AMA（Azure Monitor Agent）でSyslogを取得してみた

Azure では現在、Microsoft Monitoring Agent（MMA）と Azure Monitor Agent（AMA）２つのログ取得エージェントがサポートされています。

しかし、MMA は現在廃止予定であり、2024年8月31日にてサポートが終了となります。今後 Syslog、CEF のログは AMA を利用した取得になります。

今回は AMA を利用した Syslogのログ取得の手順をご紹介します。

AMA による Syslog の取得
ログの確認
検索例
- Syslogファシリティを指定して表示
- Syslogファシリティごとのログ件数
最後に

AMA による Syslog の取得

AMA を利用したログ取得の際は、DCR（データ収集ルール）を作成します。

Azure portal より「モニター」を検索し、選択します。
「データ収集ルール」から「作成」を選択します。
「基本タブ」にて、各項目を入力し「次へ」を選択します。
※プラットフォームの種類は「Linux」を選択してください。
「リソース」タブにて、「リソースの追加」を選択します。
収集する対象のリソースを選択し、「適用」を選択します。
「リソース」タブにて、「エンドポイントの作成」を選択します。
「基本」～「タグ」の各項目を入力し「作成」を選択します。
「収集と配信」タブにて、「＋データソースの追加」を選択します。
「データソースの種類」を選択し、「Linux Syslog」を選択します。
取得対象のファシリティの「最小ログレベル」を選択します。
「ターゲット」タブにて、「＋ターゲットの追加」を選択し、「ターゲットの種類」～「アカウントまたは名前空間」にて格納先の LogAnalytics ワークスペースの値を選択します。
「収集と配信」にて、作成したデータソースが追加されていることを確認し「次へ」を選択します。
「タグ」タブにて、任意の値を入力し「次へ」を選択します。
「確認と作成」タブにて設定値が問題ないことを確認し「作成」を選択します。
デプロイが完了したことを確認します。
※デプロイが完了した段階で、対象のサーバーに AMA が自動的にインストールされます。