/?api-version=2021-09-01-preview

URI della richiesta di esempio

GET https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/{AADTenantId}/providers/microsoft.insights/datacollectionruleassociations/?api-version=2021-09-01-preview

{
  "value": [
    {
      "id": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVm/providers/Microsoft.Insights/dataCollectionRuleAssociations/myRuleAssociation",
      "name": "myRuleAssociation",
      "type": "Microsoft.Insights/dataCollectionRuleAssociations",
      "properties": {
        "dataCollectionRuleId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroup/providers/Microsoft.Insights/dataCollectionRules/myCollectionRule",
        "provisioningState": "Succeeded"
      },
      "systemData": {
        "createdBy": "user1",
        "createdByType": "User",
        "createdAt": "2021-04-01T12:34:56.1234567Z",
        "lastModifiedBy": "user2",
        "lastModifiedByType": "User",
        "lastModifiedAt": "2021-04-02T12:34:56.1234567Z"
      },
      "etag": "070057da-0000-0000-0000-5ba70d6c0000"
    }
  ],
  "nextLink": null
}

5. Annullare l'associazione delle DCR dall'oggetto monitorato

Se è necessario rimuovere un'associazione di una regola di raccolta dati (DCR) all'oggetto monitorato.

Autorizzazioni necessarie: chiunque disponga di "Collaboratore oggetto monitorato" in un ambito appropriato può eseguire questa operazione, come assegnato nel passaggio 1.

URI delle richiesta

DELETE https://management.azure.com/{MOResourceId}/providers/microsoft.insights/datacollectionruleassociations/{associationName}?api-version=2021-09-01-preview

URI della richiesta di esempio

DELETE https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/{AADTenantId}/providers/microsoft.insights/datacollectionruleassociations/{associationName}?api-version=2021-09-01-preview

Parametri URI

Intestazioni

• Autorizzazione: token di connessione ARM
• Content-Type: application/json

Uso di PowerShell per l'onboarding

$TenantID = "xxxxxxxxx-xxxx-xxx"  #Your Tenant ID
$SubscriptionID = "xxxxxx-xxxx-xxxxx" #Your Subscription ID
$ResourceGroup = "rg-yourResourceGroup" #Your resourcegroup

#If cmdlet below produces an error stating 'Interactive authentication is not supported in this session, please run cmdlet 'Connect-AzAccount -UseDeviceAuthentication
#uncomment next to -UseDeviceAuthentication below
Connect-AzAccount -Tenant $TenantID #-UseDeviceAuthentication

#Select the subscription
Select-AzSubscription -SubscriptionId $SubscriptionID

#Grant Access to User at root scope "/"
$user = Get-AzADUser -SignedIn

New-AzRoleAssignment -Scope '/' -RoleDefinitionName 'Owner' -ObjectId $user.Id

#Create Auth Token
$auth = Get-AzAccessToken

$AuthenticationHeader = @{
    "Content-Type" = "application/json"
    "Authorization" = "Bearer " + $auth.Token
    }


#1. Assign the Monitored Object Contributor role to the operator
$newguid = (New-Guid).Guid
$UserObjectID = $user.Id

$body = @"
{
            "properties": {
                "roleDefinitionId":"/providers/Microsoft.Authorization/roleDefinitions/56be40e24db14ccf93c37e44c597135b",
                "principalId": `"$UserObjectID`"
        }
}
"@

$requestURL = "https://management.azure.com/providers/microsoft.insights/providers/microsoft.authorization/roleassignments/$newguid`?api-version=2021-04-01-preview"


Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method PUT -Body $body


##########################

#2. Create a monitored object

# "location" property value under the "body" section should be the Azure region where the MO object would be stored. It should be the "same region" where you created the Data Collection Rule. This is the location of the region from where agent communications would happen.
$Location = "eastus" #Use your own location
$requestURL = "https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/$TenantID`?api-version=2021-09-01-preview"
$body = @"
{
    "properties":{
        "location":`"$Location`"
    }
}
"@

$Respond = Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method PUT -Body $body -Verbose
$RespondID = $Respond.id

##########################

#3. Associate DCR to monitored object
#See reference documentation https://video2.skills-academy.com/en-us/rest/api/monitor/data-collection-rule-associations/create?tabs=HTTP
$associationName = "assoc01" #You can define your custom associationname, must change the association name to a unique name, if you want to associate multiple DCR to monitored object
$DCRName = "dcr-WindowsClientOS" #Your Data collection rule name

$requestURL = "https://management.azure.com$RespondId/providers/microsoft.insights/datacollectionruleassociations/$associationName`?api-version=2021-09-01-preview"
$body = @"
        {
            "properties": {
                "dataCollectionRuleId": "/subscriptions/$SubscriptionID/resourceGroups/$ResourceGroup/providers/Microsoft.Insights/dataCollectionRules/$DCRName"
            }
        }

"@

Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method PUT -Body $body

#(Optional example). Associate another DCR to monitored object. Remove comments around text below to use.
#See reference documentation https://video2.skills-academy.com/en-us/rest/api/monitor/data-collection-rule-associations/create?tabs=HTTP
<#
$associationName = "assoc02" #You must change the association name to a unique name, if you want to associate multiple DCR to monitored object
$DCRName = "dcr-PAW-WindowsClientOS" #Your Data collection rule name

$requestURL = "https://management.azure.com$RespondId/providers/microsoft.insights/datacollectionruleassociations/$associationName`?api-version=2021-09-01-preview"
$body = @"
        {
            "properties": {
                "dataCollectionRuleId": "/subscriptions/$SubscriptionID/resourceGroups/$ResourceGroup/providers/Microsoft.Insights/dataCollectionRules/$DCRName"
            }
        }

"@

Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method PUT -Body $body

#4. (Optional) Get all the associatation.
$requestURL = "https://management.azure.com$RespondId/providers/microsoft.insights/datacollectionruleassociations?api-version=2021-09-01-preview"
(Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method get).value
#>

Verificare l'esito positivo dell'installazione

Controllare la tabella "Heartbeat" (e altre tabelle configurate nelle regole) nell'area di lavoro Log Analytics specificata come destinazione nelle regole di raccolta dati. Le colonne SourceComputerId, Computer, ComputerIP devono riflettere tutte le informazioni sul dispositivo client rispettivamente e la colonna Category deve indicare "agente di Monitoraggio di Azure". Vedere l'esempio seguente:

Uso di PowerShell per l'offboarding

#This will remove the monitor object
$TenantID = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"  #Your Tenant ID

Connect-AzAccount -Tenant $TenantID

#Create Auth Token
$auth = Get-AzAccessToken

$AuthenticationHeader = @{
    "Content-Type" = "application/json"
    "Authorization" = "Bearer " + $auth.Token
}

#Get monitored object
$requestURL = "https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/$TenantID`?api-version=2021-09-01-preview"
$MonitoredObject =  Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method Get

#Get data collection rule associations to monitored object 
$requestURL = "https://management.azure.com$($MonitoredObject.id)/providers/microsoft.insights/datacollectionruleassociations?api-version=2021-09-01-preview"
$MonitoredObjectAssociations = Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method Get

#Disassociate from all Data Collection Rule
foreach ($Association in $MonitoredObjectAssociations.value){
    $requestURL = "https://management.azure.com$($Association.id)?api-version=2022-06-01"
    Invoke-RestMethod -Uri $requestURL -Headers $AuthenticationHeader -Method Delete
}

#Delete monitored object
$requestURL = "https://management.azure.com/providers/Microsoft.Insights/monitoredObjects/$TenantID`?api-version=2021-09-01-preview"
Invoke-AzRestMethod -Uri $requestURL -Method Delete

Gestire l'agente

Controllare la versione dell'agente

È possibile usare una delle opzioni seguenti per controllare la versione installata dell'agente:

• Aprire Pannello di controllo>Programmi e funzionalità>Agente di Monitoraggio di Azure e visualizzare l'elenco "Versione"
• Aprire Impostazioni>App>App e funzionalità>Agente di Monitoraggio di Azure e visualizzare l'elenco "Versione"

Disinstallazione dell'agente

È possibile usare una delle opzioni seguenti per controllare la versione installata dell'agente:

• Aprire Pannello di controllo>Programmi e funzionalità>Agente di Monitoraggio di Azure e fare clic su "Disinstallare"
• Aprire Impostazioni>App>App e funzionalità>Agente di Monitoraggio di Azure e fare clic su "Disinstallare"

Se si verificano problemi durante la disinstallazione, vedere le indicazioni per la risoluzione dei problemi.

Aggiornare l'agente

Per aggiornare la versione, installare la nuova versione a cui si vuole eseguire l'aggiornamento.

Risoluzione dei problemi

Vedere i log di diagnostica dell’agente

1. Eseguire di nuovo l'installazione con la registrazione attivata e specificare il nome del file di log: Msiexec /I AzureMonitorAgentClientSetup.msi /L*V <log file name>
2. I log di runtime vengono raccolti automaticamente nel percorso predefinito C:\Resources\Azure Monitor Agent\ o nel percorso del file indicato durante l'installazione.
   • Se non è possibile individuare il percorso, il percorso esatto è disponibile nel Registro di sistema come AMADataRootDirPath in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\AzureMonitorAgent.
3. La cartella 'ServiceLogs' contiene il log del servizio Windows AMA, che avvia e gestisce i processi AMA
4. 'AzureMonitorAgent.MonitoringDataStore' contiene dati/log dai processi AMA.

Problemi di installazione comuni

DLL mancante

• Messaggio di errore: "Si è verificato un problema con questo pacchetto di Windows Installer. Impossibile eseguire una DLL necessaria per il completamento del programma di installazione. …"
• Assicurarsi di aver installato C++ Redistributable (>2015) prima di installare AMA:

Non aggiunto a Microsoft Entra

Messaggio di errore: "Il recupero di ID tenant e dispositivo non è riuscito"

1. Eseguire il comando dsregcmd /status. Questo dovrebbe produrre l'output come AzureAdJoined : YES nella sezione "Stato dispositivo". In caso contrario, aggiungere il dispositivo con un tenant di Microsoft Entra e riprovare l'installazione.

L'installazione invisibile all'utente dal prompt dei comandi ha esito negativo

Assicurarsi di avviare il programma di installazione al prompt dei comandi dell'amministratore. L'installazione invisibile all'utente può essere avviata solo dal prompt dei comandi dell'amministratore.

La disinstallazione non riesce a causa dell'impossibilità del programma di disinstallazione di arrestare il servizio

• Se è disponibile un'opzione per riprovare, riprovare
• Se il nuovo tentativo dal programma di disinstallazione non funziona, annullare la disinstallazione e arrestare il servizio agente di Monitoraggio di Azure dai servizi (applicazione desktop)
• Riprovare a disinstallare

Forzare la disinstallazione manualmente quando il programma di disinstallazione non funziona

• Arrestare il servizio Agente di Monitoraggio di Azure. Quindi riprovare a disinstallare. In caso di errore, procedere con i passaggi seguenti
• Eliminare il servizio AMA con "sc delete AzureMonitorAgent" da admin cmd
• Scaricare questo strumento e disinstallare AMA
• Eliminare i file binari AMA. Vengono archiviati in Program Files\Azure Monitor Agent per impostazione predefinita
• Eliminare i dati o i log AMA. Vengono archiviati in C:\Resources\Azure Monitor Agent per impostazione predefinita
• Aprire il Registro di sistema. Controlla HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Azure Monitor Agent. Se esiste, eliminare la chiave.

Problemi successivi all'installazione od operativi

Una volta installato correttamente l'agente (ad esempio, viene visualizzato il servizio agente in esecuzione ma non vengono visualizzati i dati come previsto), è possibile seguire la procedura di risoluzione dei problemi standard elencata qui rispettivamente per la macchina virtuale Windows e il server abilitato per Windows Arc.

Domande frequenti

Questa sezione fornisce le risposte alle domande comuni.

Azure Arc è necessario per i computer aggiunti a Microsoft Entra?

No. I computer aggiunti a Microsoft Entra (o aggiunti a Microsoft Entra ibrido) che eseguono Windows 10 o 11 (sistema operativo client) non richiedono l'installazione di Azure Arc . È invece possibile usare il programma di installazione MSI di Windows per l'agente di Monitoraggio di Azure.

Domande e commenti

Eseguire questo rapido sondaggio o condividere commenti/domande relativi al programma di installazione client.