VM Insights未记录所有运行进程？求完整进程日志采集方案

原因分析 #

VM Insights的Service Map和Dependency功能默认仅采集有网络交互、参与服务依赖关系的进程，核心目标是聚焦应用架构的依赖链路。像notepad.exe这类无网络活动、属于用户交互类的轻量进程，不在默认采集范围内，因此不会出现在VMProcess查询结果中。

解决步骤 #

• 切换至VM Insights的Processes专属采集功能
  该功能专门用于全量进程数据采集，需先确认VM上的监控扩展配置：

  • 对于传统Microsoft Monitoring Agent（MMA）：在Azure门户进入目标VM -> 「扩展」 -> 找到MicrosoftMonitoringAgent -> 编辑配置，确保启用了「Processes」采集规则。
  • 对于Azure Monitor Agent（AMA）：进入VM -> 「监控」 -> 「数据收集规则」，关联包含「Processes」数据源的DCR，并设置采集范围为所有进程。

• 调整Log Analytics工作区的VMProcess表采集规则
  进入Log Analytics工作区 -> 「表」 -> 找到VMProcess -> 点击「编辑采集设置」，勾选「采集所有进程」，或针对特定用户（如admin_local）添加自定义采集规则，确保覆盖目标进程。

• 验证配置生效
  配置修改后等待10-15分钟让扩展同步，重新启动notepad.exe，再运行KQL查询验证：

  VMProcess | where UserName =~'admin_local' and ProcessName == 'notepad.exe'
  

• 排查权限问题
  确保VM Insights的运行账户（默认Local System）拥有读取所有用户进程的权限。若使用自定义运行账户，需为其分配进程查询的系统权限，避免因权限不足无法采集非系统用户的进程。

内容的提问来源于stack exchange，提问作者KrazeyKami