如何从 Azure VM 收集 SSH 日志并将其推送到日志分析工作区

Question

我想将所有 SSH 日志（用户登录/注销）存储到 Log Analytics 工作区

我的环境的详细信息：

虚拟机：操作系统 - Ubuntu 18.04.6 LTS

与现有的 Log Analytics 工作区连接

Answer 1

我尝试在我这边重现该场景，并能够将 VM 身份验证日志推送到 Log Analytics：-

我想将所有 SSH 日志（用户登录/注销）存储到 Log Analytics
工作区

我使用 OS- Ubuntu 18.04.6 LTS 创建了一个 Linux VM

Azure VM 的登录日志未在 Azure 端收集，因为那是一个
VM 的数据平面操作。 但是你可以看到 VM 的用户登录详细信息
在您的 Linux 虚拟机中并将这些日志发送到日志分析工作区。
可以对本地 Linux 机器执行相同的操作。

使用命令检查 VM 中的用户 ssh 详细信息：-

last

 lastlog

所有这些日志都保存在 Linux VM 中的 auth.log 文件中，为了检查 auth.log 文件，您可以运行以下命令：-

tail -f -n 100 /var/log/auth.log

为了将此 auth.log 文件发送到日志分析工作区，有两种方法：-

方法 1) ：-使用旧版日志分析代理 -
Go 至 >
Log analytics workspace > Agents Management >Linux Servers > 并在 Linux 机器上运行下面给出的命令以在 Linux VM 上安装 Log analytics agent 。

wget https://raw.githubusercontent.com/Microsoft/OMS-Agent-for-Linux/master/installer/scripts/onboard_agent.sh && sh onboard_agent.sh -w <workspace-id> -s <key> -d opinsights.azure.com

我们的 Linux 虚拟机已连接到 Log Analytics 工作区，您可以查看日志：-

您还可以通过单击启用特定的系统日志
Legacy agent management > syslogs > Add facility and select specific logs from your Linux VM: -

注意 - 方法 1 使用日志分析代理将在
2024，建议迁移到Azure Monitor Agent。

方法二：-使用 Azure Monitor Agent [推荐] -

1. Azure Monitor Agent 可以直接从VM 左窗格 > 扩展 + 应用程序安装，如下所示：-

   

2. 另一种方法是通过Azure Monitor Agent :- [推荐]

我创建了一个数据收集规则来将所需的日志从 Linux VM 收集到日志分析工作区：-

创建端点 > Select 接下来 > 收集和交付 > 添加数据源 > 在数据源类型 > Select Linux 系统日志 > 和 select LOG_AUTH > 参考以下：-

Select 目标中的日志分析工作区 -

创建数据收集规则：-

现在，您可以通过访问启用 Azure 监控代理：-在 Azure 门户上搜索监控 > 虚拟机 > Select 您的虚拟机 > 启用 Azure 监控代理。

现在， Select Azure 监控代理 > 单击配置：-

现在，等待一段时间让 Auth 日志反映出用户登录和注销的详细信息：-
Go 至：-
在 Azure Portal > Logs > Select syslog 表上监控

您的 VM 日志将存储在这里。

方法 3) [可选]使用诊断设置
您可以启用诊断设置并使用 Azure Monitor agent for Linux 将 VM 日志存储在存储帐户中。 如果您已经有日志分析以避免重复并降低成本，则不建议使用此方法。

Select 您的 Linux VM > 诊断设置 > 选择一个存储帐户来存储您的 VM 日志。

诊断设置会将授权日志存储在选定的存储帐户中：-

单击保存。

参考：-

• 在 Azure 门户中启用 VM 洞察 - Azure Monitor | 微软
  学习
• 在 Azure 中使用 Log Analytics 代理收集 Syslog 数据源
  监视器 - Azure 微软
  学习