Performance Monitor e Data Collector Sets

Performance Monitor mostra i performance counter in tempo reale ed è lo strumento giusto per la diagnosi puntuale di un picco in corso: CPU, memoria, disco, rete. Il limite è che la vista live non conserva lo storico. Per stabilire una baseline e confrontare le prestazioni nel tempo servono i Data Collector Sets (DCS), che registrano counter, event trace data e informazioni di configurazione su file per analisi successive. Un DCS può partire su schedule, girare per una durata definita e generare report; puoi anche configurare un performance counter alert che scatta al superamento di una soglia. Regola d’esame: se lo scenario chiede una misura istantanea usa Performance Monitor, se chiede un trend, una baseline o un log continuo usa un Data Collector Set. Ricorda la distinzione fra DCS di sistema (predefiniti) e user-defined (personalizzabili).

Windows Event Forwarding

Windows Event Forwarding (WEF) centralizza gli eventi di più server su un collector che li scrive nel log Forwarded Events, sfruttando WinRM. Esistono due modelli di subscription. Nella collector-initiated è il collector a contattare esplicitamente ogni source: adatta a un numero piccolo e fisso di macchine. Nella source-initiated sono i source a connettersi al collector, con la configurazione distribuita via GPO (Subscription Manager): è il modello che scala su molti server, su macchine in workgroup o in DMZ. Prerequisiti tipici: WinRM attivo (winrm quickconfig), il servizio Windows Event Collector (wecutil) sul collector e le regole firewall aperte. Per il tuning puoi scegliere l’ottimizzazione della consegna fra Normal, Minimize Bandwidth e Minimize Latency, a seconda che privilegi banda o tempestività. WEF mantiene i dati on-prem, senza dipendere dal cloud.

Monitoraggio ibrido con Azure Arc e Azure Monitor

Per portare server on-prem o su altri cloud dentro il piano di controllo di Azure li si onboarda come Azure Arc-enabled servers installando il Connected Machine agent (azcmagent). Arc di per sé non raccoglie telemetria: è l’abilitatore che permette di distribuire extension, applicare Azure Policy e Machine Configuration, e soprattutto installare l’Azure Monitor Agent (AMA). Cosa raccogliere (performance counter, Windows event log) e dove inviarlo (un Log Analytics workspace) si definisce con le Data Collection Rules (DCR), disaccoppiando la configurazione dall’agent. Per il quadro completo di prestazioni più mappa delle dipendenze fra processi e connessioni si abilita VM Insights, che aggiunge il Dependency agent. Gli alert e le query KQL vivono in Azure Monitor. Il trade-off: WEF resta locale e a costo zero di cloud, Azure Monitor centralizza l’intero parco ibrido ma richiede connettività e comporta costi di ingestion e retention.

Trappole tipiche d’esame

  • Molti server, in workgroup o in DMZ, da centralizzare → source-initiated subscription via GPO: la collector-initiated non scala e mal si presta a macchine non di dominio.
  • Baseline o trend nel tempo → Data Collector Set, non Performance Monitor: la vista live serve al picco istantaneo, non conserva lo storico per il confronto.
  • Server on-prem visibili in Azure Monitor → Azure Arc + Azure Monitor Agent + DCR: senza onboarding Arc e senza DCR non arriva telemetria nel workspace.
  • Mappa delle dipendenze fra processi → VM Insights (Dependency agent): i soli performance counter non producono la Map.
  • Scenario che cita il Log Analytics agent legacy (MMA/OMS) → migrare all’Azure Monitor Agent: l’agent legacy è ritirato, la risposta corretta è AMA con DCR.
  • WEF configurato ma nessun evento arriva → verificare WinRM e il servizio Windows Event Collector: mancano spesso il quickconfig sui source o la regola firewall verso il collector.