使用Azure Monitor Agent采集Linux VM文本日志失败求助

1. 确认DCR数据源配置是否完成 #

你大概率是在门户配置时漏了添加并关联文本日志数据源的核心步骤：

• 进入目标DCR的管理页面，切换到「数据源」标签页
• 若未看到文本日志类型的数据源，点击「添加数据源」，选择「文本日志」，填写日志路径/home/user/Myfolder/mylog.log，并关联到你创建的自定义表
• 保存配置后，重新查看DCR的JSON，确认datasources字段已填充文本日志相关配置

2. 检查日志文件的权限 #

Azure Monitor Agent以omsagent用户身份运行，必须确保该用户能读取目标日志：

• 执行命令查看文件权限：sudo ls -l /home/user/Myfolder/mylog.log
• 若omsagent无读取权限，可执行：
  • 给其他用户添加读权限：sudo chmod o+r /home/user/Myfolder/mylog.log
  • 或者将omsagent加入日志所属用户组：sudo usermod -aG <日志文件所属组> omsagent（替换尖括号内的内容）

3. 验证日志解析规则的正确性 #

你的日志格式是TimeGeneratd label namespace name value，需确保DCR的转换规则匹配：

• 进入DCR的「转换」标签页，确认解析规则正确，比如使用KQL的parse语句：

  parse with TimeGeneratd datetime label string namespace string name string value string
  | extend TimeGenerated = TimeGeneratd // 修正日志里的拼写错误，匹配自定义表字段名
  

• 注意日志中的TimeGeneratd少了一个字母e，若自定义表的时间字段是TimeGenerated，必须通过extend语句映射，否则数据无法正确写入表中

4. 检查Azure Monitor Agent的运行状态 #

确认Agent正常运行且已加载目标DCR：

• 查看Agent服务状态：sudo systemctl status omsagent，需显示active (running)
• 检查DCR加载情况：sudo /opt/microsoft/omsagent/bin/omsagent -status
• 若未加载目标DCR，重启Agent服务：sudo systemctl restart omsagent

5. 查看Agent日志定位错误 #

Agent日志路径为/var/opt/microsoft/omsagent/log/omsagent.log，可通过以下命令查找文本日志相关报错：

sudo grep -i "textlog" /var/opt/microsoft/omsagent/log/omsagent.log

常见报错包括路径不存在、权限不足、格式解析失败等，根据报错信息修复问题

内容的提问来源于stack exchange，提问作者Antonio Nicolin