[Oracle Cloud] OCI ComputeのWindowsログをLogging Analyticsを取り込んでみた

# はじめに
OCI 上で稼働する Windows ComputeインスタンスのログをOCI Logging Analyticsに取り込んでみた。

# 構成ステップ

- Logging Analyticsとそのリソースへのアクセスを有効化
- OCI の Windows Computeインスタンスでの構成
    - Sysmon をインストール
    - JAVA SEのインストール
- Windowsでの管理エージェントのインストール
- Logging Analyticsでの追加

# Logging Analyticsとそのリソースへのアクセスを有効化

マニュアルを参考にLogging Analyticsを有効化を設定
[ログ・アナリティクスとそのリソースへのアクセスの有効化](https://docs.oracle.com/ja-jp/iaas/logging-analytics/doc/enable-access-logging-analytics-and-its-resources.html)

# OCI の Windows Computeインスタンスでの構成
## Sysmon をインストール
1. Sysmon (またはSysinternals スイート全体)を[ダウンロード](https://learn.microsoft.com/ja-jp/sysinternals/downloads/sysmon)します。
1. 選択した構成をダウンロードし、解凍します。管理者としてPowerShellを開き、解凍した sysmon があるディレクトリで次のように入力してインストールします。
`cd C:\Users\opc\Downloads\Sysmon.\sysmon64.exe -i`
1. 次のPowerShellコマンドを実行します。
```
Invoke-WebRequest -Uri https://raw.githubusercontent.com/olafhartong/sysmon-modular/master/sysmonconfig.xml -OutFile C:\Windows\config.xml
```


![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/ec0a461d-66d1-3df0-f0c6-d9025aea52fe.png)
```

実行例）
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/03676d19-2bdf-a53b-97e4-06549d234363.png)
PS C:\Users\opc\Downloads\Sysmon> .\Sysmon64.exe -i

﻿
System Monitor v14.13 - System activity monitor
By Mark Russinovich and Thomas Garnier
Copyright (C) 2014-2022 Microsoft Corporation
Using libxml2. libxml2 is Copyright (C) 1998-2012 Daniel Veillard. All Rights Reserved.
Sysinternals - www.sysinternals.com

Sysmon64 installed.
SysmonDrv installed.
Starting SysmonDrv.
SysmonDrv started.
Starting Sysmon64..
Sysmon64 started.
PS C:\Users\opc\Downloads\Sysmon>
PS C:\Users\opc\Downloads\Sysmon> Invoke-WebRequest -Uri https://raw.githubusercontent.com/olafhartong/sysmon-modular/master/sysmonconfig.xml -OutFile C:\Windows\config.xml
PS C:\Users\opc\Downloads\Sysmon>
```


## JAVA SEのインストール
[JAVA SEのダウンロード](https://www.oracle.com/java/technologies/downloads/)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/88782f59-2ac6-be15-a592-b567133244a2.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/d8d04313-9f33-af61-c27a-07dc574b9fb4.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/2df0a0ba-51bd-234c-76a6-31a2ce1f0d2e.png)

環境変数 JAVA_HOMEを設定


# Windowsでの管理エージェントのインストール

### 管理エージェント・ソフトウェアのダウンロード
OCI Webコンソールメニューで[監視および管理]＞[管理エージェント]＞[ダウンロードとキー]から管理エージェント・ソフトウェアのZIPファイルをダウンロード
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/70fc35c4-8cd6-677b-b5a4-c99c082d44a5.png)

### インストール・キーの作成
「キーの作成」からキーを作成
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/8f9d1122-50ea-355c-30e5-e55eaaf076ec.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/ee8a3337-5b91-40da-86eb-1d8679dc9b37.png)
作成したキーをファイルとしてダウンロード
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/8d9c0047-da80-d05c-9a7d-91b1564263fa.png)

### レスポンス・ファイルの作成
ダウンロードしたファイルを参考に 管理エージェントを解凍したディレクトリに input.rsp を作成
以下の２項を指定

```
ManagementAgentInstallKey
CredentialWalletPassword
```

### 管理エージェントのインストール
管理者ユーザーとして「PowerShell」を開き、レスポンス・ファイルを使用してinstall.batスクリプトを実行し、管理エージェントをインストール

```
cd C:\Users\opc\Downloads\oracle.mgmt_agent
set JAVA_HOME "C:\Program Files\Java\jdk1.8.0_351"
.\installer.bat C:\Users\opc\Downloads\oracle.mgmt_agent\input.rsp
```

実行例）

```
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/48f0f622-c23e-0525-55a3-494b57bc84c2.png)
PS C:\Windows\system32> cd C:\Users\opc\Downloads\oracle.mgmt_agent
PS C:\Users\opc\Downloads\oracle.mgmt_agent> set JAVA_HOME "C:\Program Files\Java\jdk1.8.0_351"
PS C:\Users\opc\Downloads\oracle.mgmt_agent> .\installer.bat C:\Users\opc\Downloads\oracle.mgmt_agent\input.rsp
         64 bit Windows OS found.
Checking pre-requisites

        Checking if previous agent service exists
        Checking if C:\Oracle\mgmt_agent\agent_inst directory exists
        Checking Java version
                Java version: 1.8.0_351 found at C:\Program Files\Java\jdk1.8.0_351
        Checking if C:\Oracle\mgmt_agent\221111.1439 directory exists

Executing install
        Unpacking software zip
        Copying files to destination dir (C:\Oracle\mgmt_agent)
        Initializing software from template
        Checking if JavaScript engine is available to use
        Creating mgmt_agent service

Agent install successful

Executing configure

        Parsing input response file
        Validating install key
        Generating communication wallet
        Generating security artifacts
        Registering Management Agent

The Oracle Management Agent service is starting....
The Oracle Management Agent service was started successfully.


Agent setup completed and the agent is running
In the future agent can be started by directly running: NET START mgmt_agent
Please make sure that you delete C:\Users\opc\Downloads\oracle.mgmt_agent\input.rsp or store it in secure location.

PS C:\Users\opc\Downloads\oracle.mgmt_agent>
```

管理エージェントコンソールで確認
インストールが完了するとOCI Webコンソールメニューの[監視および管理]＞[管理エージェント]＞[エージェント]にエントリーが追加される
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/c9f8106f-d206-bf35-82d3-f65758ecd7f5.png)


### プラグインのデプロイ

エージェントのメニューから「プラグインのデプロイ」を選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/14a6c83c-934f-8c18-5349-9eb3dfdfca8b.png)
「Logging Analytics」のプラグインをデプロイ
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/f99bf195-4990-0c32-7742-59088bae591d.png)
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/f1bc061b-cad3-9248-5479-393f84329f8e.png)

# Logging Analyticsでの追加

「Logging Analytics」に進み、「コンパス」をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/0ea2c9c3-ddc8-1055-f99e-7a79a89d2962.png)

「データの追加」をクリック
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/0c170505-e3e4-c605-61a9-eada8b39d340.png)

「Windowsのイベント」を選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/2008499f-eb4d-82e8-f4ce-5ee0262751ef.png)

エージェントをインストールしたHostを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/51155fe4-286e-cf14-601f-425b97ad4713.png)

収集するソールを選択
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/4e7d848e-216a-b9c2-6053-7bce8b5041ec.png)

ログ収集の構成の完了を確認
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/f6052f22-33ea-e98a-fae6-c41cc798d4da.png)

ログ・エクスプローラに移動
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/108635/e757e535-7c63-1915-1551-a47b30476c18.png)

# 補足

Oracle Logging Analyticsは、収集されたあらゆる種類のデータを処理できるように、Windowsのイベント分類に合わせてOracleで定義されたログソースを提供します。

-    Windows アプリケーションのイベント：Windowsインスタンスにインストールされたアプリケーションに関連するエラーとイベント
-    Windows セキュリティ イベント：ファイルやユーザーのアクセスイベント
-    Windows セットアップイベント：インストールに関連するイベント
-    Windows システム・イベント：Windows OSシステムおよびそのコンポーネントに関連するイベントの記録

# おわりに

Windows ログを 管理エージェントを使ってOCI Logging Analyticsに取り込むことができました。

# 参考情報

- [ホストからの継続的なログ収集の設定](https://docs.oracle.com/ja-jp/iaas/logging-analytics/doc/set-continuous-log-collection-form-your-hosts.html)
- [How to ingest Windows Logs into Logging Analytics](https://learnoci.cloud/how-to-ingest-windows-logs-into-logging-analytics-ec9fa591edc5)