集中式日志收集的必要性

在Azure DevOps环境中，代理日志分散于不同主机或容器，集中收集便于故障排查、性能监控和审计。以下是几种主流实现方案。

方案一：Azure Monitor与Log Analytics

Azure DevOps代理日志可转发至Azure Monitor，通过Log Analytics进行集中存储和查询。

配置代理将日志发送至自定义日志表：

1. 在Azure门户创建Log Analytics工作区。
2. 安装Azure Monitor Agent（AMA）在代理主机上，配置数据收集规则（DCR）指向工作区。
3. 使用日志查询分析数据，例如：

AzureDevOpsAgentLogs_CL  
| where TimeGenerated > ago(1d)  
| project Computer, LogMessage, SeverityLevel  

方案二：ELK/EFK技术栈

Elasticsearch、Logstash/Fluentd和Kibana（ELK/EFK）提供开源日志管理方案。

Fluentd配置示例（代理节点）：

<source>  
  @type tail  
  path /var/azure-devops/agent/_diag/Agent_*.log  
  tag azure.devops.agent  
</source>  
<match azure.devops.agent>  
  @type elasticsearch  
  host elasticsearch.example.com  
  port 9200  
  logstash_format true  
</match>  

方案三：第三方SIEM工具集成

Splunk、Datadog等工具支持通过HTTP事件收集器（HEC）或API接入日志。

Splunk HEC配置步骤：

1. 在Splunk启用HTTP事件收集器并生成令牌。
2. 使用脚本或代理将日志发送至HEC终结点：

Invoke-RestMethod -Uri "https://splunk-server:8088/services/collector" -Method POST -Headers @{Authorization="Splunk <HEC_TOKEN>"} -Body (ConvertTo-Json @{event=Get-Content -Path "C:\agent.log"})  

方案四：Azure Blob存储归档

适用于长期存储和低成本场景，日志定期上传至Blob容器。

Azure CLI自动上传脚本示例：

az storage blob upload-batch --destination $container_name --source /var/log/azure_devops --account-name $storage_account --sas-token $sas_token  

关键注意事项

• 日志格式标准化：确保代理日志使用JSON或结构化格式，便于解析。
• 安全性与权限：集中存储时限制访问权限，加密敏感数据（如OAuth令牌）。
• 日志轮转策略：避免磁盘空间耗尽，设置自动清理旧日志规则。

各方案可根据团队资源和技术栈灵活选择，混合使用（如ELK+Azure Monitor）可兼顾实时分析与长期归档。