将 Azure 资源日志路由到多个 Log Analytics 工作区

Question

我们正在 Azure 中构建日志记录，并且有多个用户组需要访问日志记录。多个用户组需要一些日志，但并非所有用户都应该有权访问所有日志记录。最后，我们认为我们需要为每个用户组（一些使用 Azure Sentinel 的工作区）提供一个日志分析工作区，以存放他们需要的日志。

希望我们可以将所有日志发送到事件中心之类的东西，然后将日志从那里路由到不同的日志分析工作区，例如：

• 日志源 A 发送到事件中心并发送到日志分析 A
• 日志源 B 发送到事件中心并发送到日志分析 B
• 日志源 C 发送到事件中心并发送到日志分析 A

这将得到：

• 用户组 A 有权访问日志分析 A（日志源 A 和日志源 C）
• 用户组 B 有权访问日志分析 B（日志源 A 和日志源 B）

在线阅读，我没有发现任何从事件中心到日志分析的开箱即用集成，我能找到的最接近的是在事件中心和日志分析之间放置类似 Logstash 的东西。

关于我们如何最有效地构建我们的日志记录环境以将日志输出给需要它的用户组的任何建议？

感谢您的见解！

T-R

Answer 1

据我所知，我们可以在 Azure Monitor 中管理对日志数据和工作区的访问。有关更多信息，请完整参考 this and this Azure 文档。

这将有助于您提供：

• 有权访问日志源 A 和日志源 C 的用户组 A 可以在 Log Analytics 工作区 A 中看到来自日志源 A 和日志源 C 的日志
• 有权访问日志源 A 和日志源 B 的用户组 B 可以在 Log Analytics 工作区 A 中查看来自日志源 A 和日志源 B 的日志

因此，通过这种方式，我们可以避免使用多个 Log Analytics 工作区和事件中心，并确保所有用户都无法访问所有日志记录。