Azure

Azure Monitor Agent (AMA)

Allgemeine Infos

Der Azure Monitor Agent (AMA) sammelt Daten aus dem Gastbetriebssystem von Azure-VMs, VM Scale Sets, Servern über Azure Arc sowie Windows-10- und Windows-11-Clients und liefert sie an Azure Monitor. Ohne Agent sieht Azure nur Hostdaten wie CPU-Metriken der VM, aber keine Ereignisprotokolle, Syslog oder Anwendungslogs. Microsoft Sentinel, VM Insights und Change Tracking nutzen den AMA als Datenquelle.

Der AMA hat den Log Analytics Agent (auch MMA oder OMS-Agent) abgelöst, der am 31. August 2024 außer Dienst ging. Nach dem 2. März 2026 kann dessen Datenupload in die Cloud jederzeit ohne weitere Ankündigung enden. Ausgenommen sind nur Agents, die ausschließlich an ein lokales System Center Operations Manager berichten.

Abgrenzung: Azure Monitor ist die Plattform, Log Analytics der Speicher und die Abfrageumgebung, der AMA ist nur der Sammler auf der Maschine. Der Azure Connected Machine Agent von Azure Arc macht einen lokalen Server erst in Azure sichtbar, der AMA läuft dann als Erweiterung darauf. Microsoft Defender for Cloud und Azure Update Manager arbeiten ohne AMA.

Funktionsweise & Details

Der Ablauf der Datensammlung:

  1. Installation als VM-Erweiterung AzureMonitorWindowsAgent oder AzureMonitorLinuxAgent, auf Arc-Servern nach dem Connected Machine Agent, auf Windows-Clients per MSI-Installer. Ein Neustart ist nicht nötig.
  2. Eine Datensammlungsregel (Data Collection Rule, DCR) beschreibt, was gesammelt wird, wie es transformiert wird und wohin es geht. Eine DCR-Zuordnung verknüpft Regel und Maschine, eine Maschine kann mehrere DCRs haben.
  3. Der Agent holt seine zugeordneten DCRs und fragt regelmäßig nach Änderungen, die Konfiguration erfolgt also zentral statt auf dem Server.
  4. Datenquellen unter Windows sind Ereignisprotokolle, Leistungsindikatoren, Textlogs und IIS-Logs, unter Linux Syslog, Leistungsindikatoren und Textlogs. Ziel ist ein Log-Analytics-Workspace.

Empfohlen ist das Anlegen einer DCR im Portal, weil dabei Agent und Zuordnung in einem Schritt entstehen. Im großen Maßstab verteilen Azure-Policy-Initiativen Agent und DCR-Zuordnung. Die Verbindung zum Workspace kann über Azure Private Link laufen. Ob der Agent Daten sendet, zeigt die Tabelle Heartbeat mit der Kategorie Azure Monitor Agent.

Vorteile & Nutzen

  • Eine DCR gilt für beliebig viele Server, dadurch ändert sich die Sammlung zentral ohne Anmeldung am einzelnen System
  • Filter und Transformationen in der DCR verwerfen unnötige Ereignisse vor der Speicherung und senken so die Ingestion-Kosten in Log Analytics
  • Ein Agent für Azure-VMs, lokale Arc-Server und Windows-Clients statt getrennter Werkzeuge je Umgebung
  • Verschiedene DCRs können dieselbe Maschine an unterschiedliche Workspaces anbinden, etwa Sicherheitsereignisse an Sentinel und Leistungsdaten an das Betriebsteam
  • Einziger von Microsoft unterstützter Agent für Gastdaten in Azure Monitor, neue Funktionen wie die Unterstützung für Windows-Clients gibt es nur hier

Praxisbeispiel

Ein Lebensmittelhersteller aus Bayern mit 500 Beschäftigten sammelte Windows-Sicherheitsereignisse von 60 Servern noch über den Log Analytics Agent für Microsoft Sentinel. Weil der Datenupload nach März 2026 jederzeit enden kann, inventarisiert die IT mit dem AMA-Migrations-Workbook alle Agents und erzeugt mit dem DCR Config Generator passende Datensammlungsregeln. Auf fünf Pilotservern schaltet sie die Sammlung des alten Agents ab, ohne ihn zu deinstallieren, und vergleicht die Daten eine Woche lang. Danach verteilt Azure Policy den AMA auf alle Server, lokale Server über Azure Arc, und das MMA Discovery and Removal Tool entfernt den alten Agent.

Worauf sollte man achten?

  • Bei der Migration den alten Agent nicht parallel weiter sammeln lassen, sonst landen Daten doppelt im Workspace und verursachen doppelte Kosten
  • Automatisches Erweiterungsupgrade aktivieren, weil Microsoft nur Agent-Versionen der letzten zwölf Monate unterstützt
  • Maschinen mit installiertem AMA nicht klonen, das unterstützt Microsoft nicht, für Massenbereitstellung Azure Policy oder Infrastructure as Code nutzen
  • Die vordefinierte DCR von VM Insights nicht verändern, eigene Anforderungen in zusätzliche DCRs legen
  • Bei IIS-Logs das W3C-Feld s-sitename aktivieren, sonst bleibt die Spalte sSiteName in W3CIISLog leer

Lizenz & Verfügbarkeit

Der Agent selbst ist kostenlos. Kosten entstehen für Datenerfassung und Aufbewahrung in Log Analytics bzw. Microsoft Sentinel. Für lokale Server ist Azure Arc Voraussetzung. Log Analytics Agent seit 31. August 2024 außer Dienst, Datenupload nach dem 2. März 2026 nicht mehr zugesichert. Stand: Oktober 2026.

Fazit

Der Azure Monitor Agent ist der einzige unterstützte Weg, Gastdaten in Azure Monitor und Sentinel zu bringen. Wer noch den Log Analytics Agent im Einsatz hat, sollte die Migration sofort abschließen.

Weiterführende Links

Verwandte Artikel