こんにちは、cloudpack の @dz_ こと大平かづみです。

Prologue - はじめに

気分転換に、久々にクイック和訳してみました。

[訳] Azure オートメーションランブックでの OMS Search API の有効利用

Leveraging the OMS Search API in an Azure Automation Runbook

The availability of the OMS Search API has enabled automation scenarios which involves alerting, notification and potential remediation based on log analytics data in Operations Management Suite (OMS).

"OMS search API の利用は、Operations Management Suite (OMS) のログ分析データに基づいたアラートや通知、潜在的な改善に関するオートメーションのシナリオを可能にします。"

In this blog post we will talk about a sample scenario for monitoring a honeypot account with an Azure Automation runbook . This runbook checks if someone has attempted to logon with this account on a specific server. A honeypot account is often used to entice malicious attackers to use a specific account for which monitoring is setup. In addition we will also look into using a Hybrid Runbook Worker for not only leveraging my on-premises resources, but also to overcome potential challenges when there is no PowerShell module to upload to Azure Automation.

"この記事では、Azure オートメーションランブックを用いて、ハニーポットアカウントを監視するサンプルのシナリオについてお話します。

このランブックは、誰かがこのアカウントで特定のサーバーにログオン未遂したかどうかをチェックします。このハニーポットアカウントは、悪意のある攻撃者を監視が設定された特定のアカウントを使わせるようにおびき寄せるために使われます。

加えて、ハイブリッドのランブックワーカーがオンプレミスのリソースに対して有効なだけでなく、Azure オートメーションにアップロードするためのPowerShellモジュールがない場合の潜在的な課題に対処することができることを確認することもできます。"

Our runbook will talk to the OMS Search API and is able to execute searches or can retrieve the results of a saved search. Based on the query results we can decide to take corrective actions or to invoke other runbooks for alerting and notification purposes. During conversations with customers we have been asked many times if OMS has similar System Center Operations Manager (SCOM) task integration to take actions based on OMS search query results. This blog post enables you to explore those options. One thing to point out though is that when using SCOM, the agent locally checks for a certain condition to be true and acts upon that, while in the OMS scenario the information gets sent to OMS first, is indexed and analyzed so that we can query against that data.

"私たちのランブックは、OMS Search API を用いて、検索を実行したり、その保存された検索の結果を収集することができます。このクエリーの結果に基づいて、私たちは見直しを行ったり、アラートや通知の目的のために他のランブックを実施することを決めることができます。

顧客との対話の間に、OMS は OMS searchの検索結果に基づいたアクションを行うための System Center Operations Manager (SCOM) のタスク連携と同じようなものなのかと、何度も聞かれます。

この記事で、あなたはこれらのオプションについて検討できるようになるでしょう。

注目すべきことのひとつは、SCOM を用いる場合でも、そのエージェントはある条件が true になるかローカルでチェックし、その上で動作し、OMS シナリオを実施している間、OMSに最初に送信されたその情報はインデックス化され、分析されるため、私たちはそのデータに対して検索することができるのです。"

As mentioned in the OMS Search API announcement you have three different options to leverage the API:

Library for .NET
REST API
ARMClient
In this blog post I’m going to use the ARMClient which you can download from Github. The ARMClient cannot really be used as a PowerShell module “as is” and uploaded to Azure Automation. This however is a great opportunity to test the Azure Automation Hybrid Runbook Worker which can overcome this challenge because the runbook is executed locally and has therefore access to local resources like our ARMClient.

"OMS Search API のアナウンスで触れられているように、このAPIを利用するには3つの異なるオプションがあります。

Library for .NET
REST API
ARMClient

この記事では、GitHub からダウンロードできる ARMClient を利用します。

この ARMClient は、本当は PowerShell モジュールそのものとして使えたり、Azure オートメーションにアップロードできるものではありません。しかし、このランブックはローカルで実行されるため、私たちの ARMClient のように(Azureで使われているように)ローカルリソースにアクセスすることができます。これにより、前述の課題を解決することができる Azure オートメーションのハイブリッドのランブックワーカーをテストするのによい機会となります。"

Ok, time to set up the basics

"OK, 基本のセットアップを行います。"

(この辺で、続きは追々…)

Epilogue - おわりに

ふと気になる記事だったので、訳してみました。
まだ途中で、手順の部分は追々訳そうと思います。

Azure はどんどん新しくなっていて追うのが大変ですが、面白いので引き続き勉強していきます。

近況

最近

Check! Azure オートメーションランブックで OMS Search API を利用する (和訳) ←

Phalcon関連

爆速フレームワーク!! Phalcon PHP Framework
Meet Volt ! Phalcon 謹製テンプレートエンジン Volt - from 第71回 PHP勉強会
Meet Phalcon! - Phalcon PHPフレームワークを Nginx on Amazon EC2 にインストール！

Webフレームワーク関連

クラウド・インフラ関連

技術ブログ寄稿

cloudpack技術ブログでも、AWS Lambda や運用ツール Serf に関して記事を書いています。ご興味あれば読んでいただけると嬉しいです！

大平かづみの記事一覧