如何修复Terraform创建DCR时的'Microsoft-AppServiceConsoleLogs'多目标流错误？

核心问题 #

你遇到的错误根源在于未正确配置Data Collection Rule(DCR)的类型，以及部分配置不符合Terraform与Azure API的要求：

1. 必须指定DCR的kind为WorkspaceTransforms #

当使用transform_kql配置日志转换逻辑时，DCR的类型必须设置为WorkspaceTransforms——这是Azure专门用于日志转换的DCR类型，你代码中注释掉了该配置，导致API拒绝请求。

2. Log Analytics Workspace的data_collection_rule_id配置冗余且错误 #

你的Log Analytics Workspace资源中设置了外部DCR的ID，但该字段属于反向关联配置，与当前创建的DCR无关，应移除该配置避免冲突。

3. Data Flow的Destinations名称需匹配Destinations块定义的名称 #

destinations块中建议使用自定义简短名称（而非直接复用工作区名称），再在data_flow的destinations中引用该名称，避免名称过长或潜在冲突。

修正后的Terraform代码 #

resource "azurerm_log_analytics_workspace" "logworkspace" {
  name                = "${var.resource_group_prefix}-${var.application_environment_name}${var.instance_name}-logs"
  location            = var.location
  resource_group_name = data.azurerm_resource_group.apprg.name
  sku                 = "PerGB2018"
  retention_in_days   = 30
  # 移除不必要的外部DCR关联配置
}

resource "azurerm_monitor_data_collection_rule" "backendlogs-dcr" {
  name                = "${var.resource_group_prefix}-${var.application_environment_name}-dcr"
  resource_group_name = data.azurerm_resource_group.apprg.name
  location            = var.location
  # 启用转换功能必须设置该类型
  kind = "WorkspaceTransforms"

  destinations {
    log_analytics {
      # 使用自定义简短名称便于引用
      name = "la-destination"
      workspace_resource_id = azurerm_log_analytics_workspace.logworkspace.id
    }
  }

  data_flow {
    streams       = ["Microsoft-Table-AppServiceConsoleLogs"]
    # 引用destinations块中定义的名称
    destinations = ["la-destination"]
    output_stream = "Microsoft-AppServiceConsoleLogs"
    transform_kql = "source\n| extend Context = parse_json(ResultDescription)\n| extend Thread_CF = tostring(Context.thread)\n| extend Level_CF = tostring(Context.level)\n| extend Logger_CF = tostring(Context.logger)\n| extend Message_CF = tostring(Context.message)\n| project-away Context,ResultDescription"
  }
}

额外说明 #

• WorkspaceTransforms类型的DCR是唯一支持transform_kql字段的DCR类型，专门用于处理Log Analytics的日志转换逻辑。
• 确保你的Terraform AzureRM Provider版本在3.0及以上，旧版本对该DCR类型的支持不完善。

内容的提问来源于stack exchange，提问作者Nazar