Azure VM ログとは？

Azure VM 上の OS から取得されるイベントログや Syslog と、ホストのメトリックおよびゲストのメトリックなどが含まれます。

Log Analytics へ Azure VM のログを集約することで、複数台に跨ってログを分析したり、ログの内容をもとにアラートを発生させ管理者へのメール通知や、PowerAutomate への連携などを行う事ができるようになります。

① Azure Monitor エージェントが必要となるログ

以下のログは、OS 内の情報を取得して送信する必要があるためエージェントが必要です。
・イベントログ = Windows OS から取得されます。
・Syslog = Linux OS から取得されます。
・ゲストのメトリック = OS 上のパフォーマンスデータから取得されます。

② エージェントが不要なログ

ホストのメトリックは、エージェント無しで取得できます。

注意
仮想マシンの作成、削除、起動、停止などのアクションは、Azure VM のログではなく、アクティビティログから取得されます。

以下の記事を参照して、取得してください。
Azure アクティビティログを Log Analytics に保存する
https://qiita.com/carol0226/items/791c37494a2a9995c486

1. Azure VM のログ収集の手順

1-1. 前提事項

事前に、以下の記事の手順を参照して Log Analytics ワークスペースをデプロイします。

1-2. Azure VM のデータ収集ルール

Azure VM の場合は、事前にデータ収集ルールを作成しておき、そのルールに対して、リソースを割り当てる形で構成します。

注意
データ収集ルールを作成する前に、ログ取得対象の Azure VM はすべてパワー ON の状態にしておいてください。

ここで選択した Azure VM には、自動的に Azure Monitor エージェントが導入されますが、そのために Azure VM がパワー ON されている必要があります。

パワー OFF されていると、エージェントが導入されません。

Azure モニターの データ収集ルール で構成を行っていきます。

Azure Portal の検索窓を使い、モニター 検索して選びます。
左ペインの設定を開き、データ収集ルール を選択します。、

　
作成ボタンを押します。

　
基本タブでは、以下の画面の通り、パラメータを設定して　次へ：リソース を押します。

　
リソース タブでは リソースの追加 ボタンを押します。

　
以下の画面で、ログを取得したい Azure VM を選択して適用を押します。

　
以下の通り、一覧に追加されます。続けて エンドポイント の作成を押し、右側に表示されたウィンドウに任意のエンドポイント名やその他のパラメータを入力して 確認と作成 を押します。

　
以下の確認画面が表示されたら作成を押します。

　
以下の通知が表示されれば OK です。

　
リソース タブでは データ収集エンドポイントを有効にする にチェックを入れてから、Azure VM の データ収集エンドポイント 列で、先ほど作成したエンドポイント名を選択します。最後に 次へ：収集と配信 を押して進みます。

　
収集と配信 タブでは、データソースの追加 を押します。

　
以下の画面で、Azure VM から取得させたいログの種類を選定します。
下図では、Windows イベントログ を選択しており、基本を選んですべてにチェックを入れているためアプリケーション・セキュリティ・システムの全てのイベントログが取得されます。
設定が終わったら 次へ：ターゲット を押して進みます。

　
ターゲット タブでは ターゲットの追加 ボタンを押して、ログの保存先となる Log Analytics を選択して データソースの追加 ボタンを押します。

　
ここでもう１件 データソースの追加 を行うためボタンを押します。

　
今度は パフォーマンスカウンター を選択して基本を選びすべての項目にチェックが入っている事を確認してから 次へ：ターゲット を押します。

　
ターゲット タブでは ターゲットの追加 ボタンを押して、ログの保存先となる Log Analytics を選択して データソースの追加 ボタンを押します。

　
以下の通り、２行のデータソースの追加がされていることを確認して 確認と作成 を押します。

　
確認と作成 タブでは、内容を確認して作成ボタンを押します。

　
デプロイが完了したら リソースに移動 を押します。
デプロイ中に、選択した Azure VM にエージェントが自動的に導入されます。

　
以下の通り、データ収集ルールが作成されていれば OK です。

　
対象の Azure VM の画面を開き、左ペイン設定の 拡張期のとアプリケーション を開くと、追加導入されたエージェント (AzureMonitorWindowsAgent) を確認することができます。

　
モニター の画面に戻り、左ペインの ① ログ を開きます。
そのあと、② 時間の範囲 を調整し、以下の KQL (③) を貼り付けます。
　
準備が出来たら ④ 実行 を押して、ログを抽出します。
⑤ 時刻の表示 を押して ローカル時刻 を選択すると日本時間に変更できます。

Event
| project TimeGenerated,Source,EventLevelName,EventID,RenderedDescription,EventLog
| where EventLog == "System"

2. ブックの利用

モニター の左ペインで ブック を選び以下の一覧から仮想マシンに関する ブック を選択します。

　
以下の通り、グラフィカルに分析結果が表示されます。