從 Log Analytics 代理程式移轉至 Azure 監視器代理程式

Azure 監視器代理程式 (AMA) 會取代 Azure 與非 Azure 環境 (內部部署和第三方雲端) 中適用於 Windows 和 Linux 機器的 Log Analytics 代理程式 (也稱為 Microsoft Monitor Agent (MMA) 和 OMS)。 代理程式導入了簡易且有彈性的方法，可使用資料收集規則 (DCR) 設定資料收集。 此文章提供提供如何成功實作從 Log Analytics 代理程式移轉至 Azure 監視器代理程式的指引。

移轉是一項複雜的工作。 使用本文中的資訊作為指南，開始規劃移轉至 Azure 監視器代理程式。

福利

使用 Azure 監視器代理程式，您可以立即獲得好處，如下所示：

• 使用資料收集規則來節省成本：
  • 相較於舊版代理程式的「所有或無」方法，啟用機器或機器子集的目標和細微資料收集。
  • 允許篩選規則和資料轉換，以減少上傳的整體資料量，因而大幅降低擷取和儲存體成本。
• 安全性和效能
  • 透過受控識別和 Microsoft Entra 權杖來增強安全性 (適用於用戶端)。
  • 比舊版 Log Analytics (MMA/OMS) 代理程式高出 25% 的事件輸送量。
• 更簡單的管理，包括有效率的疑難排解：
  • 支援將資料上傳至多個目的地 (多個 Log Analytics 工作區，例如 Windows 和 Linux 上的多路連接)，包括跨區域和跨租用戶資料收集 (使用 Azure LightHouse)。
  • 從上線到部署到一段時間，在整個資料收集生命週期期間，「在雲端上」企業規模的集中代理程式設定會更新並變更。
  • 組態中任何變更都會自動推出到所有代理程式，而不需要用戶端部署。
  • 更加透明且能控制更多功能和服務，例如，Microsoft Sentinel、適用於雲端的 Defender，以及 VM 見解。
• 單一代理程式，可針對支援伺服器和用戶端裝置的所有資料收集需求。 單一代理程式即為目標，儘管 Azure 監視器代理程式目前與 Log Analytics 代理程式有交集。

開始之前

• 評論安裝 Azure 監視器代理程式的必要條件。 若要監視非 Azure 和內部部署伺服器，您必須安裝 Azure Arc 代理程式。 Arc 代理程式會在 Azure 中顯示您的內部部署伺服器作為其目標資源。 安裝 Azure Arc 代理程式不會產生任何額外費用。

• 確認 Azure 監視器代理程式可以解決所有需求。 Azure 監視器代理程式是用於資料收集的正式發行版 (GA)，可供各種 Azure 監視器功能和其他 Azure 服務用於資料收集。

• 請確認您具有安裝 Azure 監視器代理程式的必要權限。 您必須具備必要權限，才能在想要監視的電腦上安裝代理程式。 如需詳細資訊，請參閱安裝 Azure 監視器代理程式所需的權限。

高階指引

使用下列指引來規劃和執行移轉：

• 了解您的代理程式，以及必須移轉的代理程式數量。
• 了解如何使用工作區。
• 了解所設定的解決方案、深入解析和資料集合。
• 設定您的資料集合並驗證集合。
• 了解其他相依性和服務。
• 移除舊版代理程式。

Azure 監視器代理程式移轉協助程式活頁簿是以活頁簿為基礎的 Azure 監視器解決方案，可協助您完成上述每個步驟。 本指南會參考移轉程序每個階段的活頁簿和其他工具。 如需詳細資訊，請參閱 Azure 監視器代理程式移轉協助程式活頁簿。

了解您的代理程式

使用 DCR 產生器，將舊版代理程式組態轉換成自動 資料收集規則。¹ 若要協助瞭解您的代理程式，請檢閱下列問題：

Azure 監視器代理程式移轉協助程式活頁簿可協助您了解必須移轉的代理程式數目。 如需詳細資訊，請參閱 Azure 監視器代理程式移轉協助程式活頁簿 - 代理程式。|

了解您的工作區、解決方案、深入解析和資料集合

在移轉之前，請先了解 Log Analytics 工作區的使用方式。 檢查它們是否都在使用中，以及哪些代理程式正在將遙測資料傳送至哪些工作區。 許多工作區會隨著時間建立，而且目前還不清楚哪些工作區實際使用中、哪些工作區正用來收集遙測資料，以及是從哪些伺服器收集資料。 移轉是清除和合併工作區的好機會。

查看工作區時，請注意已設定哪些解決方案。 這項資訊對於了解您要收集的資料，以及其使用方式非常重要。

Azure 監視器代理程式移轉協助程式活頁簿可協助您了解您擁有的工作區，以及每個工作區中實作的解決方案，還有上次使用該解決方案的時間。 每個解決方案都有移轉建議。 如需詳細資訊，請參閱 Azure 監視器代理程式移轉協助程式活頁簿 - 工作區

您也可以使用 Azure 監視器工作區稽核活頁簿來協助您了解工作區。 若要使用 Azure 監視器工作區稽核活頁簿，請從 GitHub 存放庫複製活頁簿，並將其匯入 Log Analytics 工作區。

此活頁簿會收集所有 Log Analytics 工作區，並針對每個工作區顯示下列資訊：

• 傳送資料至該工作區的所有資料來源。
• 傳送活動訊號至工作區的代理程式。
• 傳送資料至該工作區的資源。
• 傳送資料至該工作區的任何 Application Insights 資源。

如需詳細資訊，請參閱 Azure 監視器工作區稽核活頁簿。

設定您的資料集合並驗證集合

設定資料集合時，建議採取下列步驟：

• 識別可用於此程序的伺服器試驗群組。 在大規模部署之前，請使用試驗伺服器來驗證資料。

• 使用 DCR 設定產生器來轉換工作區中設定的資料集合，並將其當成資料收集規則重新部署到環境。 如需 DCR 設定產生器的詳細資訊，請參閱 DCR 設定產生器。

• 將適用於虛擬機器的虛擬機器深入解析或 Azure 監視器移轉至 Azure 監視器代理程式。 驗證伺服器試驗群組的已移轉資料集合，並與移轉之前收集的資料相比。 若要避免雙重擷取，您可以透過移除舊版代理程式的工作區組態，在測試階段停用舊版代理程序的資料收集，而不需解除安裝代理程式。 如需詳細資訊，請參閱 Azure 監視器中的 Log Analytics 代理程式資料來源

• 驗證新的資料，以確保沒有任何差距。 比較舊版代理程式資料所擷取的資料與 Azure 監視器代理程式所擷取的資料。 使用 KQL 並根據代理程式類型來比較每個代理程式的對等資料。

• 使用 Azure 原則規劃大規模部署。 使用內建原則大規模部署擴充功能和 DCR 關聯。 使用原則也可確保自動部署新機器的延伸模組和 DCR 關聯性。 如需大規模部署的詳細資訊，請參閱管理 Azure 監視器代理程式 - 使用 Azure 原則。

了解其他相依性和服務

移轉之前，請務必了解其他服務的影響。

移除舊版代理程式

在移轉規劃的過程中，規劃在移轉完成後移除舊版代理程式，以避免資料集合重複。

如果您不需要在任何機器上保留 MMA，請使用 MMA 探索和移除工具來大規模移除代理程式。 如需 MMA 探索和移除工具的詳細資訊，請參閱 MMA 探索和移除工具。

不過，如果您使用 System Center Operations Manager (SCOM)，請將 MMA 代理程式部署至您將繼續使用 System Center Operations Manager 管理的機器。

SCOM 管理員管理組件存在，可協助您大規模移除工作區設定，同時保留 SCOM 管理群組設定。 如需 SCOM 管理員管理組件的詳細資訊，請參閱 SCOM 管理員管理組件。

潛在的移轉問題

• IIS 記錄：啟用 IIS 記錄收集時，AMA 可能不會填入 W3CIISLog 資料表的 sSiteName 資料行。 舊版代理程式啟用 IIS 記錄收集時，預設會收集此欄位的資料。 如果您必須使用 AMA 收集 sSiteName 欄位的資料，請在 IIS 的 W3C 記錄中啟用 Service Name (s-sitename) 欄位。 如需啟用此欄位的步驟，請參閱選取要記錄的 W3C 欄位。
• SQL 評定解決方案：這是目前 SQL 最佳做法評量的一部分。 部署原則需要每個訂用帳戶有一個 Log Analytics 工作區，這並不是 AMA 小組建議的最佳做法。
• 適用於雲端的 Microsoft Defender：正在移至無代理程式的解決方案。 某些功能將無法在淘汰日期前就緒。 針對使用檔案完整性監視 (FIM)、端點保護探索建議、OS 設定錯誤 (Azure 安全性基準 (ASB) 建議) 和自適性應用程式控制的機器，客戶應該繼續使用 MMA。
• 更新管理正在移至無代理程序解決方案，但 MMA 折舊日期無法就緒。 使用更新管理的客戶應該繼續使用 MMA，直到新的服務自動更新管理員準備就緒為止。

下一步

• Azure 監視器代理程式移轉協助程式活頁簿
• DCR 設定產生器
• MMA 探索和移除工具