Azure Monitor Agent自定义日志采集失败问题求助

核心问题定位 #

自定义日志无数据导入的关键原因是DCR与目标表的关联未正确建立，需确保DCR的数据源配置和表的关联双向匹配。

针对方法1的修复步骤 #

1. 验证PowerShell创建表的正确性

   • 确认创建表时指定的Schema与日志格式匹配，你的日志示例2023-03-29T12:19:52.983Z myclass.py需包含至少两个字段：TimeGenerated和Message（或自定义字段），PowerShell命令需明确定义这些字段类型，示例：

     New-AzOperationalInsightsCustomLog -ResourceGroupName "rg-name" -WorkspaceName "la-workspace" -CustomLogName "MyCustomLog" -RawDataFormat "SingleLine" -Column @(@{Name="TimeGenerated";Type="DateTime"},@{Name="Message";Type="String"})
     

   • 检查表是否成功创建：在Log Analytics工作区的“表”列表中找到该表，确认状态为“正常”。

2. 修正DCR的数据源与目标映射

   • 编辑已创建的DCR，在“数据源”→“自定义文本日志”中，确保：
     • 文件路径匹配笔记本上的日志文件位置（需用绝对路径，Linux系统注意权限）
     • 日志格式选择“单行”，时间戳格式设置为yyyy-MM-dd'T'HH:mm:ss.fff'Z'，与你的日志格式完全匹配
   • 在“目标”部分，确认选择了正确的Log Analytics工作区和自定义表，必须确保DCR的输出映射与表的字段一一对应，如果表有自定义字段，需在DCR的“转换规则”中添加KQL映射，示例：

     source
     | extend TimeGenerated = todatetime(extract(@"^(\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}\.\d{3}Z)", 1, RawData)),
              Message = extract(@"^(\d{4}-\d{2}-\d{2}T\d{2}:\d{2}:\d{2}\.\d{3}Z)\s+(.*)", 2, RawData)
     

3. 重新关联DCR与ARC笔记本

   • 删除现有DCR与笔记本的关联，重新关联时确认笔记本资源选择正确，关联后等待10-15分钟让配置同步。

针对方法2的修复步骤 #

1. 处理基于DCR的自定义表异常

   • 当创建基于DCR的表时出现异常条目，先删除该异常表，重新创建：
     • 在Log Analytics工作区“表”界面，点击“创建”→“自定义日志（DCR-based）”
     • 选择“从现有DCR创建”或“创建新DCR”，创建过程中确保DCR的数据源已正确配置日志路径和格式
     • 创建表时直接关联目标DCR，避免后续手动关联可能出现的问题

2. 确认表与DCR的双向关联

   • 完成表创建后，进入表的“管理表”界面，检查“数据收集规则”列表中是否有对应的DCR：
     • 如果没有，手动添加：点击“添加数据收集规则”，选择已配置好的DCR，确认关联
     • 同时检查DCR的“目标”设置，确保已指向该自定义表

通用验证步骤 #

• 检查AMA代理日志：在笔记本上查看AMA日志（Linux路径/var/log/azure/Microsoft.Azure.Monitoring.Agent/，Windows路径C:\ProgramData\Microsoft\AzureMonitor\Logs），确认是否有日志读取或发送失败的报错
• 测试日志采集：在笔记本上手动生成一条符合格式的日志，等待15分钟后在Log Analytics中查询该表，使用KQL语句：MyCustomLog | take 10
• 检查权限：确保ARC笔记本的系统身份有读取日志文件的权限，以及AMA代理有向Log Analytics工作区发送数据的权限

内容的提问来源于stack exchange，提问作者necrolingus