Azure Monitor の Log Analytics データ エクスポート ルール

1. Azure ポータルから、Log Analytics ワークスペースに移動します。

2. 左側のメニューの [設定] で [ ルール] を選択します。

3. [ データ エクスポート ルール ] タブを選択します。

4. ペインの上部にある [新しいエクスポート ルール] を選択します。

   

5. 手順に従い、[作成] を選択します。 [ソース] タブには、データが含まれるテーブルのみが表示されます。

   

CLI を使用してストレージ アカウントへのデータ エクスポート規則を作成するには、次のコマンドを使用します。 このプロセスでは、テーブルごとに個別のコンテナーが作成されます。

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
storageAccountName="myStorageAccountName"

# Build destination storage account resource ID
storagePath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
storageProvider="Microsoft.Storage/storageAccounts/$storageAccountName"
storageAccountResourceId="$storagePath/providers/$storageProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$storageAccountResourceId"

CLI を使用して特定のイベント ハブへのデータ エクスポート ルールを作成するには、次のコマンドを使用します。 すべてのテーブルが指定したイベント ハブ名にエクスポートされますが、それらのテーブルを [種類] フィールドでフィルター処理して分離できます。

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"
eventHubName="myEventHub"

# Build destination Event Hub resource ID
eventHubPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubProvider="Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
eventHubResourceId="$eventHubPath/providers/$eventHubProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubResourceId"

CLI を使用してイベント ハブへのデータ エクスポート ルールを作成するには、次のコマンドを使用します。 特定のイベント ハブ名を指定しない場合、プロセスでは、 Event Hubs レベルでサポートされている Event Hubs の数まで、テーブルごとに個別のコンテナーが作成されます。 エクスポートするテーブルが他にある場合は、任意の数のテーブルをエクスポートするイベント ハブ名を指定するか、残りのテーブルを別の Event Hubs 名前空間にエクスポートする新しいルールを設定します。

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"

# Build destination Event Hub namespace resource ID
eventHubNsPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubNsProvider="Microsoft.EventHub/namespaces/$eventHubNamespace"
eventHubNamespaceResourceId="$eventHubNsPath/providers/$eventHubNsProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubNamespaceResourceId"

データ エクスポート 規則を作成または更新するには、PUTデータ エクスポート ルール操作グループに対するこの要求を使用します。 ここに記載されている最新の apiVersion を使用します。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

この要求の本文で、テーブルのエクスポート先を指定します。 REST 要求の本文の例を次に示します。

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2" 
        ],
        "enable": true
    }
}

イベント ハブに対する REST 要求の本文の例を次に示します。

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

イベント ハブ名を指定した、イベント ハブに対する REST 要求の本文の例を次に示します。 この場合、エクスポートされたすべてのデータがこれに送信されます。

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "metaData": {
                "EventHubName": "myEventHub"
            }
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

PowerShell を使用してストレージ アカウントへのデータ エクスポート規則を作成するには、次のコマンドを使用します。 テーブルごとに個別のコンテナーが作成されます。

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$storageAccountName = 'myStorageAccountName'

# Build destination storage account resource ID
$storagePath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$storageProvider = "Microsoft.Storage/storageAccounts/$storageAccountName"
$storageAccountResourceId = "$storagePath/providers/$storageProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $storageAccountResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

PowerShell を使用して特定のイベント ハブへのデータ エクスポート ルールを作成するには、次のコマンドを使用します。 このコマンドは、指定されたイベント ハブ名にすべてのテーブルをエクスポートします。 [ 種類 ] フィールドでフィルター処理してテーブルを区切る。

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'
$eventHubName = 'myEventHub'

# Build destination Event Hub resource ID
$eventHubPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
$eventHubResourceId = "$eventHubPath/providers/$eventHubProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubResourceId
    EventHubName      = $eventHubName
}
New-AzOperationalInsightsDataExport @dataExportParams

PowerShell を使用してイベント ハブへのデータ エクスポート ルールを作成するには、次のコマンドを使用します。 特定のイベント ハブ名を指定しない場合、各 Event Hubs レベルでサポートされている Event Hubs の数まで、テーブルごとに個別のコンテナーが作成されます。 他のテーブルをエクスポートするには、ルールでイベント ハブ名を指定します。 また、別のルールを設定し、残りのテーブルを別の Event Hubs 名前空間にエクスポートすることもできます。

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'

# Build destination Event Hub namespace resource ID
$eventHubNsPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubNsProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace"
$eventHubNamespaceResourceId = "$eventHubNsPath/providers/$eventHubNsProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubNamespaceResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

次のBicep テンプレートをデプロイして、ストレージ アカウントへのデータ エクスポート規則を作成します。 テンプレートは、テーブルごとに個別のコンテナーを作成します。

param workspaceName string
param workspaceLocation string
param storageAccountRuleName string
param storageAccountResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: storageAccountRuleName
  properties: {
    destination: {
      resourceId: storageAccountResourceId
    }
    tableNames: [
      'Heartbeat'
      'InsightsMetrics'
      'VMConnection'
      'Usage'
    ]
    enable: true
  }
}

次のBicep テンプレートをデプロイして、イベント ハブへのデータ エクスポート 規則を作成します。 テンプレートは、テーブルごとに個別のイベント ハブを作成します。

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

次のBicep テンプレートをデプロイして、特定のイベント ハブへのデータ エクスポート規則を作成します。 テンプレートは、すべてのテーブルをそのイベント ハブにエクスポートします。

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string
param eventhubName string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
      metaData: {
        eventHubName: eventhubName
      }
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

次の ARM テンプレートをデプロイして、ストレージ アカウントへのデータ エクスポート規則を作成します。

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "storageAccountRuleName": {
            "defaultValue": "myStorageAccountRuleName",
            "type": "string"
        },
        "storageAccountResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
                {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/' , parameters('storageAccountRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('storageAccountResourceId')]"
                      },
                      "tableNames": [
                          "Heartbeat",
                          "InsightsMetrics",
                          "VMConnection",
                          "Usage"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

次の ARM テンプレートをデプロイして、イベント ハブへのデータ エクスポート規則を作成します。 テンプレートは、テーブルごとに個別のイベント ハブを作成します。

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]"
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

次の ARM テンプレートをデプロイして、特定のイベント ハブへのデータ エクスポート規則を作成します。 ルールは、すべてのテーブルをこのイベント ハブにエクスポートします。

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        },
        "eventhubName": {
            "defaultValue": "myEventHub",
            "type": "string"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]",
                          "metaData": {
                              "eventHubName": "[parameters('eventhubName')]"
                          }
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

1. Azure ポータルから、Log Analytics ワークスペースに移動します。

2. 左側のメニューの [設定] で [ ルール] を選択します。

3. [ データ エクスポート ルール ] タブを選択すると、ワークスペース内のすべてのエクスポート ルールが表示されます。

   

4. 構成ビューのルールを選択します。

   

CLI を使用してデータ エクスポート ルールの構成を表示するには、次のコマンドを使用します。

az monitor log-analytics workspace data-export show \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

データ エクスポート 規則の構成を表示するには、GETデータ エクスポート ルール操作グループに対するこの要求を使用します。 ここに記載されている最新の apiVersion を使用します。

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

PowerShell を使用してデータ エクスポート ルールの構成を表示するには、次のコマンドを使用します。

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Get-AzOperationalInsightsDataExport @dataExportParams

テストが実施されている場合など、エクスポートルールを無効にして一定期間エクスポートを停止します。

1. Azure ポータルから、Log Analytics ワークスペースに移動します。
2. 左側のメニューの [設定] で [ ルール] を選択します。
3. [ データ エクスポート ルール ] タブを選択します。
4. [状態] トグルを選択して、エクスポート ルールを有効または無効にします。

テストを保留するときなどに、エクスポート ルールを無効にすると、エクスポートを一定期間停止できます。 CLI を使用してルール パラメーターを無効化または更新するには、次のコマンドを使用します。

az monitor log-analytics workspace data-export update \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName \
  --tables SecurityEvent Heartbeat \
  --enable false

このメソッドを使用して、テスト中など、一定期間のエクスポート 規則を無効にします。 ルール パラメーターを無効または更新するには、PUTデータ エクスポート ルール操作グループに対するこの要求を使用します。 ここに記載されている最新の apiVersion を使用します。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": false
    }
}

テストなどのルールの一時的なエクスポートを停止するには、 Enable を $false に設定してルールを無効にします。 次のコマンドを使用して、ルールを無効にするか、PowerShell を使用してそのパラメーターを更新します。

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
    TableName         = 'SecurityEvent,Heartbeat'
    Enable            = $false
}
Update-AzOperationalInsightsDataExport @dataExportParams

データのエクスポートを無効にするには、Bicep テンプレートでenable: falseを設定します。

ARM テンプレートで "enable": false を設定して、データエクスポートを無効にします。

1. Azure ポータルから、Log Analytics ワークスペースに移動します。
2. 左側のメニューの [設定] で [ ルール] を選択します。
3. [ データ エクスポート ルール ] タブを選択します。
4. ルールの右側にある省略記号を選択し、[削除] を選択します。

CLI を使用してデータ エクスポート ルールを削除するには、次のコマンドを使用します。

az monitor log-analytics workspace data-export delete \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

データ エクスポート ルールを削除するには、DELETEデータ エクスポート ルール操作グループに対するこの要求を使用します。 ここに記載されている最新の apiVersion を使用します。

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

PowerShell を使用してデータ エクスポート ルールを削除するには、次のコマンドを使用します。

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Remove-AzOperationalInsightsDataExport @dataExportParams

1. Azure ポータルから、Log Analytics ワークスペースに移動します。
2. 左側のメニューの [設定] で [ ルール] を選択します。
3. [ データ エクスポート ルール ] タブを選択すると、ワークスペース内のすべてのエクスポート ルールが表示されます。

CLI を使用してワークスペース内のすべてのデータ エクスポート ルールを表示するには、次のコマンドを使用します。

az monitor log-analytics workspace data-export list \
  --resource-group resourceGroupName \
  --workspace-name workspaceName

ワークスペース内のすべてのデータ エクスポート ルールを表示するには、GETデータ エクスポート ルール操作グループに対するこの要求を使用します。 ここに記載されている最新の apiVersion を使用します。

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports?api-version={apiVersion}
Authorization: Bearer {accessToken}

PowerShell を使用してワークスペース内のすべてのデータ エクスポート ルールを表示するには、次のコマンドを使用します。

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
}
Get-AzOperationalInsightsDataExport @dataExportParams