你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

从使用 Log Analytics 更改跟踪和库存到使用 Azure Monitoring Agent 版本更改跟踪和库存的迁移指南

适用于： ✔️ Windows VMs ✔️ Linux VMs ✔️ Azure Arc 启用的服务器。

本文提供有关从使用 Log Analytics (LA) 版本的更改跟踪和清单迁移到 Azure Monitoring Agent (AMA) 版本的指南。

使用 Azure 门户，可以从使用 LA 代理的更改跟踪和清单迁移到使用 AMA 的更改跟踪和清单，可通过两种方法来实现此迁移：

• 从“虚拟机”页迁移单个/多个 VM。
• 在特定自动化帐户中迁移 LA 版本解决方案上的多个 VM。

注意

使用 Microsoft Defender for Endpoint (MDE) 的文件完整性监视 (FIM) 现已可用。 请按照指导从以下位置进行迁移：

• 使用 AMA 通过更改跟踪和清单进行 FIM。
• 使用 MMA 通过更改跟踪和清单进行 FIM。

使用 Azure Monitoring Agent 加入更改跟踪和清单

单个 Azure VM - Azure 门户

要通过 Azure 门户载入，请执行以下步骤：

1. 登录到 Azure 门户并选择虚拟机

2. 在“操作”下，选择“更改跟踪”。

3. 选择“使用 AMA 进行配置”，并在“使用 Azure Monitor 代理进行配置”中提供日志分析工作区，然后选择“迁移”启动部署。

   

4. 选择“使用 AMA 切换到 CT&I”，以评估 LA 代理和 AMA 版本的传入事件和日志。

   

自动化帐户 - Azure 门户

1. 登录到 Azure 门户并选择自动化帐户。

2. 在“配置管理”下，选择“更改跟踪”，然后选择“使用 AMA 进行配置”。

   

3. 在“使用 Azure Monitoring 加入更改跟踪”页面上，可以查看当前在 Log Analytics 上的自动化帐户和 Azure 以及 Azure Arc 计算机列表，并准备好加入更改跟踪和清单的 Azure Monitoring Agent。

   

4. 在“评估虚拟机”选项卡上，选择计算机，然后选择“下一步”。

5. 在“分配工作区”选项卡上，分配基于 AMA 的解决方案设置应存储于其中的新“Log Analytics 工作区资源 ID”，然后选择“下一步”。

   

6. 在“评审”选项卡上，可以查看加入的计算机和新工作区。

7. 选择“迁移”以启动部署。

8. 成功迁移后，选择“使用 AMA 切换到 CT&II”，以比较 LA 和 AMA 体验。

   

单个 Azure Arc VM - Azure 门户

1. 登录到 Azure 门户。 搜索并选择“Machine-Azure Arc”。

   

2. 选择启用了更改跟踪 V1 的特定 Arc 计算机，该计算机需要迁移到更改跟踪 V2。

3. 选择“使用 AMA 迁移到更改跟踪”，然后在“使用 azure monitor 代理进行配置”中，提供 Log Analytics 工作区中的资源 ID，然后选择“迁移”以启动部署。

   

4. 选择“管理活动日志连接”评估 LA 代理和 AMA 版本的传入事件和日志。

已启用 Arc 的 VM - PowerShell 脚本

要载入已启用 Arc 的 VM，请执行以下步骤：

先决条件

• 确保已安装 PowerShell。 建议使用最新版本的 PowerShell 7 或更高版本。 按照步骤在 Windows、Linux 和 macOS 上安装 PowerShell。
• 获取指定工作区资源的读取访问权限。
• 安装最新版本的 Az PowerShell 模块。 拉取工作区代理配置信息需要Az.Accounts和Az.OperationalInsights模块。
• 确保有 Azure 凭据来运行设置脚本上下文的Connect-AzAccount和Select-AzContext。 按照以下步骤使用脚本进行迁移。

迁移指导

1. 安装脚本并运行它以执行迁移。 此脚本执行以下任务：

   1. 它确保新的工作区资源 ID 与使用 LA 版本与更改跟踪和清单关联的资源 ID 不同。

   2. 它会迁移以下数据类型的设置：

      • Windows 服务
      • Linux 文件
      • Windows 文件
      • Windows 注册表
      • Linux 守护程序

   3. 脚本由以下参数组成，这些参数需要你的输入。

   参数	必需	描述
   InputWorkspaceResourceId	是	与使用 Log Analytics 的更改跟踪和清单关联的工作区的资源 ID。
   OutputWorkspaceResourceId	是	与使用 Azure Monitoring Agent 代理的更改跟踪和清单关联的工作区的资源 ID。
   OutputDCRName	是	新创建的 DCR 的自定义名称。
   OutputDCRLocation	是	输出工作区 ID 的 Azure 位置。
   OutputDCRTemplateFolderPath	是	在其中创建 DCR 模板的文件夹路径。

2. 运行上述脚本时，会生成 DCR 模板，OutputDCRTemplateFolderPath中提供该模板。 必须关联新的 DCR，以使用 AMA 将设置传输到更改跟踪和清单。

   1. 登录到 Azure 门户，转到“监视”，然后在“设置”下，选择“数据收集规则”。
   2. 从列表页中选择已在步骤 1 中创建的数据收集规则。
   3. 在数据收集规则页的“配置”下，选择“资源”，然后选择“添加”。
   4. 在“选择范围”中，从“资源类型”中选择连接到订阅的“计算机-Azure Arc”，然后选择“应用”将在步骤 1 中创建的 ctdcr 关联到已启用 Arc 的计算机，它还将安装 Azure 监视代理扩展。 有关详细信息，请参阅使用门户/CLI 为已启用 Arc 的 VM 启用更改跟踪和清单。

   根据已启用 Arc 的 VM 的 OS 类型，安装更改跟踪扩展。

   Linux

   az connectedmachine extension create  --name ChangeTracking-Linux  --publisher Microsoft.Azure.ChangeTrackingAndInventory --type-handler-version 2.20  --type ChangeTracking-Linux  --machine-name XYZ --resource-group XYZ-RG  --location X --enable-auto-upgrade
   

   Windows

   az connectedmachine extension create  --name ChangeTracking-Windows  --publisher Microsoft.Azure.ChangeTrackingAndInventory --type-handler-version 2.20  --type ChangeTracking-Windows  --machine-name XYZ --resource-group XYZ-RG  --location X --enable-auto-upgrade
   

   如果 CT 日志表架构不存在，则步骤 1 中提到的脚本将失败。 要进行故障排除，请运行以下脚本 -

   
   $psWorkspace = Get-AzOperationalInsightsWorkspace -ResourceGroupName $resourceGroup -Name $laws
     # Enabling CT solution on LA ws
     New-AzMonitorLogAnalyticsSolution -Type ChangeTracking -ResourceGroupName $resourceGroup -Location $psWorkspace.Location -WorkspaceResourceId $psWorkspace.ResourceId
   

比较 Log analytics Agent 与 Azure Monitoring Agent 版本中的数据

完成加入使用 AMA 版本的更改跟踪后，在登陆页上选择“使用 AMA 切换到 CT”，以在两个版本之间切换，并比较以下事件。

例如，如果加入 AMA 版本的服务是在 11 月 3 日上午 6：00 之后进行的。可以通过在“更改类型”、“时间范围”等参数之间保持一致的筛选器来比较数据。 可以比较“更改” 部分和图形部分的传入日志，以确保数据一致性。

注意

完成加入 AMA 版本后，必须比较传入数据和日志。

获取 Log Analytics 工作区资源 ID

若要获取 Log Analytics 工作区资源 ID，请执行以下步骤：

1. 登录到 Azure 门户

2. 在 Log Analytics 工作区中，选择特定工作区，然后选择“Json 视图”。

3. 复制“资源 ID”。

   

限制

使用 Azure 门户

对于单个 VM 和自动化帐户

1. 每个自动化帐户可以在一个实例中迁移 100 个 VM。
2. 现在不支持通过门户迁移任何具有> 100 个文件/注册表设置的 VM。
3. 不支持通过门户迁移 Arc VM，建议使用 PowerShell 脚本迁移。
4. 对于基于文件内容更改的设置，必须手动从更改跟踪和清单的 LA 版本迁移到 AMA 版本。 按照跟踪文件内容中列出的指南进行操作。
5. 必须手动配置使用 Log Analytics 工作区配置的警报。

使用 PowerShell 脚本

1. 对于基于文件内容更改的设置，必须手动从更改跟踪和清单的 LA 版本迁移到 AMA 版本。 按照跟踪文件内容中列出的指南进行操作。
2. 不支持通过 Azure 门户迁移任何具有 > 100 个文件/注册表设置的 VM。
3. 必须手动配置使用 Log Analytics 工作区配置的警报。

禁用使用 Log Analytics Agent 的更改跟踪

使用包含 Azure Monitoring Agent 的更改跟踪和清单启用虚拟机管理后，可以决定停止使用包含 LA 代理版本的更改跟踪和清单，并从帐户中删除配置。

禁用方法包括：

• 对 Log Analytics 工作区中选定的几个 VM 删除包含 LA 代理的更改跟踪。
• 从整个 Log Analytics 工作区中删除包含 LA 代理的更改跟踪。

后续步骤

• 要从 Azure 门户启用，请参阅从 Azure 门户启用更改跟踪和清单。