Log Analytics-munkaterület architektúrájának tervezése

Cikk
10/18/2023

Egyetlen Log Analytics-munkaterület elegendő lehet az Azure Monitort és a Microsoft Sentinelt használó környezetek számára. Számos szervezet azonban több munkaterületet hoz létre a költségek optimalizálása és a különböző üzleti követelmények jobb kielégítése érdekében. Ez a cikk több feltételt is bemutat annak meghatározásához, hogy egyetlen vagy több munkaterületet használ-e. Emellett a munkaterületek konfigurálását és elhelyezését is ismerteti a követelményeknek való megfelelés érdekében, a költségek optimalizálása mellett.

Feljegyzés

Ez a cikk az Azure Monitort és a Microsoft Sentinelt ismerteti, mivel sok ügyfélnek mindkettőt figyelembe kell vennie a tervezés során. A legtöbb döntési feltétel mindkét szolgáltatásra vonatkozik. Ha csak az egyik szolgáltatást használja, figyelmen kívül hagyhatja a másikat a kiértékelés során.

Az alábbi videó az Azure Monitor-naplók alapjait, valamint az Azure Monitor-naplók üzembe helyezésének megtervezéséhez szükséges ajánlott eljárásokat és tervezési szempontokat ismerteti:

Tervezési stratégia

A tervezésnek mindig egyetlen munkaterülettel kell kezdődnie, hogy csökkentse a több munkaterület kezelésének és az adatok lekérdezésének összetettségét. A munkaterületen lévő adatok mennyisége nem korlátozza a teljesítményt. Több szolgáltatás és adatforrás is küldhet adatokat ugyanarra a munkaterületre. A további munkaterületek létrehozásának feltételeinek meghatározásakor a tervnek a lehető legkevesebb olyan számot kell használnia, amely megfelel a követelményeknek.

A munkaterület konfigurációjának megtervezése több feltétel kiértékelését is magában foglalja. A feltételek némelyike azonban ütközhet. Előfordulhat például, hogy az egyes Azure-régiókban külön munkaterület létrehozásával csökkentheti a kimenő forgalom költségeit. Az egyetlen munkaterületre való összevonással még jobban csökkentheti a díjakat egy kötelezettségvállalási szinttel. Mindegyik feltételt egymástól függetlenül értékelje ki. Vegye figyelembe a követelményeket és a prioritásokat annak meghatározásához, hogy melyik kialakítás lesz a leghatékonyabb a környezet számára.

Tervezési feltételek

Az alábbi táblázat a munkaterület architektúrájának tervezésekor figyelembe veendő feltételeket mutatja be. Az alábbi szakaszok ismertetik a feltételeket.

Feltételek	Leírás
Működési és biztonsági adatok	Dönthet úgy, hogy az Azure Monitor működési adatait ugyanabban a munkaterületen egyesíti, mint a Microsoft Sentinel biztonsági adatait, vagy külön-külön a saját munkaterületükre. Az egyesítésekkel jobban áttekintheti az összes adatot, míg a biztonsági szabványok megkövetelik az elkülönítésüket, hogy a biztonsági csapat dedikált munkaterületet biztosíthassa. Az egyes stratégiákra is hatással lehet a költség.
Azure-bérlők	Ha több Azure-bérlője van, általában mindegyikben létre fog hozni egy munkaterületet. Több adatforrás csak egy munkaterületre küldhet monitorozási adatokat ugyanabban az Azure-bérlőben.
Azure-régiók	Minden munkaterület egy adott Azure-régióban található. Előfordulhat, hogy szabályozási vagy megfelelőségi követelmények vonatkoznak az adatok meghatározott helyeken való tárolására.
Adatok tulajdonjoga	Dönthet úgy, hogy külön munkaterületeket hoz létre az adatok tulajdonjogának meghatározásához. Létrehozhat például munkaterületeket leányvállalatok vagy kapcsolt vállalatok szerint.
Számlázás felosztása	A munkaterületek külön előfizetésekben való elhelyezésével különböző feleknek számlázhatók.
Adatmegőrzés és archiválás	A munkaterületek és a munkaterületek minden táblája esetében különböző adatmegőrzési beállításokat állíthat be. Külön munkaterületre van szüksége, ha eltérő adatmegőrzési beállításokat igényel az ugyanazon táblákba adatokat küldő különböző erőforrásokhoz.
Kötelezettségvállalási szintek	A kötelezettségvállalási szintek lehetővé teszik a betöltési költségek csökkentését azáltal, hogy egy munkaterületen minimális napi adatokra véglegesíti a kötelezettséget.
Régi ügynök korlátozásai	A régi virtuálisgép-ügynököknek korlátozott a munkaterületek száma, amelyekhez csatlakozhatnak.
Adatok hozzáférésének vezérlése	Konfigurálja a munkaterülethez való hozzáférést, valamint a különböző erőforrásokból származó különböző táblákhoz és adatokhoz való hozzáférést.
Rugalmasság	Annak érdekében, hogy a munkaterületen lévő adatok régióhiba esetén elérhetők legyenek, különböző régiókban több munkaterületre is betöltheti az adatokat.

Működési és biztonsági adatok

A biztonsági követelményektől és a környezet lehetséges költségkövetelményeitől függ, hogy az Azure Monitor működési adatait ugyanabban a munkaterületen szeretné-e egyesíteni, mint a Microsoft Sentinel biztonsági adatai, vagy elkülöníti őket a saját munkaterületükre.

Dedikált munkaterületek , amelyek dedikált munkaterületeket hoznak létre az Azure Monitorhoz és a Microsoft Sentinelhez, lehetővé teszik az adatok tulajdonjogának elkülönítését a működési és biztonsági csapatok között. Ez a megközelítés segíthet a költségek optimalizálásában is, mivel amikor a Microsoft Sentinel engedélyezve van egy munkaterületen, a munkaterületen lévő összes adatra a Microsoft Sentinel díjszabása vonatkozik, még akkor is, ha azok az Azure Monitor által gyűjtött működési adatok.

A Microsoft Sentinelrel rendelkező munkaterületek 31 nap helyett három hónap ingyenes adatmegőrzést kapnak. Ez a forgatókönyv általában magasabb költségeket eredményez a Microsoft Sentinel nélküli munkaterületek működési adataihoz. Lásd az Azure Monitor-naplók díjszabásának részleteit.

Az Azure Monitorból és a Microsoft Sentinelből ugyanabban a munkaterületen lévő adatok kombinálásával jobban áttekinthető az összes adat, így a lekérdezésekben és a munkafüzetekben is egyszerűen kombinálhatja az adatokat. Ha a biztonsági adatokhoz való hozzáférésnek egy adott csapatra kell korlátozódnia, a táblaszintű RBAC használatával letilthatja bizonyos felhasználókat a biztonsági adatokat tartalmazó táblákból, vagy korlátozhatja a felhasználók hozzáférését a munkaterülethez erőforrás-környezet használatával.

Ez a konfiguráció költségmegtakarítást eredményezhet, ha segít elérni egy kötelezettségvállalási szintet, amely kedvezményt biztosít a betöltési díjakra. Vegyük például azt a szervezetet, amely naponta körülbelül 50 GB-ot betölt működési adatokkal és biztonsági adatokkal. Ha ugyanazon a munkaterületen egyesíti az adatokat, az napi 100 GB-os kötelezettségvállalási szintet tenne lehetővé. Ez a forgatókönyv 15%, a Microsoft Sentinel esetében pedig 50%-os kedvezményt biztosítana az Azure Monitor számára.

Ha más feltételekhez külön munkaterületeket hoz létre, általában több munkaterületpárt fog létrehozni. Ha például két Azure-bérlővel rendelkezik, négy munkaterületet hozhat létre, amelyek mindegyik bérlőjében egy működési és biztonsági munkaterület található.

Ha az Azure Monitort és a Microsoft Sentinelt is használja: Érdemes különválasztani őket egy dedikált munkaterületen, ha azt a biztonsági csapat megköveteli, vagy ha ez költségmegtakarítást eredményez. Érdemes kombinálni a kettőt a kombinált monitorozási adatok jobb láthatósága érdekében, vagy ha segít elérni egy kötelezettségvállalási szintet.
Ha a Microsoft Sentinelt és a Felhőhöz készült Microsoft Defender is használja: Fontolja meg ugyanazt a munkaterületet mindkét megoldáshoz a biztonsági adatok egy helyen való megőrzéséhez.

Azure-bérlők

A legtöbb erőforrás csak ugyanabban az Azure-bérlőben lévő munkaterületre küldhet monitorozási adatokat. Az Azure Monitor-ügynököt vagy a Log Analytics-ügynököket használó virtuális gépek külön Azure-bérlők munkaterületeire küldhetnek adatokat. Ezt a forgatókönyvet szolgáltatóként tekintheti.

Ha egyetlen Azure-bérlővel rendelkezik: Hozzon létre egy munkaterületet az adott bérlőhöz.
Ha több Azure-bérlője van: Hozzon létre egy munkaterületet minden bérlőhöz. További lehetőségek, például a szolgáltatók stratégiái: Több bérlői stratégia.

Azure-régiók

Minden Log Analytics-munkaterület egy adott Azure-régióban található. Előfordulhat, hogy szabályozási vagy megfelelőségi célokra van szüksége az adatok egy adott régióban való megőrzéséhez. Egy nemzetközi vállalat például minden nagyobb földrajzi régióban, például a Egyesült Államok és Európában is elhelyezhet munkaterületet.

Ha az adatok egy adott földrajzi helyen való megőrzésére vonatkozó követelményekkel rendelkezik: Hozzon létre egy külön munkaterületet minden régióhoz ilyen követelményekkel.
Ha nem rendelkezik az adatok adott földrajzi helyen való megőrzésére vonatkozó követelményekkel: Minden régióhoz használjon egyetlen munkaterületet.

Vegye figyelembe a lehetséges sávszélesség-díjakat is, amelyek akkor lehetnek érvényesek, ha adatokat küld egy munkaterületre egy másik régióban lévő erőforrásból. Ezek a díjak általában kisebbek a legtöbb ügyfél adatbetöltési költségeihez képest. Ezek a díjak általában abból adódnak, hogy adatokat küldenek a munkaterületre egy virtuális gépről. A más Azure-erőforrásokból származó adatok diagnosztikai beállítások használatával történő monitorozása nem jár kimenő költségekkel.

Az Azure díjkalkulátorával megbecsülheti a költségeket, és meghatározhatja, hogy mely régiókra van szüksége. Fontolja meg a több régióban lévő munkaterületeket, ha a sávszélesség-díjak jelentősek.

Ha a sávszélesség-díjak elég jelentősek a további összetettség igazolásához: Hozzon létre egy külön munkaterületet minden régióhoz virtuális gépekkel.
Ha a sávszélesség-díjak nem elég jelentősek a további összetettség igazolásához: Minden régióhoz használjon egyetlen munkaterületet.

Adatok tulajdonjoga

Előfordulhat, hogy az adatok elkülönítésére vagy a tulajdonjog alapján határok meghatározására van szükség. Előfordulhat például, hogy különböző leányvállalatai vagy kapcsolt vállalatai megkövetelik a monitorozási adatok elhatárolását.

Ha adatelk szegregációra van szükség: Minden adattulajdonoshoz használjon külön munkaterületet.
Ha nincs szükség az adatok elkülönítésére: Használjon egyetlen munkaterületet az összes adattulajdonos számára.

Felosztott számlázás

Előfordulhat, hogy fel kell osztania a számlázást a különböző felek között, vagy vissza kell fizetnie egy ügyfélnek vagy egy belső üzleti egységnek. Az Azure Cost Management + Billing használatával munkaterület szerint tekintheti meg a díjakat. Napló lekérdezéssel is megtekintheti a számlázható adatmennyiséget Azure-erőforrás, erőforráscsoport vagy előfizetés szerint. Ez a megközelítés elegendő lehet a számlázási követelményeknek.

Ha nem kell felosztania a számlázást, vagy vissza kell fizetnie a díjakat: Egyetlen munkaterületet használhat az összes költségtulajdonos számára.
Ha fel kell osztania a számlázást, vagy vissza kell végeznie a díjakat: Fontolja meg, hogy az Azure Cost Management + Billing vagy egy napló lekérdezés olyan költségjelentést biztosít-e, amely elég részletes a követelményekhez. Ha nem, minden költségtulajdonoshoz használjon külön munkaterületet.

Adatmegőrzés és archiválás

Konfigurálhatja egy munkaterület alapértelmezett adatmegőrzési és archiválási beállításait , vagy konfigurálhat különböző beállításokat az egyes táblákhoz. Előfordulhat, hogy különböző beállításokat kell megadnia egy adott tábla különböző adatkészleteihez. Ha igen, ezeket az adatokat különböző munkaterületekre kell elkülönítenie, amelyek mindegyike egyedi adatmegőrzési beállításokkal van elosztva.

Ha az egyes táblák összes adatához ugyanazokat a megőrzési és archiválási beállításokat használhatja: Minden erőforráshoz használjon egyetlen munkaterületet.
Ha eltérő adatmegőrzési és archiválási beállításokra van szüksége ugyanabban a táblában található különböző erőforrásokhoz: Használjon külön munkaterületet a különböző erőforrásokhoz.

Kötelezettségvállalási szintek

A kötelezettségvállalási szintek kedvezményt biztosítanak a munkaterület betöltési költségeire, ha meghatározott mennyiségű napi adatra kötelezi el magát. Dönthet úgy, hogy egyetlen munkaterületen összesíti az adatokat, hogy elérje az adott szint szintjét. Ez a több munkaterületre kiterjedő adatmennyiség nem lenne jogosult ugyanahhoz a szinthez, hacsak nincs dedikált fürtje.

Ha napi legalább 100 GB-os napi betöltésre képes, akkor egy dedikált fürtöt kell implementálnia, amely további funkciókat és teljesítményt nyújt. A dedikált fürtök lehetővé teszik a fürt több munkaterületéről származó adatok kombinálását is, hogy elérjék a kötelezettségvállalási szint szintjét.

Ha naponta legalább 100 GB-ot fog betölteni az összes erőforrásra: Hozzon létre egy dedikált fürtöt, és állítsa be a megfelelő kötelezettségvállalási szintet.
Ha naponta legalább 100 GB-ot fog betölteni az erőforrások között: Érdemes lehet egyetlen munkaterületre egyesíteni őket, hogy kihasználhassa a kötelezettségvállalási szint előnyeit.

Régi ügynök korlátozásai

A többletköltségek miatt ne küldjön ismétlődő adatokat több munkaterületre, de előfordulhat, hogy a virtuális gépek több munkaterülethez vannak csatlakoztatva. A leggyakoribb forgatókönyv egy ügynök, amely külön munkaterületekhez csatlakozik az Azure Monitorhoz és a Microsoft Sentinelhez.

Az Azure Monitor Agent és a Windows Log Analytics-ügynöke több munkaterülethez is csatlakozhat. A Linuxhoz készült Log Analytics-ügynök csak egyetlen munkaterülethez tud csatlakozni.

Ha a Linuxhoz készült Log Analytics-ügynököt használja: Migrálás az Azure Monitor-ügynökbe, vagy győződjön meg arról, hogy a Linux-gépek csak egyetlen munkaterülethez való hozzáférést igényelnek.

Adatok hozzáférésének vezérlése

Amikor hozzáférést ad egy felhasználónak egy munkaterülethez, a felhasználónak hozzáférése van az adott munkaterület összes adatához. Ez a hozzáférés egy központi adminisztráció vagy biztonsági csapat tagjának megfelelő, akinek minden erőforrás adataihoz hozzá kell férnie. A munkaterülethez való hozzáférést az erőforrás-környezet szerepköralapú hozzáférés-vezérlése (RBAC) és a táblaszintű RBAC is meghatározza.

Erőforrás-környezet RBAC: Alapértelmezés szerint, ha egy felhasználó olvasási hozzáféréssel rendelkezik egy Azure-erőforráshoz, örökli az erőforrás munkaterületre küldött figyelési adatainak engedélyeit. Ez a hozzáférési szint lehetővé teszi, hogy a felhasználók anélkül férhessenek hozzá az általuk kezelt erőforrások információihoz, hogy explicit hozzáférést kapnának a munkaterülethez. Ha le kell tiltania ezt a hozzáférést, módosíthatja a hozzáférés-vezérlési módot , hogy explicit munkaterület-engedélyeket igényeljen.

Ha azt szeretné, hogy a felhasználók hozzáférhessenek az erőforrásaik adataihoz: Tartsa meg az erőforrás- vagy munkaterület-engedélyek használatának alapértelmezett hozzáférés-vezérlési módját.
Ha explicit módon szeretne engedélyeket rendelni az összes felhasználóhoz: Módosítsa a hozzáférés-vezérlési módot munkaterület-engedélyek megkövetelésére.

Táblázatszintű RBAC: A táblaszintű RBAC-vel hozzáférést adhat vagy megtagadhat a munkaterület adott tábláihoz. Ily módon a környezet adott helyzetéhez szükséges részletes engedélyeket implementálhatja.

Előfordulhat például, hogy csak a Microsoft Sentinel által gyűjtött táblákhoz ad hozzáférést egy belső naplózási csapatnak. Vagy megtagadhatja a hozzáférést a biztonsággal kapcsolatos táblákhoz azoknak az erőforrás-tulajdonosoknak, akiknek az erőforrásaikkal kapcsolatos operatív adatokra van szükségük.

Ha nem igényel részletes hozzáférés-vezérlést táblázat szerint: Adjon hozzáférést a műveleti és biztonsági csapatnak az erőforrásaikhoz, és engedélyezze az erőforrás-környezet RBAC használatát az erőforrások számára.
Ha részletes hozzáférés-vezérlést igényel tábla szerint: Adott táblákhoz való hozzáférés engedélyezése vagy megtagadása táblaszintű RBAC használatával.

Rugalmasság

Annak biztosítása érdekében, hogy a munkaterület kritikus adatai régióhiba esetén elérhetők legyenek, az adatok egy részét vagy egészét több, különböző régióban lévő munkaterületre is betöltheti.

Ehhez a beállításhoz az egyes munkaterületek esetében külön kell kezelni a többi szolgáltatással és termékkel való integrációt. Annak ellenére, hogy az adatok hiba esetén elérhetők lesznek az alternatív munkaterületen, az adatokra támaszkodó erőforrások, például a riasztások és a munkafüzetek nem fognak tudni áttérni a másik munkaterületre. Fontolja meg az ARM-sablonok tárolását kritikus erőforrásokhoz az Azure DevOps alternatív munkaterületének konfigurációjával, vagy a feladatátvételi forgatókönyvekben gyorsan engedélyezhető letiltott házirendekként.

Több munkaterület kezelése

Számos terv több munkaterületet is tartalmaz, így az Azure Monitor és a Microsoft Sentinel olyan funkciókat is tartalmaz, amelyekkel elemezheti ezeket az adatokat a munkaterületeken. További információkért lásd:

Több bérlői stratégia

A több Azure-bérlővel rendelkező környezetek, köztük a Microsoft-szolgáltatók (MSP-k), a független szoftvergyártók (ISV-k) és a nagyvállalatok gyakran olyan stratégiát igényelnek, amelyben a központi felügyeleti csapatnak hozzáférése van a más bérlőkben található munkaterületek felügyeletéhez. Az egyes bérlők különálló ügyfeleket vagy különböző üzleti egységeket képviselhetnek.

Feljegyzés

A Felhőszolgáltató (CSP) program részét képező partnerek és szolgáltatók számára a Log Analytics az Azure Monitorban az Azure CSP-előfizetésekben elérhető Azure-szolgáltatások egyike.

Ennek a funkciónak a két alapstratégiát a következő szakaszok ismertetik.

Elosztott architektúra

Elosztott architektúrában minden Azure-bérlőben létrejön egy Log Analytics-munkaterület. Ez a lehetőség az egyetlen, amelyet akkor használhat, ha nem virtuális gépeket figyel az Azure-szolgáltatásokon.

A szolgáltatói rendszergazdák kétféleképpen férhetnek hozzá az ügyfélbérlelők munkaterületeihez:

Az Azure Lighthouse használatával minden ügyfélbérlőhöz hozzáférhet. A szolgáltató rendszergazdái a Microsoft Entra felhasználói csoportjába tartoznak a szolgáltató bérlőjében. Ez a csoport minden ügyfél számára hozzáférést kap az előkészítési folyamat során. A rendszergazdák ezután hozzáférhetnek az egyes ügyfelek munkaterületeihez a saját szolgáltatói bérlőjükön belül ahelyett, hogy külön-külön kellene bejelentkezniük az egyes ügyfelek bérlőjéhez. További információ: Ügyfélerőforrások monitorozása nagy méretekben.
Egyéni felhasználók hozzáadása a szolgáltatótól Microsoft Entra vendégfelhasználóként (B2B). Az ügyfél-bérlői rendszergazdák az egyes szolgáltatói rendszergazdák egyéni hozzáférését kezelik. A szolgáltatói rendszergazdáknak be kell jelentkezniük a címtárba az Azure Portal minden bérlőjéhez, hogy hozzáférjenek ezekhez a munkaterületekhez.

A stratégia előnyei:

A naplók minden típusú erőforrásból gyűjthetők.
Az ügyfél az Azure delegált erőforrás-kezelésével megerősítheti az engedélyek meghatározott szintjeinek szintjét. Vagy az ügyfél saját Azure RBAC-vel kezelheti a naplókhoz való hozzáférést.
Minden ügyfél különböző beállításokkal rendelkezhet a munkaterületéhez, például az adatmegőrzéshez és az adatkorláthoz.
Az ügyfelek elkülönítése a szabályozás és a megfelelőség érdekében.
Az egyes munkaterületek díját az ügyfél előfizetésének számlája tartalmazza.

A stratégia hátrányai:

Az ügyfélbérlők adatainak központi vizualizációja és elemzése olyan eszközökkel, mint az Azure Monitor-munkafüzetek, lassabb élményt eredményezhetnek. Ez különösen akkor fordul fenn, ha több mint 50 munkaterületen elemez adatokat.
Ha az ügyfelek nincsenek előkészítve az Azure-beli delegált erőforrás-kezeléshez, a szolgáltatói rendszergazdákat az ügyfélkönyvtárban kell kiépíteni. Ez a követelmény megnehezíti, hogy a szolgáltató egyszerre több ügyfélbérlelőt kezeljen.

Központosított

Egyetlen munkaterület jön létre a szolgáltató előfizetésében. Ez a beállítás csak az ügyfél virtuális gépeiről gyűjthet adatokat. A virtuális gépekre telepített ügynökök úgy vannak konfigurálva, hogy a naplóikat erre a központi munkaterületre küldjék.