Configuração de rede do Azure Monitor Agent

O Agente do Azure Monitor dá suporte a conexões usando proxies diretos, um gateway do Log Analytics e links privados. Este artigo descreve como definir configurações de rede e habilitar o isolamento de rede para o Azure Monitor Agent.

Etiquetas de serviço da rede virtual

As tags de serviço da Rede Virtual do Azure devem ser habilitadas na rede virtual para a máquina virtual (VM). As tags AzureMonitor e AzureResourceManager são necessárias.

Você pode usar marcas de serviço de Rede Virtual do Azure para definir controles de acesso à rede em grupos de segurança de rede, Firewall do Azure e rotas definidas pelo usuário. Use tags de serviço no lugar de endereços IP específicos ao criar regras de segurança e rotas. Para cenários em que as tags de serviço da Rede Virtual do Azure não podem ser usadas, os requisitos de firewall são descritos posteriormente neste artigo.

Nota

Os endereços IP públicos do ponto de extremidade de coleta de dados (DCE) não estão incluídos nas marcas de serviço de rede que você pode usar para definir controles de acesso à rede para o Azure Monitor. Se você tiver logs personalizados ou regras de coleta de dados de log (DCRs) do IIS (Serviços de Informações da Internet), considere permitir que os endereços IP públicos do DCE para esses cenários funcionem até que esses cenários sejam suportados por meio de tags de serviço de rede.

Pontos finais da firewall

A tabela a seguir fornece os pontos de extremidade aos quais os firewalls devem fornecer acesso para nuvens diferentes. Cada ponto de extremidade é uma conexão de saída com a porta 443.

Importante

Para todos os pontos de extremidade, a inspeção HTTPS deve ser desabilitada.

Ponto final	Objetivo	Exemplo
global.handler.control.monitor.azure.com	Aceda ao serviço de controlo	Não aplicável
<virtual-machine-region-name>.handler.control.monitor.azure.com	Buscar DCRs para uma máquina específica	westus2.handler.control.monitor.azure.com
<log-analytics-workspace-id>.ods.opinsights.azure.com	Ingerir dados de log	1234a123-aa1a-123a-aaa1-a1a345aa6789.ods.opinsights.azure.com
management.azure.com	Necessário somente se você enviar dados de séries cronológicas (métricas) para um banco de dados de métricas personalizadas do Azure Monitor	Não aplicável
<virtual-machine-region-name>.monitoring.azure.com	Necessário somente se você enviar dados de séries cronológicas (métricas) para um banco de dados de métricas personalizadas do Azure Monitor	westus2.monitoring.azure.com
<data-collection-endpoint>.<virtual-machine-region-name>.ingest.monitor.azure.com	Necessário somente se você enviar dados para uma tabela de logs personalizada do Log Analytics	275test-01li.eastus2euap-1.canary.ingest.monitor.azure.com

Substitua o sufixo nos pontos de extremidade pelo sufixo na tabela a seguir para as respetivas nuvens:

Cloud	Sufixo
Azure Commercial	.com
Azure Government	.us
Microsoft Azure operado pela 21Vianet	.cn

Nota

• Se você usar links privados no agente, deverá adicionar apenas DCEs privados. O agente não usa os pontos de extremidade não privados listados na tabela anterior quando você usa links privados ou DCEs privados.

• A visualização de métricas do Azure Monitor (métricas personalizadas) não está disponível no Azure Government e no Azure operado por nuvens 21Vianet.

• Quando você usa o Agente do Azure Monitor com o Escopo de Link Privado do Azure Monitor, todos os DCRs devem usar DCEs. Os DCEs devem ser adicionados à configuração do Escopo de Link Privado do Azure Monitor por meio de um link privado.

Configuração do proxy

As extensões do Agente do Azure Monitor para Windows e Linux podem se comunicar por meio de um servidor proxy ou por meio de um gateway do Log Analytics para o Azure Monitor usando o protocolo HTTPS. Use-o para VMs do Azure, conjuntos de escala e Azure Arc para servidores. Use as definições de extensões para configuração conforme descrito nas etapas a seguir. Há suporte para autenticação anônima e autenticação básica usando um nome de usuário e senha.

Importante

Não há suporte para a configuração de proxy para o Azure Monitor Metrics (visualização) como destino. Se você enviar métricas para esse destino, ele usará a internet pública sem qualquer proxy.

Nota

A configuração do proxy do sistema Linux por meio de variáveis de ambiente como http_proxy e https_proxy é suportada somente quando você usa o Agente do Azure Monitor para Linux versão 1.24.2 ou posterior. Para o modelo do Azure Resource Manager (modelo ARM), se você configurar um proxy, use o modelo ARM mostrado aqui como um exemplo de como declarar as configurações de proxy dentro do modelo ARM. Além disso, um usuário pode definir variáveis de ambiente global que são captadas por todos os serviços systemd através da variável DefaultEnvironment em /etc/systemd/system.conf.

Use os comandos do Azure PowerShell nos exemplos a seguir com base em seu ambiente e configuração.

VM do Windows

Sem proxy

$settingsString = '{"proxy":{"mode":"none"}}';
Set-AzVMExtension -ExtensionName AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location>  -SettingString $settingsString

Proxy sem autenticação

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "false"}}';
Set-AzVMExtension -ExtensionName AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location>  -SettingString $settingsString

Proxy com autenticação

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "true"}}';
$protectedSettingsString = '{"proxy":{"username":"[username]","password": "[password]"}}';
Set-AzVMExtension -ExtensionName AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location>  -SettingString $settingsString -ProtectedSettingString $protectedSettingsString

VM do Linux

Sem proxy

$settingsString = '{"proxy":{"mode":"none"}}';
Set-AzVMExtension -ExtensionName AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location>  -SettingString $settingsString

Proxy sem autenticação

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "false"}}';
Set-AzVMExtension -ExtensionName AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location> -SettingString $settingsString

Proxy com autenticação

$settingsString = '{"proxy":{"mode":"application","address":"http://[address]:[port]","auth": "true"}}';
$protectedSettingsString = '{"proxy":{"username":"[username]","password": "[password]"}}';
Set-AzVMExtension -ExtensionName AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -VMName <virtual-machine-name> -Location <location>  -SettingString $settingsString -ProtectedSettingString $protectedSettingsString

Servidor habilitado para Windows Arc

Sem proxy

$settings = @{"proxy" = @{mode = "none"}}
New-AzConnectedMachineExtension -Name AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings

Proxy sem autenticação

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "false"}}
New-AzConnectedMachineExtension -Name AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings 

Proxy com autenticação

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "true"}}
$protectedSettings = @{"proxy" = @{username = "[username]"; password = "[password]"}}
New-AzConnectedMachineExtension -Name AzureMonitorWindowsAgent -ExtensionType AzureMonitorWindowsAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings -ProtectedSetting $protectedSettings

Servidor habilitado para Linux Arc

Sem proxy

$settings = @{"proxy" = @{mode = "none"}}
New-AzConnectedMachineExtension -Name AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings

Proxy sem autenticação

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "false"}}
New-AzConnectedMachineExtension -Name AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings 

Proxy com autenticação

$settings = @{"proxy" = @{mode = "application"; address = "http://[address]:[port]"; auth = "true"}}
$protectedSettings = @{"proxy" = @{username = "[username]"; password = "[password]"}}
New-AzConnectedMachineExtension -Name AzureMonitorLinuxAgent -ExtensionType AzureMonitorLinuxAgent -Publisher Microsoft.Azure.Monitor -ResourceGroupName <resource-group-name> -MachineName <arc-server-name> -Location <arc-server-location> -Setting $settings -ProtectedSetting $protectedSettings

Exemplo de modelo de política ARM

{
  "properties": {
    "displayName": "Configure Windows Arc-enabled machines to run the Azure Monitor Agent",
    "policyType": "BuiltIn",
    "mode": "Indexed",
    "description": "Automate the deployment of the Azure Monitor Agent extension on your Windows Arc-enabled machines for collecting telemetry data from the guest OS. This policy installs the extension if the OS and region are supported and system-assigned managed identity is enabled, and skips install otherwise. Learn more at https://aka.ms/AMAOverview.",
    "metadata": {
      "version": "2.3.0",
      "category": "Monitoring"
    },
    "parameters": {
      "effect": {
        "type": "String",
        "metadata": {
          "displayName": "Effect",
          "description": "Enable or disable the execution of the policy."
        },
        "allowedValues": [
          "DeployIfNotExists",
          "Disabled"
        ],
        "defaultValue": "DeployIfNotExists"
      }
    },
    "policyRule": {
      "if": {
        "allOf": [
          {
            "field": "type",
            "equals": "Microsoft.HybridCompute/machines"
          },
          {
            "field": "Microsoft.HybridCompute/machines/osName",
            "equals": "Windows"
          },
          {
            "field": "location",
            "in": [
              "australiacentral",
              "australiaeast",
              "australiasoutheast",
              "brazilsouth",
              "canadacentral",
              "canadaeast",
              "centralindia",
              "centralus",
              "eastasia",
              "eastus",
              "eastus2",
              "eastus2euap",
              "francecentral",
              "germanywestcentral",
              "japaneast",
              "japanwest",
              "jioindiawest",
              "koreacentral",
              "koreasouth",
              "northcentralus",
              "northeurope",
              "norwayeast",
              "southafricanorth",
              "southcentralus",
              "southeastasia",
              "southindia",
              "swedencentral",
              "switzerlandnorth",
              "uaenorth",
              "uksouth",
              "ukwest",
              "westcentralus",
              "westeurope",
              "westindia",
              "westus",
              "westus2",
              "westus3"
            ]
          }
        ]
      },
      "then": {
        "effect": "[parameters('effect')]",
        "details": {
          "type": "Microsoft.HybridCompute/machines/extensions",
          "roleDefinitionIds": [
            "/providers/Microsoft.Authorization/roleDefinitions/cd570a14-e51a-42ad-bac8-bafd67325302"
          ],
          "existenceCondition": {
            "allOf": [
              {
                "field": "Microsoft.HybridCompute/machines/extensions/type",
                "equals": "AzureMonitorWindowsAgent"
              },
              {
                "field": "Microsoft.HybridCompute/machines/extensions/publisher",
                "equals": "Microsoft.Azure.Monitor"
              },
              {
                "field": "Microsoft.HybridCompute/machines/extensions/provisioningState",
                "equals": "Succeeded"
              }
            ]
          },
          "deployment": {
            "properties": {
              "mode": "incremental",
              "template": {
                "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
                "contentVersion": "1.0.0.0",
                "parameters": {
                  "vmName": {
                    "type": "string"
                  },
                  "location": {
                    "type": "string"
                  }
                },
                "variables": {
                  "extensionName": "AzureMonitorWindowsAgent",
                  "extensionPublisher": "Microsoft.Azure.Monitor",
                  "extensionType": "AzureMonitorWindowsAgent"
                },
                "resources": [
                  {
                    "name": "[concat(parameters('vmName'), '/', variables('extensionName'))]",
                    "type": "Microsoft.HybridCompute/machines/extensions",
                    "location": "[parameters('location')]",
                    "apiVersion": "2021-05-20",
                    "properties": {
                      "publisher": "[variables('extensionPublisher')]",
                      "type": "[variables('extensionType')]",
                      "autoUpgradeMinorVersion": true,
                      "enableAutomaticUpgrade": true,
                      "settings": {
                      "proxy": {
                        "auth": "false",
                        "mode": "application",
                        "address": "http://XXX.XXX.XXX.XXX"
                        }
                      },
                 "protectedsettings": { }
                    }
                  }
                ]
              },
              "parameters": {
                "vmName": {
                  "value": "[field('name')]"
                },
                "location": {
                  "value": "[field('location')]"
                }
              }
            }
          }
        }
      }
    }
  },
  "id": "/providers/Microsoft.Authorization/policyDefinitions/94f686d6-9a24-4e19-91f1-de937dc171a4",
  "type": "Microsoft.Authorization/policyDefinitions",
  "name": "94f686d6-9a24-4e19-91f1-de937dc171a4"
}

Configuração do gateway do Log Analytics

1. Siga as orientações anteriores para definir as configurações de proxy no agente e fornecer o endereço IP e o número da porta que correspondem ao servidor gateway. Se você implantou vários servidores gateway atrás de um balanceador de carga, para a configuração de proxy do agente, use o endereço IP virtual do balanceador de carga.

2. Adicione a URL do ponto de extremidade de configuração para buscar DCRs à lista de permissões do gateway:

   1. Execute Add-OMSGatewayAllowedHost -Host global.handler.control.monitor.azure.com.
   2. Execute Add-OMSGatewayAllowedHost -Host <gateway-server-region-name>.handler.control.monitor.azure.com.

   (Se você usar links privados no agente, você também deve adicionar o DCEs.)

3. Adicione a URL do ponto de extremidade de ingestão de dados à lista de permissões do gateway:

   • Execute o Add-OMSGatewayAllowedHost -Host <log-analytics-workspace-id>.ods.opinsights.azure.com.

4. Para aplicar as alterações, reinicie o serviço de gateway do Log Analytics (OMS Gateway):

   1. Execute Stop-Service -Name <gateway-name>.
   2. Execute Start-Service -Name <gateway-name>.

Conteúdos relacionados

• Saiba como adicionar um ponto de extremidade a um recurso do Escopo de Link Privado do Azure Monitor.