Azure Monitor の診断設定を作成する

Azure portal では、Azure Monitor メニューから、またはリソースのメニューから診断設定を構成できます。

1. Azure portal で診断設定を構成する場所は、リソースによって異なります。

   • リソースが 1 つの場合は、リソースのメニューで、[監視] の [診断設定] を選びます。

     

   • リソースが 1 つまたは複数の場合は、Azure Monitor メニューで、[設定] で [診断設定] を選んでから、リソースを選びます。

     

   • アクティビティ ログの場合は、[Azure Monitor] メニューで [アクティビティ ログ] を選び、[アクティビティ ログのエクスポート] を選びます。 アクティビティ ログのレガシ構成が無効になっていることを確認してください。 手順については、既存の設定を無効にするに関するページを参照してください。

     

2. 選択したリソースの設定が存在しない場合、設定を作成するように求められます。 [診断設定の追加] を選択します。

   

   リソースに対する既存の設定が存在する場合は、構成済みの設定の一覧が表示されます。 [診断設定を追加する] を選び、新しい設定を追加します。 または、[設定の編集] を選び、既存の設定を編集します。 各設定には、各送信先の種類を 1 つだけ含めることができます。

   

3. 設定にまだ名前がない場合は、名前を付けます。

   

4. ルーティングするログとメトリック: ログの場合は、カテゴリ グループを選ぶか、後で指定した宛先に送信するデータのカテゴリごとに個々のチェックボックスをオンにします。 カテゴリの一覧は、Azure サービスごとに異なります。 メトリックを Azure Monitor ログにも保存する場合は、[AllMetrics] を選びます。

5. 宛先の詳細: 各宛先のチェックボックスをオンにします。 詳細情報を追加できるように、オプションが表示されます。

   

   1. Log Analytics ワークスペースへの送信: サブスクリプションと、データを送信する Log Analytics ワークスペースを選択します。 ワークスペースがない場合は、先に進む前に作成する必要があります。

   2. ストレージ アカウントへのアーカイブ: サブスクリプションと、データの保存先となるストレージ アカウントを選択します。

      

      ヒント

      ログが保持される時間の長さを管理する場合は、Azure Storage ライフサイクル ポリシーを使用します。 診断設定に設定されていたアイテム保持ポリシーは非推奨になりました。

   3. イベント ハブへのストリーム: 次の条件を指定します。

      • サブスクリプション: イベント ハブが含まれるサブスクリプション。
      • イベント ハブ名前空間: 存在しない場合は、作成する必要があります。
      • イベント ハブの名前 (省略可能): すべてのデータの宛先の名前。 名前を指定しない場合は、ログ カテゴリごとにイベント ハブが作成されます。 複数のカテゴリを送信する場合は、名前を指定して、作成するイベント ハブの数を制限することができます。 詳細については、「Azure Event Hubs のクォータと制限」をご覧ください。
      • イベント ハブ ポリシー名 (同じく省略可能): ポリシーによってストリーミング メカニズムのアクセス許可が定義されます。 詳細については、Event Hubs の機能に関するページを参照してください。

   4. パートナー ソリューションへの送信: 最初に Azure Native ISV サービスをサブスクリプションにインストールする必要があります。 構成オプションはパートナーによって異なります。 詳細については、「Azure Native ISV Services の概要」を参照してください。

6. サービスでリソース固有と Azure 診断の両方のモードをサポートしている場合は、ターゲットとして Log Analytics ワークスペースを選択すると、ターゲット テーブルを選択するオプションが表示されます。 テーブル構造のために、より柔軟性と効率が高いクエリが可能なため、通常は [リソース固有] を選択する必要があります。

   

7. 保存 を選択します。

しばらくすると、このリソースに対する設定のリストに新しい設定が表示されます。 ログは、新しいイベント データが生成されると、指定された宛先にストリーミングされます。 イベントが生成されてから、それが Log Analytics ワークスペースに表示されるまで、最大で 15 分ほどかかる場合があります。

Azure PowerShell を使用して診断設定を作成するには、New-AzDiagnosticSetting コマンドレットを使用します。 パラメーターの説明については、このコマンドレットのドキュメントを参照してください。

次の PowerShell コマンドレットの例では、Log Analytics ワークスペースを使用して、キー コンテナーのすべてのログ (監査ログ) およびメトリック用の診断設定を作成します。

$KV = Get-AzKeyVault -ResourceGroupName <resource group name> -VaultName <key vault name>
$Law = Get-AzOperationalInsightsWorkspace -ResourceGroupName <resource group name> -Name <workspace name>  # LAW name is case sensitive

$metric = New-AzDiagnosticSettingMetricSettingsObject -Enabled $true -Category AllMetrics
# For all available logs, use:
$log = New-AzDiagnosticSettingLogSettingsObject -Enabled $true -CategoryGroup allLogs  
# or, for audit logs, use:
$log = New-AzDiagnosticSettingLogSettingsObject -Enabled $true -CategoryGroup audit    
New-AzDiagnosticSetting -Name 'KeyVault-Diagnostics' -ResourceId $KV.ResourceId -WorkspaceId $Law.ResourceId -Log $log -Metric $metric -Verbose

Azure CLI を使用して診断設定を作成するには、az monitor diagnostic-settings create コマンドを使用します。 パラメーターの説明については、このコマンドのドキュメントを参照してください。

次のコマンドの例では、3 つの宛先すべてを使用して診断設定を作成します。 構文は、クライアントによって若干異なります。

サービスでサポートされている場合にリソース固有モードを指定するには、値が export-to-resource-specific の true パラメーターを追加します。

az monitor diagnostic-settings create  \
--name KeyVault-Diagnostics \
--resource /subscriptions/<subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.KeyVault/vaults/mykeyvault \
--logs    '[{"category": "AuditEvent","enabled": true}]' \
--metrics '[{"category": "AllMetrics","enabled": true}]' \
--storage-account /subscriptions/<subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.Storage/storageAccounts/<storage account name> \
--workspace /subscriptions/<subscription ID>/resourcegroups/<resource group name>/providers/microsoft.operationalinsights/workspaces/<log analytics workspace name> \
--event-hub-rule /subscriptions/<subscription ID>/resourceGroups/<resource group name>/providers/Microsoft.EventHub/namespaces/<event hub namespace>/authorizationrules/RootManageSharedAccessKey \
--event-hub <event hub name> \
--export-to-resource-specific true

次の JSON テンプレートは、すべての監査ログをログ分析ワークスペースに送信するための診断設定の作成例となっています。 apiVersion は範囲内のリソースに応じて変わりうることにご留意ください。

テンプレート ファイル

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "scope": {
        "type": "string"
    },
    "workspaceId": {
        "type": "string"
    },
    "settingName": {
        "type": "string"
    }
},
  "resources": [
    {
      "type": "Microsoft.Insights/diagnosticSettings",
      "apiVersion": "2021-05-01-preview",
      "scope": "[parameters('scope')]",
      "name": "[parameters('settingName')]",
      "properties": {
       "workspaceId": "[parameters('workspaceId')]",
      "logs": [
             {
            "category": null,
            "categoryGroup": "audit",
            "enabled": true
          }
        ]
      }
    }
  ]
  }

パラメーター ファイル

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "settingName": {
        "value": "audit3"
    },
    "workspaceId": {
      "value": "/subscriptions/<subscription id>/resourcegroups/<resourcegroup name>/providers/microsoft.operationalinsights/workspaces/<workspace name>"
    },
    "scope": {
      "value": "Microsoft.<resource type>/<resourceName>"
    }
  }
}

Azure Monitor REST API を使用して診断設定を作成または更新するには、「診断設定」を参照してください。

Azure Policy を使用して大規模な診断設定を作成する方法の詳細については、「Azure Policy を使用して大規模に診断設定を作成する」を参照してください。