Azure Monitor (プレビュー) の Log Analytics ワークスペースでカスタムフィールドを作成する

2024-10-30

重要

新しいユーザー設定フィールドの作成は、2023 年 3 月 31 日以降無効になります。カスタムフィールドの機能は非推奨となり、既存のカスタムフィールドは 2026 年 3 月 31 日までに機能しなくなります。ログレコードを解析し続けるために、取り込み時の変換に移行する必要があります。

現在、新しいカスタムフィールドを追加したときに、データの表示が開始されるまでに最大 7 日かかる場合があります。

Azure Monitor のカスタムフィールド機能を使用すると、独自の検索可能なフィールドを追加して、ご自身の Log Analytics ワークスペースの既存のレコードを拡張できます。カスタムフィールドは、同じレコードの他のプロパティから抽出したデータから自動的に設定されます。

たとえば、以下のサンプルレコードには、イベントの説明に埋もれている有益なデータがあります。このデータを別のプロパティに抽出すると、並べ替えやフィルター処理などに使用できます。

注

プレビュー版では、カスタムフィールド数の上限はワークスペース内で 500 個です。この機能が一般公開されるときには、この上限は上がる予定です。

カスタムフィールドを作成する

カスタムフィールドを作成する場合、その値を設定するために使用するデータを Log Analytics が認識する必要があります。 Log Analytics は、FlashExtract という Microsoft Research のテクノロジを使用して、そのデータをすばやく特定しています。ユーザーが明示的な指示をしなくても、Azure Monitor はユーザーが提供した例から抽出するデータを学習します。

以下のセクションでは、カスタムフィールドを作成する手順について説明します。サンプル抽出のチュートリアルについては、「サンプルのチュートリアル」を参照してください。

注

カスタムフィールドは、指定した条件に一致するレコードが Log Analytics ワークスペースに追加されるときに設定されます。このため、カスタムフィールドの作成後に収集されたレコードに限り、カスタムフィールドが表示されます。ユーザー設定フィールドは、作成時にデータストアに既に存在するレコードには追加されません。

手順 1: カスタムフィールドを追加するレコードを指定する

最初の手順は、カスタムフィールドを追加するレコードの指定です。まず標準のログクエリから始めて、Azure Monitor の学習元になる、モデルとして機能するレコードを選択します。データをカスタムフィールドに抽出しようとすると、フィールド抽出ウィザードが開きます。この画面で、条件を検証し、調整します。

[ログ] に移動し、クエリを使ってカスタムフィールドを追加するレコードを取得します。
Log Analytics でカスタムフィールドを設定するデータを抽出する際に、モデルとして機能するために使用するレコードを選択します。このレコードから抽出するデータを指定すると、Log Analytics はその情報を使って、同様のすべてのレコードのカスタムフィールドを設定するロジックを決定します。
レコードを右クリックし、[からフィールドを抽出] を選択します。
フィールドの抽出ウィザードが開き、選択したレコードが [メインの例] 列に表示されます。選択したプロパティと同じ値を持つ、そのレコードのカスタムフィールドが定義されます。
目的の選択内容でない場合は、さらにフィールドを選択して条件を絞り込みます。条件のフィールド値を変更するには、取り消して、目的の条件と一致する別のレコードを選択する必要があります。

手順 2: 初回の抽出を実行する

カスタムフィールドを追加するレコードを指定したら、抽出するデータを指定します。 Log Analytics は、その情報を使って、同様のレコード内の同様のパターンを特定します。手順 3 では、その結果を確認し、Log Analytics で分析に使用されるさらに詳しい情報を指定することができます。

カスタムフィールドを設定するサンプルレコードのテキストを選択します。フィールドの名前とデータ型を指定し、初回の抽出を実行するためのダイアログボックスが表示されます。 _CF という文字が自動的に付加されます。
[抽出] をクリックして、収集したレコードの分析を実行します。
[概要] と [検索結果] セクションには抽出結果が表示されるので、正確さを確認できます。 [概要] には、レコードの特定に使用される条件と、特定された各データ値の件数が表示されます。 [検索結果] には、条件と一致するレコードの詳細な一覧が表示されます。

手順 3: 抽出の正確さを確認し、カスタムフィールドを作成する

初回の抽出を実行すると、既に収集されたデータに基づいて結果が Log Analytics に表示されます。その結果が正確であれば、追加作業なしでカスタムフィールドを作成できます。正確でない場合は、Log Analytics がロジックを改善できるように結果を調整できます。

最初の抽出の値が正しくない場合は、不正確なレコードの横にある [編集] アイコンをクリックし、[ この強調表示を変更 ] を選択して選択内容を変更します。
エントリは、 [メインの例] の [追加の例] セクションにコピーされます。ハイライトを調整することで、Log Analytics が行うべき選択を理解しやすくなります。
[抽出] をクリックし、この新しい情報を使用してすべての既存のレコードを評価します。この新しい情報に基づいて、変更したレコード以外のレコードの結果を変更できます。
抽出のすべてのレコードによって、新しいカスタムフィールドを設定できるデータが正しく特定されるまで、修正を加え続けます。
結果に満足したら、 [抽出の保存] をクリックします。ユーザー設定フィールドは定義されましたが、レコードにはまだ追加されません。
指定した条件に一致する新しいレコードが収集されるまで待ってから、ログ検索を再実行してください。新しいレコードにはカスタムフィールドが必要です。
他のレコードのプロパティと同様に、カスタムフィールドを使用します。カスタムフィールドを使用してデータを集計してグループ化できます。また、カスタムフィールドを使用して新しい分析を行うこともできます。

カスタムフィールドを削除する

カスタムフィールドを削除するには、2 つの方法があります。 1 つは、「手順 2: 初回の抽出を実行する」のように完全な一覧を表示するときの各フィールドの [削除] オプションです。もう 1 つは、レコードを取得し、フィールドの左側にあるボタンをクリックする方法です。メニューには、カスタムフィールドを削除するオプションがあります。

サンプルのチュートリアル

次のセクションでは、カスタムフィールドの作成例を段階的に説明します。この例では、サービスの変化する状態を示す Windows イベントのサービス名を抽出します。これは、サービスコントロールマネージャーによって Windows コンピューターでシステム起動時に作成されるイベントに依存します。この例に従うには、システムログの情報イベントを収集する必要があります。

Service Control Manager からイベント ID が 7036 のすべてのイベント (サービスの開始または停止を示すイベント) を返すために、ここでは次のクエリを入力します。

次に、イベント ID 7036 のレコードを右クリックし、[フィールドを `イベント` から抽出する] を選択します。

フィールド抽出ウィザードが開き、[メインの例] 列の [EventLog] フィールドと [EventID] フィールドが選択されています。これは、システムログからイベント ID が 7036 のイベントに対してカスタムフィールドが定義されることを示します。これで十分なので、他のフィールドを選択する必要はありません。

[RenderedDescription] プロパティのサービス名を選択し、 [サービス] を使用してサービス名を指定します。カスタムフィールド名は Service_CF になります。ここでのフィールドの種類は文字列なので、変更する必要はありません。

サービス名が正しく指定されたレコードと、指定されていないレコードがあります。 検索結果には、WMI パフォーマンスアダプターの名前の一部が選択されなかったことが示されます。 [概要] では、Windows Modules Installer ではなく Modules Installer を検出したレコードが 1 つあることが示されています。