Azure Monitor: agora em preview pública, DCRs centralizam a coleta de logs de plataforma em escala

TL;DR: A public preview de DCRs para logs de plataforma no Azure Monitor acaba com a fragmentação do modelo atual baseado em Diagnostic Settings. Com uma única regra, é possível definir coleta, filtragem de custos, segurança com managed identity e governança via Azure Policy para milhares de recursos. O ganho principal é operacional: menos toil, mais consistência e redução de custos ao eliminar ruído antes da ingestão.

O desafio de coletar logs de plataforma em escala

Para times de plataforma, a coleta de logs de recursos no Azure começa simples — mas se torna um pesadelo operacional em escala empresarial. Imagine uma equipe responsável por mais de 8.000 recursos distribuídos em 14 subscriptions. Cada novo recurso exige um Diagnostic Setting que precisa ser:

• Configurado de forma consistente
• Auditado continuamente
• Monitorado contra configuration drift
• Reabilitado quando alterado ou desabilitado

Essa complexidade cresce exponencialmente quando o mesmo processo precisa escalar entre:

• Múltiplos times de engenharia
• Dezenas de regiões Azure
• Auditorias contínuas de compliance e segurança

Essa é a realidade da coleta de logs de plataforma com Diagnostic Settings. O que deveria ser uma estratégia centralizada de observability se torna uma carga operacional fragmentada e demorada — movida por configuração recurso a recurso em escala massiva.

A Microsoft acaba de anunciar a public preview de Data Collection Rules (DCRs) para logs de plataforma do Azure — uma forma centralizada, segura e policy-driven de coletar telemetria de plataforma em milhares de recursos com uma única regra. DCRs fornecem um modelo padrão para definir coleta de dados em todo o Azure Monitor, incluindo telemetria de plataforma, métricas, logs, agentes e fontes de dados PaaS.

Se você já olhou para uma sopa de Diagnostic Settings desejando uma forma mais simples de gerenciar logs de plataforma em escala, esta preview é para você.

Configure uma vez. Gerencie centralmente. Escale infinitamente

Aqui está como a dor do cliente aparece hoje — e como as DCRs mudam o modelo operacional:

Área	Dor com Diagnostic Settings hoje	Como as DCRs mudam isso
Configuration	Configurar cada recurso um por vez. Cobertura inconsistente. Drift passa despercebido.	Defina uma DCR. Associe a milhares de recursos via DCRA. Padrões se mantêm consistentes.
Cost	Sem forma de filtrar ou modelar dados antes da ingestão.	Filtre e transforme no momento da ingestão (destino Log Analytics). Envie apenas o que importa.
Security	Sem padrão moderno de managed identity para todos os destinos. Lacunas de segurança/auditoria.	Managed identity (system- ou user-assigned) com RBAC de privilégio mínimo para Storage e Event Hubs.
Operations	Onboarding lento. Trabalho manual repetitivo. Difícil auditar e fazer rollback.	Onboarding em escala com ARM, Bicep, Terraform ou Azure Policy. Versionado como sua IaC.
Governance	Workflows fragmentados. Padrões diferentes para cada tipo de telemetria.	Um modelo declarativo. Associações auditáveis. Alinhado com seus mecanismos de rollout existentes.

O que você pode fazer agora

Com as DCRs para logs de plataforma em public preview, seu time pode migrar do toil por recurso para operações em escala de plataforma:

1. Defina uma vez. Aplique em todos os lugares.

Crie uma única DCR para as categorias de log que te interessam e associe-a a milhares de recursos usando ARM, Bicep, Terraform ou Azure Policy. Adeus configuração recurso a recurso.

2. Reduza custos de ingestão filtrando ruído antes que ele chegue.

Modele e filtre dados no momento da ingestão ao rotear para Log Analytics. Apenas o sinal necessário chega ao seu workspace; todo o resto é descartado antes da cobrança.

ⓘ Transformações são suportadas apenas para o destino Log Analytics durante a preview.

3. Integre novas workloads usando políticas de DCR

Crie uma nova subscription, aplique sua DCR usual através de política, e a observability será configurada automaticamente. Sem necessidade de Diagnostic Settings manuais ou preocupações com drift.

4. Roteie logs para o destino que se adequa a cada cenário

Envie logs analíticos para Log Analytics, arquivamento para Storage, streams em tempo real para Event Hubs e fluxos para soluções de parceiros — tudo a partir do mesmo modelo de gerenciamento.

5. Gerencie com identidade moderna e segurança por padrão

Managed identity (system- ou user-assigned) para Storage e Event Hubs — sem chaves compartilhadas. Azure Policy para enforcement. Visibilidade total em cada associação.

O que vem por aí?

A Microsoft continua investindo na experiência de logs de plataforma baseada em DCR. No roadmap de curto prazo:

• Mais tipos de recurso expandindo a cobertura entre serviços Azure.
• Destinos adicionais incluindo mais soluções de parceiros no Marketplace.
• Suporte a transformações mais amplo além do Log Analytics.
• Integração mais profunda com IaC e Policy com definições de política built-in e templates de referência.

Configure uma vez, gerencie centralmente e escale infinitamente. Esse é o novo modelo para telemetria de plataforma Azure.

Perguntas Frequentes

• O que são Data Collection Rules (DCRs) para logs de plataforma?

  • São regras declarativas que centralizam a coleta de telemetria de plataforma em Azure Monitor. Em vez de configurar um Diagnostic Setting por recurso, você define uma única DCR e a associa a milhares de recursos via DCRA, ARM, Bicep, Terraform ou Azure Policy.

• Como as DCRs ajudam a reduzir custos com logs?

  • Elas permitem filtrar e transformar os dados no momento da ingestão (quando o destino é Log Analytics). Apenas os logs relevantes chegam ao workspace; o restante é descartado antes da cobrança, eliminando gastos com ruído.

• DCRs substituem completamente as Diagnostic Settings?

  • Ainda não. A funcionalidade está em public preview. A Microsoft planeja expandir os tipos de recurso suportados e adicionar mais destinos. Por enquanto, é uma alternativa mais escalável e gerenciável que convive com o modelo atual.

• Quais ferramentas de IaC são suportadas para gerenciar DCRs?

  • ARM, Bicep, Terraform e Azure Policy. Isso permite versionamento, auditoria e rollback — alinhado com as práticas de Infrastructure as Code que as equipes já utilizam.

• Como fica a segurança com DCRs em vez de Diagnostic Settings?

  • As DCRs adotam managed identity (system-assigned ou user-assigned) com RBAC de privilégio mínimo para Storage e Event Hubs. Isso elimina o uso de chaves compartilhadas e reduz gaps de auditoria comuns no modelo anterior.

---

Artigo originalmente publicado em Azure Updates - Latest from Azure Charts.