Azure Monitor에서 Log Analytics 작업 영역 데이터 내보내기

1. Azure Portal의 Log Analytics 작업 영역 메뉴에서 설정 섹션에서 데이터 내보내기를 선택합니다. 창 위쪽에서 새 내보내기 규칙을 선택합니다.

   

2. 단계를 수행한 다음 만들기를 선택합니다. "원본" 탭에는 데이터가 포함된 테이블만 표시됩니다.

   

PowerShell을 사용하여 스토리지 계정으로 데이터 내보내기 규칙을 만들려면 다음 명령을 사용합니다. 각 테이블에 대해 별도의 컨테이너가 생성됩니다.

$storageAccountResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name'
New-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -ResourceId $storageAccountResourceId

PowerShell을 사용하여 특정 이벤트 허브로 데이터 내보내기 규칙을 만들려면 다음 명령을 사용합니다. 모든 테이블은 제공된 이벤트 허브 이름으로 내보내지고 형식 필드로 필터링하여 테이블을 구분할 수 있습니다.

$eventHubResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name/eventhubs/eventhub-name'
New-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -ResourceId $eventHubResourceId -EventHubName EventhubName

PowerShell을 사용하여 Event Hub로 데이터 내보내기 규칙을 만들려면 다음 명령을 사용합니다. 특정 이벤트 허브 이름이 제공되지 않으면 각 Event Hubs 계층에서 지원되는 Event Hubs 수까지 각 테이블에 대해 별도의 컨테이너가 만들어집니다. 더 많은 테이블을 내보내려면 규칙에 이벤트 허브 이름을 제공합니다. 또는 다른 규칙을 설정하고 나머지 테이블을 다른 Event Hubs 네임스페이스로 내보낼 수 있습니다.

$eventHubResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name'
New-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -ResourceId $eventHubResourceId

다음 명령을 사용하여 CLI를 사용하여 스토리지 계정에 대한 데이터 내보내기 규칙을 만듭니다. 각 테이블에 대해 별도의 컨테이너가 생성됩니다.

$storageAccountResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name'
az monitor log-analytics workspace data-export create --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --destination $storageAccountResourceId

다음 명령을 사용하여 CLI를 통해 특정 이벤트 허브에 대한 데이터 내보내기 규칙을 만듭니다. 모든 테이블은 제공된 이벤트 허브 이름으로 내보내지고 형식 필드로 필터링하여 테이블을 구분할 수 있습니다.

$eventHubResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name/eventhubs/eventhub-name'
az monitor log-analytics workspace data-export create --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --destination $eventHubResourceId

다음 명령을 사용하여 CLI를 통해 이벤트 허브에 대한 데이터 내보내기 규칙을 만듭니다. 특정 이벤트 허브 이름이 제공되지 않으면 Event Hubs 계층에 대해 지원되는 Event Hubs 수까지 각 테이블에 대해 별도의 컨테이너가 만들어집니다. 내보낼 테이블이 더 있는 경우 원하는 수의 테이블을 내보낼 이벤트 허브 이름을 제공합니다. 또는 나머지 테이블을 다른 Event Hubs 네임스페이스로 내보내도록 다른 규칙을 설정할 수 있습니다.

$eventHubsNamespacesResourceId = '/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.EventHub/namespaces/namespaces-name'
az monitor log-analytics workspace data-export create --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --destination $eventHubsNamespacesResourceId

다음 요청을 사용하여 REST API를 사용하여 스토리지 계정에 대한 데이터 내보내기 규칙을 만듭니다. 각 테이블에 대해 별도의 컨테이너가 생성됩니다. 요청은 전달자 토큰 권한 부여 및 콘텐츠 형식 application/json을 사용해야 합니다.

PUT https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01

요청 본문은 테이블의 대상을 지정합니다. 다음 예에서는 REST 요청의 샘플 본문입니다.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name"
        },
        "tablenames": [
            "table1",
            "table2" 
        ],
        "enable": true
    }
}

다음 예에서는 이벤트 허브에 대한 REST 요청의 샘플 본문입니다.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.EventHub/namespaces/eventhub-namespaces-name"
        },
        "tablenames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

다음 예에서는 이벤트 허브 이름이 제공되는 이벤트 허브에 대한 REST 요청의 샘플 본문입니다. 이 경우 내보낸 모든 데이터가 그 이벤트 허브로 전송됩니다.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.EventHub/namespaces/eventhub-namespaces-name",
            "metaData": {
                "EventHubName": "eventhub-name"
        },
        "tablenames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
  }
}

다음 명령을 사용하여 Azure Resource Manager 템플릿을 사용하여 스토리지 계정에 대한 데이터 내보내기 규칙을 만듭니다.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "workspace-name",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "workspace-region",
            "type": "string"
        },
        "storageAccountRuleName": {
            "defaultValue": "storage-account-rule-name",
            "type": "string"
        },
        "storageAccountResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "___location": "[parameters('workspaceLocation')]",
            "resources": [
                {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/' , parameters('storageAccountRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('storageAccountResourceId')]"
                      },
                      "tableNames": [
                          "Heartbeat",
                          "InsightsMetrics",
                          "VMConnection",
                          "Usage"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

다음 명령을 사용하여 Resource Manager 템플릿을 사용하여 이벤트 허브에 대한 데이터 내보내기 규칙을 만듭니다. 각 테이블에 대해 별도의 이벤트 허브가 생성됩니다.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "workspace-name",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "workspace-region",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "event-hub-rule-name",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/resource-group-name/providers/microsoft.eventhub/namespaces/namespaces-name",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "___location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]"
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

다음 명령을 사용하여 Resource Manager 템플릿을 사용하여 특정 이벤트 허브에 대한 데이터 내보내기 규칙을 만듭니다. 모든 테이블이 그것으로 내보내집니다.

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "workspace-name",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "workspace-region",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "event-hub-rule-name",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/resource-group-name/providers/microsoft.eventhub/namespaces/namespaces-name",
            "type": "String"
        },
        "eventhubName": {
            "defaultValue": "event-hub-name",
            "type": "string"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "___location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]",
                          "metaData": {
                              "eventHubName": "[parameters('eventhubName')]"
                          }
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

1. Azure Portal의 Log Analytics 작업 영역 메뉴에서 설정 섹션에서 데이터 내보내기를 선택합니다.

   

2. 구성 보기에 대한 규칙을 선택합니다.

   

PowerShell을 사용하여 데이터 내보내기 규칙의 구성을 보려면 다음 명령을 사용합니다.

Get-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName'

CLI를 사용하여 데이터 내보내기 규칙의 구성을 보려면 다음 명령을 사용합니다.

az monitor log-analytics workspace data-export show --resource-group resourceGroupName --workspace-name workspaceName --name ruleName

REST API를 사용하여 데이터 내보내기 규칙의 구성을 보려면 다음 요청을 사용합니다. 요청은 전달자 토큰 권한 부여를 사용해야 합니다.

GET https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01

템플릿 옵션은 적용되지 않습니다.

테스트가 보류 중인 경우와 같이 특정 기간 동안 내보내기를 중지하도록 내보내기 규칙을 사용하지 않도록 설정할 수 있습니다. Azure Portal의 Log Analytics 작업 영역 메뉴에서 설정 섹션에서 데이터 내보내기를 선택합니다. 상태 토글을 선택하여 내보내기 규칙을 사용하지 않도록 설정하거나 사용하도록 설정합니다.

테스트가 보류 중인 경우와 같이 특정 기간 동안 내보내기를 중지하도록 내보내기 규칙을 사용하지 않도록 설정할 수 있습니다. PowerShell을 사용하여 규칙 매개 변수를 사용하지 않도록 설정하거나 업데이트하려면 다음 명령을 사용합니다.

Update-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName' -TableName 'SecurityEvent,Heartbeat' -Enable: $false

테스트가 보류 중인 경우와 같이 특정 기간 동안 내보내기를 중지하도록 내보내기 규칙을 사용하지 않도록 설정할 수 있습니다. CLI를 사용하여 규칙 매개 변수를 사용하지 않도록 설정하거나 업데이트하려면 다음 명령을 사용합니다.

az monitor log-analytics workspace data-export update --resource-group resourceGroupName --workspace-name workspaceName --name ruleName --tables SecurityEvent Heartbeat --enable false

테스트가 보류 중인 경우와 같이 특정 기간 동안 내보내기를 중지하도록 내보내기 규칙을 사용하지 않도록 설정할 수 있습니다. REST API를 사용하여 규칙 매개 변수를 사용하지 않도록 설정하거나 업데이트하려면 다음 명령을 사용합니다. 요청은 전달자 토큰 권한 부여를 사용해야 합니다.

PUT https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01
Authorization: Bearer <token>
Content-type: application/json

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/Microsoft.Storage/storageAccounts/storage-account-name"
        },
        "tablenames": [
"table1",
    "table2" 
        ],
        "enable": false
    }
}

테스트가 수행되고 대상으로 데이터를 보낼 필요가 없을 때 내보내기를 중지하도록 내보내기 규칙을 사용하지 않도록 설정할 수 있습니다. 데이터 내보내기를 사용하지 않도록 설정하려면 템플릿에서 "enable": false를 설정합니다.

Azure Portal의 Log Analytics 작업 영역 메뉴에서 설정 섹션에서 데이터 내보내기를 선택합니다. 규칙 오른쪽에 있는 줄임표를 선택하고 삭제를 선택합니다.

PowerShell을 사용하여 데이터 내보내기 규칙을 삭제하려면 다음 명령을 사용합니다.

Remove-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName -DataExportName 'ruleName'

CLI를 사용하여 데이터 내보내기 규칙을 삭제하려면 다음 명령을 사용합니다.

az monitor log-analytics workspace data-export delete --resource-group resourceGroupName --workspace-name workspaceName --name ruleName

REST API를 사용하여 데이터 내보내기 규칙을 삭제하려면 다음 요청을 사용합니다. 요청은 전달자 토큰 권한 부여를 사용해야 합니다.

DELETE https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports/<data-export-name>?api-version=2023-09-01

템플릿 옵션은 적용되지 않습니다.

Azure Portal의 Log Analytics 작업 영역 메뉴에서 설정 섹션에서 데이터 내보내기를 선택하여 작업 영역의 모든 내보내기 규칙을 봅니다.

PowerShell을 사용하여 작업 영역의 모든 데이터 내보내기 규칙을 보려면 다음 명령을 사용합니다.

Get-AzOperationalInsightsDataExport -ResourceGroupName resourceGroupName -WorkspaceName workspaceName

CLI를 사용하여 작업 영역의 모든 데이터 내보내기 규칙을 보려면 다음 명령을 사용합니다.

az monitor log-analytics workspace data-export list --resource-group resourceGroupName --workspace-name workspaceName

REST API를 사용하여 작업 영역에서 모든 데이터 내보내기 규칙을 보려면 다음 요청을 사용합니다. 요청은 전달자 토큰 권한 부여를 사용해야 합니다.

GET https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.operationalInsights/workspaces/<workspace-name>/dataexports?api-version=2023-09-01

템플릿 옵션은 적용되지 않습니다.