Partager via


Collecter les journaux IIS avec l’agent Log Analytics dans Azure Monitor

Internet Information Services (IIS) enregistre l’activité des utilisateurs dans des fichiers journaux qui peuvent être collectés par l’agent Log Analytics et stockés dans les journaux d’Azure Monitor.

Diagramme montrant les journaux IIS.

Important

Cet article traite de la collecte des journaux IIS avec l’agent Log Analytics, qui est déconseillé depuis le 31 août 2024. Si vous utilisez l’agent Log Analytics pour ingérer des données dans Azure Monitor, migrez dès maintenant vers l’agent Azure Monitor. Consultez Collecter des journaux textuels avec l’agent Azure Monitor (préversion) pour plus d’informations sur la collecte des journaux IIS avec l’agent Azure Monitor.

Configurer les journaux IIS

Azure Monitor regroupe des entrées des fichiers journaux créés par IIS. Vous devez donc configurer IIS pour la journalisation.

Azure Monitor prend en charge uniquement les fichiers journaux IIS stockés au format W3C, et ne prend pas en charge les champs personnalisés ou IIS Advanced Logging. Il ne collecte pas les journaux d’activité au format natif NCSA ou IIS.

Configurez les journaux d’activité IIS dans Azure Monitor dans le menu Configuration de l’agent pour l’agent Log Analytics. Aucune configuration n’est requise autre que la sélection de l’option Collecter les fichiers journaux IIS au format W3C.

Collecte de données

Azure Monitor collecte les entrées de journal IIS de chaque agent à chaque fois que l’horodateur du journal est modifié. Le journal est lu toutes les 5 minutes. Si, pour une raison quelconque, IIS ne met pas à jour l’horodateur avant l’heure de substitution lors de la création d’un nouveau fichier, les entrées sont collectées après la création du nouveau fichier.

Cette fréquence de création de fichiers est contrôlée par le paramètre de planification de la substitution de fichier journal pour le site IIS. Le paramètre est d’une fois par jour par défaut. Si le paramètre est Toutes les heures, Azure Monitor collecte le journal toutes les heures. Si le paramètre est Quotidien, Azure Monitor collecte le journal toutes les 24 heures.

Important

Nous vous recommandons de définir Planification de la substitution de fichier journal sur Horaire. Si le paramètre est défini sur Quotidien, vous risquez de connaître des pics dans vos données puisqu’elles ne seront collectées qu’une fois par jour.

Propriétés d’enregistrement de journal IIS

Les enregistrements de journal IIS sont de type W3CIISLog et leurs propriétés sont présentés dans le tableau suivant :

Propriété Description
Computer Nom de l'ordinateur à partir duquel l'événement a été collecté.
cIP Adresse IP du client.
csMethod Méthode de la requête, par exemple GET ou POST.
csReferer Site à partir duquel l'utilisateur a suivi un lien vers le site actuel.
csUserAgent Type de navigateur du client.
csUserName Nom de l'utilisateur authentifié qui a accédé au serveur. Les utilisateurs anonymes sont indiqués par un trait d'union.
csUriStem Cible de la requête, par exemple une page web.
csUriQuery Requête, le cas échéant, que le client tentait d'effectuer.
ManagementGroupName Nom du groupe d’administration pour les agents Operations Manager. Pour les autres agents, il s’agit d’AOI-<workspace ID>.
RemoteIPCountry Pays/région associés à l’adresse IP du client.
RemoteIPLatitude Latitude de l'adresse IP du client.
RemoteIPLongitude Longitude de l'adresse IP du client.
scStatus Code d'état HTTP.
scSubStatus Code d'erreur du sous-état.
scWin32Status Code d’état Windows.
sIP Adresse IP du serveur web.
SourceSystem OpsMgr.
sPort Port sur le serveur auquel client est connecté.
sSiteName Nom du site IIS.
TimeGenerated Date et heure de consignation de l'entrée.
TimeTaken Délai de traitement de la requête en millisecondes.
csHost Nom d’hôte.
csBytes Nombre d’octets reçus par le serveur.

Enregistrer des requêtes avec les journaux d’activité IIS

Le tableau suivant fournit plusieurs exemples de requêtes de journaux qui extraient des enregistrements de journaux IIS :

Requête Description
W3CIISLog Tous les enregistrements de journaux IIS.
W3CIISLog Ǵ où scStatus==500 Tous les enregistrements de journaux IIS dont l’état renvoyé est 500.
W3CIISLog | résumer count() par cIP Nombre d’entrées de journaux IIS par adresse IP du client.
W3CIISLog | où csHost==« www.contoso.com » | résumer count() par csUriStem Nombre d’entrées de journaux IIS par URL pour l'hôte www.contoso.com.
W3CIISLog 񺄠 résumer sum(csBytes) par ordinateur | prendre 500000 Nombre total d'octets reçus par chaque ordinateur IIS.

Étapes suivantes