Azure创建Data Collection Rule时遭遇InvalidPayload错误

问题根源 #

你遇到的InvalidPayload错误，核心原因是DCR配置中指定的输出流Microsoft-WindowsEvent对应的目标表，在新创建的Log Analytics工作区中尚未生成，或者配置中使用了错误的表名。

解决方案 #

1. 修正DCR模板中的目标表名

Log Analytics工作区中存储Windows事件的标准表名为WindowsEvent，而非Microsoft-WindowsEvent。需要修改DCR JSON模板中的对应配置：

• 找到destinations下logAnalyticsDest的表名配置，将其替换为WindowsEvent
• 检查dataFlows部分的映射规则，确保输入流Microsoft-WindowsEvent正确关联到目标表WindowsEvent

示例修正片段：

"dataFlows": [
  {
    "streams": [ "Microsoft-WindowsEvent" ],
    "destinations": [ "logAnalyticsDest" ],
    "transformKql": "source | project TimeGenerated, Computer, EventID, LevelDisplayName, Message"
  }
],
"destinations": {
  "logAnalytics": [
    {
      "workspaceResourceId": "/subscriptions/xxx/resourceGroups/xxx/providers/Microsoft.OperationalInsights/workspaces/xxx",
      "name": "logAnalyticsDest",
      "tableName": "WindowsEvent"
    }
  ]
}

2. 触发Log Analytics工作区生成目标表

新创建的Log Analytics工作区不会预创建WindowsEvent表，需通过以下方式触发表生成：

• 在关联的Windows虚拟机上手动生成一条事件日志（如在事件查看器中创建自定义事件），并确保VM的Azure Monitor Agent已配置向该工作区发送日志，等待5-10分钟后表会自动生成
• 若暂时无法关联VM，可使用Azure CLI向工作区发送一条测试日志（需提前安装Log Analytics CLI扩展）

3. 等待工作区初始化完成

新创建的Log Analytics工作区需要一定时间完成基础配置初始化，建议在创建工作区后等待10-15分钟，再执行DCR创建脚本。

额外注意事项 #

• 若使用Azure Monitor Agent（AMA）收集事件，需确保DCR的输入流配置与AMA支持的流名一致（Microsoft-WindowsEvent是正确的输入流名）
• 可通过Log Analytics工作区的「表」页面，确认WindowsEvent表已存在后，再执行DCR创建操作

内容的提问来源于stack exchange，提问作者Álvaro