使用Azure Monitor Agent采集自定义日志至Log Analytics Workspace无数据求助

问题背景 #

已按流程配置 Azure Monitor Agent（AMA）采集自定义文本日志：创建同区域数据收集端点（DCE）、基于数据收集规则（DCR）的自定义表、配置DCR指定日志路径/文件名并关联目标VM（已自动安装AMA扩展），VM心跳日志可正常采集，但自定义应用日志未出现在Log Analytics Workspace（LAW）中，且VM本地的AMA日志显示日志已处理无错误。

排查步骤 #

1. 验证自定义表配置有效性 #

• 确认自定义表架构与日志格式匹配：若日志为结构化文本（如JSON），检查DCR中是否正确配置字段提取规则；若为非结构化文本，确保表的RawData默认字段已启用。
• 登录LAW，在「表」列表中找到目标自定义表，确认表已完成部署（通常需10-15分钟生效），状态无异常。

2. 核对DCR日志源配置细节 #

• 路径与文件名匹配检查：打开对应DCR，确认日志源路径为完整绝对路径（Windows用C:\path\to\logs，Linux用/path/to/logs），文件名通配符（如*.log）使用正确，Linux系统需注意大小写区分。
• 权限验证：
  • Windows：确认AMA运行账户（默认Local System）对日志目录和文件有读取权限，可手动切换该账户尝试访问日志文件。
  • Linux：执行sudo -u omsagent cat /path/to/logfile.log，验证AMA运行账户（默认omsagent）是否能正常读取目标日志。
• 日志滚动与编码检查：若为滚动日志（如按日期分割），确认DCR已配置监控新增文件；同时确保日志文件编码为UTF-8（AMA默认支持，其他编码需在DCR中指定）。

3. 确认DCR与VM的关联状态 #

• 打开VM的「扩展」页面，确认Azure Monitor Agent扩展状态为「运行中」，无报错信息。
• 打开DCR的「关联资源」页面，确认目标VM已成功关联，状态为「正常」；若关联异常，尝试重新关联VM。

4. 排查LAW数据接收与延迟 #

• 自定义日志采集存在正常延迟，通常需等待30分钟至1小时才能在LAW中查询到数据，可等待一段时间后重试。
• 用KQL查询验证数据是否进入：

  <你的自定义表名>
  | where TimeGenerated > ago(2h)
  | take 10
  

  若仍无结果，查询AzureDiagnostics表排查DCR相关报错：

  AzureDiagnostics
  | where Category == "DataCollectionRule"
  | where Level == "Error"
  | take 20
  

5. 深入分析AMA本地日志细节 #

• Windows：查看详细日志文件C:\ProgramData\AzureMonitor\Agent\Logs\microsoft-azuremonitor-agent.log，搜索custom log或目标日志文件名，确认是否有「找到X行待处理数据」的记录，同时排查是否存在隐性错误（如字段解析失败但未标记为错误）。
• Linux：查看日志文件/var/log/microsoft/azuremonitoragent/microsoft-azuremonitor-agent.log，执行grep "custom log" /var/log/microsoft/azuremonitoragent/microsoft-azuremonitor-agent.log定位处理细节。

6. 最小场景测试采集功能 #

• 在DCR配置的源路径下创建测试日志文件，写入固定内容，等待15-30分钟后查询LAW，确认是否能采集到测试数据，以此排除应用日志本身的问题（如日志未写入、文件被锁定等）。

内容的提问来源于stack exchange，提问作者Chsr