将 Azure 资源日志路由到多个 Log Analytics 工作区

Question

我们正在 Azure 中构建日志记录，并且有多个需要访问日志记录的用户组。多个用户组需要一些日志，但并非所有用户都应该有权访问所有日志。最后，我们认为我们希望为每个用户组（一些使用 Azure Sentinel 的工作区）建立一个日志分析工作区，以容纳他们需要的日志。

希望我们可以将所有日志发送到事件中心之类的东西，然后将日志从那里路由到不同的日志分析工作区，例如：

• 日志源 A 发送到事件中心并发送到日志分析 A
• 日志源 B 发送到事件中心并发送到日志分析 B
• 日志源 C 发送到事件中心并发送到日志分析 A

这将给出：

• 用户组 A 有权访问日志分析 A（日志源 A 和日志源 C）
• 用户组 B 有权访问日志分析 B（日志源 A 和日志源 B）

在线阅读，我没有发现从事件中心到日志分析的任何开箱即用的集成，我能找到的最接近的方法是将 Logstash 之类的东西放在事件中心和日志分析之间。

关于我们如何最有效地构建我们的日志记录环境以将日志发送给需要它的用户组的任何建议？

欣赏洞察力！

T-R

Answer 1

AFAIK 我们可以在 Azure Monitor 中管理对日志数据和工作区的访问。有关详细信息，请完整参阅 this 和 this Azure 文档。

这将帮助你给予：

• 有权访问日志源 A 和日志源 C 的用户组 A 可以在 Log Analytics 工作区 A 中查看来自日志源 A 和日志源 C 的日志
• 有权访问日志源 A 和日志源 B 的用户组 B 可以在 Log Analytics 工作区 A 中查看来自日志源 A 和日志源 B 的日志

因此，通过这种方式，我们可以避免使用多个 Log Analytics 工作区和事件中心，并确保所有用户都无权访问所有日志记录。