Azure Monitor の診断設定

この記事では、Azure プラットフォームのメトリック、リソース ログ、アクティビティ ログをさまざまな宛先に送信するように診断設定を作成して構成する方法について詳しく説明します。

各 Azure リソースには、次の条件を定義する独自の診断設定が必要です。

• ソース: 設定に定義された宛先に送信するメトリックとログ データの種類。 使用可能な種類は、リソースの種類によって異なります。
• 宛先: 1 つ以上の宛先。

1 つの診断設定では、各宛先を 1 つだけ定義することができます。 特定の種類の複数の宛先 (たとえば、2 つの異なる Log Analytics ワークスペース) にデータを送信する場合は、複数の設定を作成します。 各リソースには、最大 5 つの診断設定を作成できます。

次のビデオでは、診断設定を使用してリソース プラットフォーム ログをルーティングする手順について説明します。 ビデオは以前に行なわれたものです。 次の変更点に注意してください。

• 現在は 4 つの宛先があります。 プラットフォームのメトリックとログを、特定の Azure Monitor パートナーに送信できます。
• カテゴリ グループと呼ばれる新機能が 2021 年 11 月に導入されました。

これらの新しい機能に関する情報が、この記事に記載されています。

変換元

診断情報には、次の 3 つのソースがあります。

• プラットフォームのメトリックは、既定で構成なしに Azure Monitor メトリックに自動的に送信されます。 サポートされているメトリックの詳細については、「Azure Monitor のサポートされるメトリック」を参照してください。
• プラットフォームのログでは、Azure リソースとそれらが依存している Azure プラットフォームの詳細な診断情報と監査情報が提供されます。
  • リソース ログは、宛先にルーティングされるまで収集されません。 サポートされているログの詳細については、「Azure Monitor のサポートされているリソース ログのカテゴリ」を参照してください。
  • アクティビティ ログにより、リソースの作成時や削除時など、リソースの外部からのリソースに関する情報が表示されます。 エントリは単独で存在しますが、他の場所にルーティングすることができます。

メトリック

AllMetrics 設定を使用すると、リソースのプラットフォームのメトリックが他の宛先にルーティングされます。 このオプションは、すべてのリソース プロバイダーに存在するとは限りません。

リソース ログ

リソース ログについては、個別にルーティングするログ カテゴリを選択するか、カテゴリ グループを選択できます。

カテゴリ グループ

"カテゴリ グループ" を使用すると、個別のログ カテゴリを選択する代わりに、定義済みのグループに基づいてリソース ログを動的に収集できます。 Microsoft が、すべての Azure サービスで特定のユース ケースを監視するのに役立つグループを定義しています。 時間の経過と共に、新しいログが展開されたり、評価が変更されたりして、グループ内のカテゴリが更新される可能性があります。 ログ カテゴリがカテゴリ グループに追加または削除されると、診断設定を更新しなくても、ログ コレクションが自動的に変更されます。

カテゴリ グループを使用する場合、次のようになりました。

• 個々のカテゴリの種類に基づいてリソース ログを個別に選択できなくなりました。
• Azure Storage に送信されたログに保持設定を適用できなくなりました。

現時点では、次の 2 つのカテゴリグループがあります。

• すべて: リソースによって提供されるすべてのリソース ログ。
• 監査: データまたはサービスの設定に対する顧客の操作を記録するすべてのリソース ログ。 監査ログは、最も関連性の高い監査データを提供しようという各リソース プロバイダーによる試みですが、ユース ケースによっては、監査標準の観点から、十分だとは見なせない場合があります。 上で述べたように、収集される内容は動的であり、時間が経ち、新しいリソース ログ カテゴリが公開されると、Microsoft はこれを変更する場合があります。

"監査" カテゴリ グループは "すべて" カテゴリ グループのサブセットですが、Azure portal と REST API では、これらは別個の設定と見なされます。 "すべて" カテゴリ グループを選ぶと、"監査" カテゴリ グループも選ばれている場合でも、すべての監査ログが収集されます。

次の図は、[診断設定の追加] ページのログ カテゴリ グループを示しています。

アクティビティ ログ

「アクティビティ ログの設定」セクションを参照してください。

変換先

プラットフォーム ログとメトリックは、次の表に一覧表示されている宛先に送信できます。

転送中のデータのセキュリティを確保するために、すべての宛先エンドポイントが TLS 1.2 をサポートするように構成されています。

アクティビティ ログの設定

アクティビティ ログでは診断設定が使用されますが、個々のリソースではなくサブスクリプション全体に適用されるため、独自のユーザー インターフェイスがあります。 ここに示されている宛先情報は引き続き適用されます。 詳細については、「Azure アクティビティ ログ」をご覧ください。

要件と制限事項

このセクションでは、要件と制限事項について説明します。

テレメトリが宛先に到達するまでの時間

診断設定を行うと、90 分以内にデータが選択した宛先に流れ始めます。 Log Analytics ワークスペースにログを送信すると、テーブルがまだ存在しない場合は自動的に作成されます。 テーブルは、最初のログ レコードを受信したときにのみ作成されます。 24 時間以内に情報が得つからない場合は、次のいずれかの問題が発生している可能性があります。

• ログが生成されていない。
• 根本的なルーティング メカニズムに問題が発生している。

問題が発生している場合は、構成を無効にしてから再度有効にしてみてください。 問題が引き続き発生する場合は、Azure portal から Azure サポートにお問い合わせください。

ソースとしてのメトリック

メトリックのエクスポートには特定の制限があります。

• 診断設定を使用した複数のディメンション メトリックの送信は現在サポートされていません。 ディメンションを含むメトリックは、ディメンション値間で集計され、フラット化された単一ディメンションのメトリックとしてエクスポートされます。 たとえば、ブロックチェーンに関する IOReadBytes メトリックは、ノード レベルごとに探索してグラフ化できます。 ところが、診断設定を介してエクスポートすると、エクスポートされたメトリックには、すべてのノードに対するすべての読み取りバイト数が表示されます。
• すべてのメトリックが診断設定でエクスポートできるわけではありません。 また、内部的な制限により、すべてのメトリックが Azure Monitor ログまたは Log Analytics にエクスポートできるわけではありません。 詳細については、サポートされるメトリックのリストのエクスポート可能な列を参照してください。

特定のメトリックについてこれらの制限を回避するには、メトリック REST API を使用して手動でそれらを抽出できます。 その後、Azure Monitor Data Collector API を使用して、Azure Monitor ログにインポートできます。

宛先の制限事項

診断設定の宛先は、診断設定の作成前に作成する必要があります。 設定を構成するユーザーが両方のサブスクリプションに対して適切な Azure ロールベースのアクセス制御アクセス権を持っている場合、宛先はログを送信するリソースと同じサブスクリプションに属している必要はありません。 Azure Lighthouse を使用して、別の Microsoft Entra テナントのワークスペース、ストレージ アカウント、またはイベント ハブに診断設定を送信することも可能です。

次の表では、リージョン制限など、宛先別の固有要件をまとめてあります。

Application Insights の診断ログ

Application Insights の診断ログを Log Analytics ワークスペースに格納する場合は、Application Insights リソースの基になっているのと同じワークスペースにログを送信しないでください。 Application Insights がこのデータを既に格納しているため、このように構成すると、重複するテレメトリが表示される可能性があります。 Application Insights ログは別の Log Analytics ワークスペースに送信してください。

Application Insights ログを別のワークスペースに送信するときは、Application Insights は、複数の Log Analytics ワークスペースを含めて、Application Insight のリソース全体のテレメトリにアクセスすることに注意してください。 Application Insights ユーザーのアクセスを、Application Insights リソースにリンクされている Log Analytics ワークスペースのみに制限します。 アクセス制御モードを [ワークスペースのアクセス許可が必要] に設定し、Azure ロールベースのアクセス制御を使って、Application Insights リソースの基になっている Log Analytics ワークスペースのみに Application Insights がアクセスできるように、アクセス許可を管理します。

コストの制御

Log Analytics ワークスペースでデータを収集するにはコストがかかるため、各サービスに必要なカテゴリのみを収集します。 リソース ログのデータ量はサービスによって大きく異なります。

また、プラットフォーム メトリックはすでにメトリックで収集されているため、Azure リソースからは収集しないことをお勧めします。 ログ クエリを使用してより複雑な分析を行うためにワークスペースにメトリック データが必要な場合にのみ、診断データを構成してメトリックを収集するようにしてください。 診断設定では、リソース ログを細かくフィルター処理することはできません。

次のステップ

• Azure Monitor プラットフォームのメトリックとログの診断設定を作成する
• 診断設定ストレージ保持を Azure Storage ライフサイクル管理に移行する
• Azure でのプラットフォーム ログの詳細について読む