Azure Front Door でのメトリックとログの監視

レポート に、Azure Front Door 経由や Web アプリケーション ファイアウォール (WAF) 経由の、アプリケーションへのトラフィックのフローに関する分析情報が提供されます。

メトリック

Azure Front Door では、メトリックが 60 秒間隔で測定されて送信されます。 メトリックが Azure Monitor で処理されるまでに最大 3 分かかる場合があり、処理が完了するまで表示されません。 メトリックはグラフかグリッドで表示することもでき、Azure portal、Azure PowerShell、Azure CLI、Azure Monitor API からアクセスできます。 詳細については、「Azure Monitor metrics」(Azure Monitor メトリック) を参照してください。

次の表にリストされているメトリックは、一定期間無料で記録されて保存されます。 追加費用を支払うと、さらに長い期間保存できます。

ログ

ログは、Azure Front Door をパススルーするすべての要求を追跡します。 ログが処理されて保存されるまでに数分かかる場合があります。

以下の複数の Front Door ログがあり、さまざまな目的で使用できます。

• アクセス ログ を使用すると、低速な要求を特定し、エラー発生率を判断し、ソリューションに対して Front Door のキャッシュ動作がどのように機能しているか把握できます。
• Web アプリケーション ファイアウォール (WAF) ログを使用すると、潜在的な攻撃を検出したり、WAF がブロックした正当な要求を示している可能性がある擬陽性の検出を行ったりできます。 WAF ログの詳細については、「Azure Web アプリケーション ファイアウォールの監視とログ記録」を参照してください。
• 正常性プローブ ログ を使用すると、異常な配信元や、Front Door の地理的に分散した PoP の一部からの要求に応答しない配信元を特定できます。
• アクティビティ ログ を使用すると、Azure Front Door プロファイルへの構成変更など、Azure リソースに対して実行される操作を可視化できます。

アクセス ログと WAF ログには "追跡参照" が含まれています。これは、X-Azure-Ref ヘッダーを使用して配信元とクライアント応答への要求にも反映されます。 追跡参照を使用して、アプリケーション要求処理のエンド ツー エンド ビューを取得できます。

アクセス ログ、正常性プローブ ログ、WAF ログは、既定では有効になっていません。 診断ログを有効にして保存するには、「Azure Front Door のログ」を参照してください。 アクティビティ ログ エントリは既定で収集され、Azure Portal で表示できます。

アクセス ログ

すべての要求に関する情報がアクセス ログにログされます。 各アクセス ログ エントリには、次の表にリストされている情報が含まれています。

正常性プローブ ログ

Azure Front Door では、失敗した正常性プローブ要求がすべてログされます。 これらのログは、配信元に関する問題を診断するのに役立ちます。 ログに示されている情報は、失敗の理由を調査してから配信元を正常な状態に戻すために使用できます。

このログが役立つ可能性のあるシナリオを、いくつか次に示します。

• Azure Front Door トラフィックが配信元のサブセットに送信されていることに気付きました。 たとえば、4 つの配信元のうち 3 つだけがトラフィックを受信していることに気付くことがあります。 配信元が正常かどうかを知るために、配信元が正常性プローブを受信して応答しているかどうかを知る必要があります。
• 配信元の正常性の割合メトリックが想定より低いことに気付きます。 異常として記録される配信元と、正常性プローブの失敗の理由を知る必要があります。

各正常性プローブ ログ エントリには、次のスキーマがあります。

次の JSON スニペットの例は、失敗した正常性プローブ要求に関する正常性プローブ ログ エントリを示しています。

{
  "records": [
    {
      "time": "2021-02-02T07:15:37.3640748Z",
      "resourceId": "/SUBSCRIPTIONS/mySubscriptionID/RESOURCEGROUPS/myResourceGroup/PROVIDERS/MICROSOFT.CDN/PROFILES/MyProfile",
      "category": "FrontDoorHealthProbeLog",
      "operationName": "Microsoft.Cdn/Profiles/FrontDoorHealthProbeLog/Write",
      "properties": {
        "healthProbeId": "9642AEA07BA64675A0A7AD214ACF746E",
        "POP": "MAA",
        "httpVerb": "HEAD",
        "result": "OriginError",
        "httpStatusCode": "400",
        "probeURL": "http://www.example.com:80/",
        "originName": "www.example.com",
        "originIP": "PublicI:Port",
        "totalLatencyMilliseconds": "141",
        "connectionLatencyMilliseconds": "68",
        "DNSLatencyMicroseconds": "1814"
      }
    }
  ]
}

Web アプリケーション ファイアウォールのログ

Front Door Web アプリケーション ファイアウォール (WAF) ログの詳細については、「Azure Web アプリケーション ファイアウォールの監視とログ記録」を参照してください。

アクティビティ ログ

アクティビティ ログは、Azure Front Door リソースに対する管理操作に関する情報を提供します。 ログには、Azure Front Door リソースに対して実行された各書き込み操作についての詳細 (どのような操作がだれによっていつ行われたかなど) が含まれています。

詳しくは、「View your activity logs (アクティビティ ログを表示する)」をご覧ください。

次のステップ

診断ログを有効にして保存するには、「Azure Front Door のログ」を参照してください。

Azure Front Door (クラシック) を使用する場合、次の方法でリソースを監視できます。

• メトリック。 現在、Azure Front Door にはパフォーマンス カウンターを表示するメトリックが 8 つあります。
• ログ。 アクティビティ ログや診断ログでは、リソースのパフォーマンス、アクセス、その他のデータを監視目的で保存または使用することができます。

メトリック

メトリックとは、ポータルでパフォーマンス カウンターを表示できるようにする特定の Azure リソース用の機能です。 利用可能な Front Door メトリックは次のとおりです。

アクティビティ ログ

アクティビティ ログにより、Azure Front Door (クラシック) プロファイルに対して行われた操作に関する情報が提供されます。 また、これらにより、Azure Front Door (クラシック) プロファイルに対して行われた書き込み操作 (PUT、POST、DELETE) について、いつだれが何を行ったのかが示されます。

アクティビティ ログに Front Door でアクセスするか、Azure リソースのすべてのログに Azure Monitor でアクセスします。 アクティビティ ログを表示するには、次の手順に従います。

1. Front Door インスタンスを選択します。

2. [アクティビティ ログ] を選択します。

   

3. フィルター処理のスコープを選択し、 [適用] を選択します。

診断ログ

診断ログは、監査やトラブルシューティングにとって重要な操作とエラーに関する豊富な情報を提供します。 診断ログは、アクティビティ ログとは異なります。

アクティビティ ログは、Azure リソースに対して行われた操作に関する分析情報を提供します。 診断ログは、自分のリソースが実行した操作に関する分析情報を提供します。 詳細については、Azure Monitor の診断ログに関するドキュメントを参照してください。

Azure Front Door (クラシック) の診断ログを構成するには:

1. Azure Front Door (クラシック) プロファイルを選択します。

2. [診断設定] を選択します。

3. [診断を有効にする] を選択します。 診断ログをメトリックと共にストレージ アカウントにアーカイブし、それらをイベント ハブにストリーム配信したり、Azure Monitor ログに送信したりします。

現在、Front Door では診断ログが提供されています。 診断ログでは、次のスキーマを使用した各エントリが個々の API 要求に提供されます。

Sent to origin shield の非推奨化

生のログ プロパティ isSentToOriginShield は非推奨となり、新しいフィールド isReceivedFromClient に置き換えられました。 非推奨化されたフィールドを既に使用している場合は、新しいフィールドを使用してください。

生ログには、CDN エッジ (子 POP) とオリジン シールドの両方から生成されたログが含まれます。 オリジン シールドとは、世界中に戦略的に配置された親ノードを指します。 これらのノードが配信元サーバーと通信を行うことで、配信元におけるトラフィック負荷が軽減されます。

オリジン シールドに向かう各要求について、次の 2 つのログ エントリが存在します。

• エッジ ノード由来
• オリジン シールド由来

エグレスまたは応答がエッジ ノード由来かオリジン シールド由来かは、isReceivedFromClient フィールドを使用して正しいデータを取得することで区別できます。

この値が false の場合、その要求に対する応答はオリジン シールドからエッジ ノードに返されたことを意味します。 このアプローチは、生ログを課金データと比較する際に有効です。 オリジン シールドからエッジ ノードへのエグレスに料金は発生しません。 料金は、エッジ ノードからクライアントへのエグレスで発生します。

Log Analytics のオリジン シールドで生成されたログを除外するための Kusto クエリ サンプル。

AzureDiagnostics | where Category == "FrontdoorAccessLog" and isReceivedFromClient_b == true

Azure Front Door では、オブジェクト チャンクと呼ばれる方法が使用されます。 大きなファイルが要求されると、Azure Front Door は配信元からファイルを分割して取得します。 Azure Door POP サーバーが、要求されたファイルの全体またはバイト範囲を受け取った後、Azure Front Door エッジ サーバーは、8 MB のチャンク単位で配信元にファイルを要求します。

Azure Front Door エッジに届いたチャンクはキャッシュされ、ただちにユーザーに提供されます。 その後、Azure Front Door は並列処理で次のチャンクをプリフェッチします。 このプリフェッチにより、コンテンツはチャンク 1 つ分だけ常にユーザーより先行することになるため、待ち時間が短縮されます。 この処理は、ファイル全体がダウンロードされるか (要求があった場合)、すべてのバイト範囲が利用可能になるか (要求があった場合)、クライアントが接続を終了するまで続けられます。 バイト範囲の要求の詳細については、RFC 7233 をご覧ください。 Azure Front Door は受信したチャンクをすべてキャッシュします。 ファイル全体を Front Door のキャッシュに保存する必要はありません。 ファイルまたはバイト範囲に対する後続の要求に対しては、Azure Front Door キャッシュの内容が提供されます。 すべてのチャンクが Azure Front Door にキャッシュされていない場合、プリフェッチを使用して配信元にチャンクが要求されます。 この最適化は、配信元サーバーのバイト範囲要求をサポートする機能に依存します。 配信元サーバーがバイト範囲要求をサポートしていない場合、この最適化の効果はありません。

次のステップ

• Azure Front Door (クラシック) プロファイルを作成する方法を確認します
• Azure Front Door (クラシック) のしくみについて学習します