從使用記錄分析之變更追蹤和清查移轉至使用 Azure 監視代理程式版本之變更追蹤和清查的指導

適用於：✔️ Windows VM ✔️ Linux VM ✔️ 已啟用 Azure Arc 的伺服器。

本文提供使用 Log Analytics (LA) 版本從變更追蹤和清查移至 Azure Monitoring Agent (AMA) 版本的指導。

使用 Azure 入口網站，您可以從使用 LA 代理程式的變更追蹤和清查移轉至使用 AMA 進行變更追蹤和清查，而且有兩種方式可以進行這項移轉：

• 從 [虛擬機器] 頁面移轉單一/多個 VM。
• 在特定自動化帳戶內的 LA 版本解決方案上移轉多個 VM。

注意

目前已提供使用適用於端點的 Microsoft Defender (MDE) 的檔案完整性監視 (FIM)。 請遵循下列指導進行移轉:

• 使用 AMA 具有變更追蹤和清查的 FIM。
• 使用 MMA 具有變更追蹤和清查的 FIM。

上線使用 Azure Monitoring Agent 變更追蹤和清查

單一 Azure VM - Azure 入口網站

若要透過 Azure 入口網站上線，請遵循下列步驟：

1. 登入 Azure 入口網站並選取您的虛擬機器

2. 在 [作業] 下，選取 [變更追蹤]。

3. 選取 [使用 AMA 進行設定]，並且在 [使用 Azure 監視器代理程式設定] 中，提供 Log Analytics 工作區，並且選取 [移轉] 起始部署。

   

4. 選取 [使用 AMA 切換至 CT&I]，以評估 LA 代理程式和 AMA 版本的傳入事件和記錄。

   

自動化帳戶 - Azure 入口網站

1. 登入 Azure 入口網站，並且選取您的自動化帳戶。

2. 在 [組態管理] 下，選取 [變更追蹤]，然後選取 [使用 AMA 進行設定]。

   

3. 在 [使用 Azure 監視上線至 變更追蹤] 頁面上，您可以檢視目前位於 Log Analytics 上的 Azure 和 Azure Arc 機器的自動化帳戶和列表，並準備好上線至 azure Monitoring Agent of 變更追蹤 和 inventory。

   

4. 在 [評估虛擬機器] 索引標籤上，選取機器，然後選取 [下一步]。

5. 在 [指派工作區] 索引標籤上，指派新的 Log Analytics 工作區資源識別碼，其中應儲存 AMA 型解決方案的設定，並且選取 [下一步]。

   

6. 在 [檢閱] 索引標籤上，您可以檢閱上線的機器和新工作區。

7. 選取 [移轉] 以起始部署。

8. 成功移轉之後，選取 [使用 AMA 切換至 CT&I] 以比較 LA 和 AMA 體驗。

   

單一 Azure Arc VM - Azure 入口網站

1. 登入 Azure 入口網站。 搜尋並選取 [機器-Azure Arc]。

   

2. 選取已啟用 變更追蹤 V1 的特定 Arc 機器，必須移轉至 變更追蹤 V2。

3. 選取 [移轉至使用 AMA 進行 變更追蹤]，然後在 [使用 Azure 監視器代理程序設定] 中提供 Log Analytics 工作區中的資源識別符，然後選取 [移轉] 以起始部署。

   

4. 選取 [管理活動記錄連線 ]，以評估跨LA代理程式和AMA版本的傳入事件和記錄。

已啟用 Arc 的 VM - PowerShell 腳本

若要將已啟用 Arc 的 VM 上線，請遵循下列步驟：

必要條件

• 確定您已安裝 PowerShell。 建議使用最新版本的 PowerShell 7 或更高版本。 請遵循在 Windows、Linux 和 macOS 上安裝 PowerShell 的步驟。
• 取得對指定工作區資源的讀取權限。
• 安裝最新版的 Az PowerShell 模組。 需要 Az.Accounts 和 Az.OperationalInsights 模組，才能提取工作區代理程式組態資訊。
• 請確定您有執行 Connect-AzAccount 和 Select-AzContext (設定指令碼的內容) 的 Azure 認證。 請遵循下列步驟，使用指令碼進行移轉。

移轉指引

1. 安裝指令碼並加以執行以執行移轉。 指令碼會執行下列作業：

   1. 它可確保新的工作區資源識別碼與使用 LA 版本與變更追蹤和清查相關聯的資源識別碼不同。

   2. 它會移轉下列資料類型的設定：

      • Windows 服務
      • Linux 檔案
      • Windows 檔案
      • Windows 登錄
      • Linux 精靈

   3. 該指令碼包含以下需要您輸入的參數。

   參數	必要	說明
   InputWorkspaceResourceId	Yes	使用 Log Analytics 與變更追蹤和清查相關聯的工作區資源識別碼。
   OutputWorkspaceResourceId	Yes	與 Azure Monitoring Agent 相關聯的工作區資源識別碼。
   OutputDCRName	Yes	新建立的 DCR 所用的自訂名稱。
   OutputDCRLocation	Yes	輸出工作區識別碼的 Azure 位置。
   OutputDCRTemplateFolderPath	Yes	建立 DCR 範本的資料夾路徑。

2. 執行上述指令碼時會產生 DCR 範本，且該範本可在 OutputDCRTemplateFolderPath 中取得。 您必須關聯新的 DCR，才能使用 AMA 將設定傳輸到變更追蹤和清查。

   1. 登入 [Azure 入口網站] 並移至 [監視]，然後在 [設定]下選取 [資料收集規則]。
   2. 從清單頁面中選取您在步驟 1 中已建立的資料收集規則。
   3. 在 [資料收集規則] 頁面的 [組態]下，選取 [資源]，然後選取 [新增]。
   4. 在 [選取範圍] 中，從 [資源類型] 中選取連線到訂用帳戶的 [機器-Azure Arc]，然後選取 [套用] 將步驟1 中所建立的 ctdcr 關聯到已啟用 Arc 的機器，而且它也會安裝 Azure 監視代理程式延伸模組。 如需詳細資訊，請參閱「啟用變更追蹤和清查 - 針對已啟用 Arc 的 VM - 使用入口網站/CLI」。

   根據已啟用 Arc 的 VM 的作業系統類型安裝變更追蹤延伸模組。

   Linux

   az connectedmachine extension create  --name ChangeTracking-Linux  --publisher Microsoft.Azure.ChangeTrackingAndInventory --type-handler-version 2.20  --type ChangeTracking-Linux  --machine-name XYZ --resource-group XYZ-RG  --location X --enable-auto-upgrade
   

   Windows

   az connectedmachine extension create  --name ChangeTracking-Windows  --publisher Microsoft.Azure.ChangeTrackingAndInventory --type-handler-version 2.20  --type ChangeTracking-Windows  --machine-name XYZ --resource-group XYZ-RG  --location X --enable-auto-upgrade
   

   如果 CT 記錄資料表結構描述不存在，則步驟 1 中所提到的指令碼將會失敗。 若要進行疑難排解，請執行下列指令碼 -

   
   $psWorkspace = Get-AzOperationalInsightsWorkspace -ResourceGroupName $resourceGroup -Name $laws
     # Enabling CT solution on LA ws
     New-AzMonitorLogAnalyticsSolution -Type ChangeTracking -ResourceGroupName $resourceGroup -Location $psWorkspace.Location -WorkspaceResourceId $psWorkspace.ResourceId
   

比較 Log Analytics 代理程式和 Azure Monitoring Agent 版本的資料

完成使用 AMA 版本的上線至變更追蹤之後，請在登陸頁面上選取 [使用 AMA 切換至 CT]，以切換至兩個版本，並比較下列事件。

例如，如果上線至 AMA 版本的服務是在 11 月 3 日上午 6:00 之後進行。您可以在變更類型 、時間範圍 等參數之間保留一致的篩選來比較資料。 您可以在 [變更] 區段和圖表區段中比較傳入記錄，以確保資料一致性。

注意

完成上線至 AMA 版本之後，您必須比較傳入資料和記錄。

取得 Log Analytics 工作區資源識別碼

若要取得 Log Analytics 工作區資源識別碼，請遵循下列步驟：

1. 登入 Azure 入口網站

2. 在 Log Analytics 工作區中，選取特定的工作區，並且選取 [Json 檢視]。

3. 複製資源識別碼。

   

限制

使用 Azure 入口網站

針對單一 VM 和自動化帳戶

1. 每個自動化帳戶可以移轉 100 個 VM。
2. 目前不支援任何具有 > 100 個檔案/登錄設定的 VM 透過入口網站進行移轉。
3. 入口網站不支援 Arc VM 移轉，建議您使用 PowerShell 指令碼移轉。
4. 針對檔案內容變更型設定，您必須手動從 LA 版本移轉至 AMA 版本的變更追蹤和清查。 遵循追蹤檔案內容中所列的指導。
5. 您必須手動設定您使用Log Analytics 工作區設定的警示。

使用 PowerShell 指令碼

1. 針對檔案內容變更型設定，您必須手動從 LA 版本移轉至 AMA 版本的變更追蹤和清查。 遵循追蹤檔案內容中所列的指導。
2. 不支援任何具有 > 100 個檔案/登錄設定的 VM，可透過 Azure 入口網站 進行移轉。
3. 您必須手動設定您使用Log Analytics 工作區設定的警示。

使用 Log Analytics 代理程式停用變更追蹤

使用 Azure Monitoring Agent 使用變更追蹤和清查啟用虛擬機器管理之後，您可能會決定停止使用具有 LA 代理程式版本的變更追蹤和清查，並從帳戶中移除組態。

停用方法包含下列項目：

• 針對 Log Analytics 工作區中選取的少數 VM，移除使用 LA 代理程式的變更追蹤。
• 從整個 Log Analytics 工作區中移除使用 LA 代理程式的變更追蹤。

下一步

• 若要從 Azure 入口網站啟用，請參閱 Azure 入口網站的 [啟用變更追蹤和清查]。