使用 Log Analytics 代理收集 Windows 事件日志数据源

由于许多应用程序都会写入 Windows 事件日志，因此 Windows 事件日志是 Windows 虚拟机上 Log Analytics 代理最常见的数据源之一。 除了由需要监视的应用程序创建的任意自定义日志，还可以从标准日志（如“系统”和“应用程序”）中收集事件。

配置 Windows 事件日志

从 Log Analytics 工作区的旧版代理程序管理菜单配置 Windows 事件日志。

Azure Monitor 仅从在设置中指定的 Windows 事件日志收集事件。 可输入日志名称或者选择 + 来添加事件日志。 对于每个日志，仅收集具有所选严重级别的事件。 检查要收集的特定日志的严重级别。 不能向筛选事件提供任何其他条件。

输入事件日志名称时，Azure Monitor 会提供常见事件日志名称的建议。 如果要添加的日志未显示在列表中，仍可以通过输入日志全名添加。 可以使用事件查看器查找日志全名。 在事件查看器中，打开日志的“属性”页面，并从“全名”字段复制字符串。

Windows 事件日志中的严重事件在 Azure Monitor 日志中的严重性为“错误”。

数据收集

Azure Monitor 在事件创建时从受监视的事件日志中收集与所选严重级别相匹配的每个事件。 代理会在将其收集到的每个事件日志的位置记录下来。 如果代理在一段时间内处于脱机状态，则它从其上次脱机的位置收集事件，即使这些事件是在代理脱机期间创建的。 如果事件日志在代理脱机时，还有未收集的事件正在被覆盖，则可能无法收集这些事件。

Windows 事件的记录属性

Windows 事件记录都有一个事件类型，并且具有下表中的属性：

使用 Windows 事件的日志查询

下表提供了检索 Windows 事件记录的不同日志查询的示例。

后续步骤

• 配置 Log Analytics 以收集其他数据源进行分析。
• 了解日志查询以便分析从数据源和解决方案中收集的数据。
• 配置来自 Windows 代理的性能计数器集合。