如何用Azure Monitoring Agent持续收集自定义日志至Log Analytics Workspace？解决日志无法追加问题

排查方向与修复步骤 #

• 文件权限互斥检查
  确认Web应用运行账户对目标日志文件拥有写入权限，同时Log Analytics Agent（MMA）的运行账户（默认Local System）拥有读取权限。需确保两种权限同时存在，避免因权限冲突导致应用无法写入日志。
  操作：右键日志文件→「属性」→「安全」标签，添加对应账户的权限并应用。

• 修改MMA日志读取模式
  MMA默认的文件读取方式可能会锁定日志文件，阻止Web应用追加新内容。需将自定义日志配置改为尾部读取模式：

  1. 进入对应Data Collection Rule的编辑页面，找到自定义文本日志数据源
  2. 把「读取模式」设置为Tail（仅追踪新增内容，不锁定整个文件）
  3. 保存配置，等待5-10分钟让Agent同步设置

• 验证Agent运行状态
  检查目标机器上的Microsoft Monitoring Agent服务是否正常运行，同时查看Agent日志（路径：C:\Program Files\Microsoft Monitoring Agent\Agent\Logs），排查是否有文件读取、权限相关的报错信息。

• 测试日志写入与收集
  手动向日志文件添加一行测试内容，等待15分钟后检查Log Analytics Workspace的自定义表是否收到该内容，同时确认Web应用自身能正常写入新日志。

额外提示 #

若使用Azure Monitor Agent（AMA）代替传统MMA，需在DCR的自定义日志配置中启用「实时收集」选项，避免缓存机制导致的写入阻塞。

内容的提问来源于stack exchange，提问作者Shanks