Ereignisprotokolloptionen für Azure Virtual Network Manager

Azure Virtual Network Manager verwendet Azure Monitor für die Datensammlung und -analyse wie viele andere Azure-Dienste. Azure Virtual Network Manager stellt Ereignisprotokolle für jeden Netzwerk-Manager bereit. Sie können Ereignisprotokolle mit dem Protokollanalysetool von Azure Monitor im Azure-Portal bzw. über ein Speicherkonto speichern und anzeigen. Sie können diese Protokolle auch an eine Event Hub- oder Partnerlösung senden.

Unterstützte Protokollkategorien

Azure Virtual Network Manager stellt derzeit die folgenden Protokollkategorien bereit:

  • Änderung der Netzwerkgruppenmitgliedschaft
    • Nachverfolgen, wenn die Netzwerkgruppenmitgliedschaft eines bestimmten virtuellen Netzwerks geändert wird. Mit anderen Worten: Es wird ein Protokoll erstellt, wenn ein virtuelles Netzwerk einer Netzwerkgruppe hinzugefügt oder aus ihr entfernt wird. Diese Funktion kann verwendet werden, um Änderungen der Netzwerkgruppenmitgliedschaft im Laufe der Zeit nachzuverfolgen und eine Momentaufnahme der Netzwerkgruppenmitgliedschaft eines bestimmten virtuellen Netzwerks zu erfassen.
  • Änderung der Regelsammlung
    • Verfolgen, wann sich die angewendeten Security Admin-Regelsammlungen eines bestimmten virtuellen Netzwerks ändern. Für jede Regelsammlung, die über die Netzwerkgruppe, auf die sie abzielt, in einem virtuellen Netzwerk bereitgestellt wird, wird ein Protokolleintrag erzeugt. Jede Entfernung einer Regelsammlung aus einer Netzwerkgruppe über einen Bereitstellungsprozess führt ebenfalls zu einem Protokoll für jedes betroffene virtuelle Netzwerk. Dieses Schema kann verwendet werden, um zu verfolgen, welche Regelsammlungen im Laufe der Zeit in einem bestimmten virtuellen Netzwerk bereitgestellt werden.
    • Wenn ein virtuelles Netzwerk Sicherheitsadministratorregelsammlungen von mehreren Netzwerkmanagern empfängt, werden Protokolle für jeden Netzwerkmanager separat für ihre jeweiligen Regelsammlungsänderungen ausgegeben.
    • Wenn ein virtuelles Netzwerk einer Netzwerkgruppe hinzugefügt oder daraus entfernt wird, für die bereits eine Regelsammlung bereitgestellt wurde, wird ein Protokoll für dieses virtuelle Netzwerk mit dem Status der angewendeten Regelsammlung ausgegeben.
  • Ändern der Konnektivitätskonfiguration
    • Verfolgen Sie, wann sich die angewendeten Konnektivitätskonfigurationen eines bestimmten virtuellen Netzwerks ändern. Für jede in einem virtuellen Netzwerk bereitgestellte Konnektivitätskonfiguration wird über die Netzwerkgruppe, auf die die Konfiguration ausgerichtet ist, ein Protokoll ausgegeben. Jede Entfernung einer Konnektivitätskonfiguration aus einer Netzwerkgruppe über einen Bereitstellungsprozess führt zu einem Protokoll für jedes betroffene virtuelle Netzwerk. Dieses Schema kann verwendet werden, um zu verfolgen, welche Verbindungskonfigurationen und ihre jeweiligen Topologietypen im Laufe der Zeit in einem bestimmten virtuellen Netzwerk bereitgestellt werden.
    • Wenn ein virtuelles Netzwerk Konnektivitätskonfigurationen von mehreren Netzwerkmanagern empfängt, werden Protokolle für jeden Netzwerkmanager separat für die jeweiligen Konfigurationsänderungen ausgegeben.
    • Wenn ein virtuelles Netzwerk einer Netzwerkgruppe hinzugefügt oder daraus entfernt wird, für die bereits eine Konnektivitätskonfiguration bereitgestellt wurde, wird ein Protokoll für dieses virtuelle Netzwerk mit dem Status der angewendeten Verbindungskonfigurationen ausgegeben.

Änderungsattribute der Netzwerkgruppenmitgliedschaft

Diese Kategorie gibt ein Protokoll pro Änderung der Netzwerkgruppenmitgliedschaft aus. Wenn also ein virtuelles Netzwerk einer Netzwerkgruppe hinzugefügt oder daraus entfernt wird, wird ein Protokoll ausgegeben, das sich auf jedes einzelne Hinzufügen oder Entfernen dieses virtuellen Netzwerks bezieht. Die folgenden Attribute entsprechen den Protokollen, die an Ihr Speicherkonto gesendet werden. Log Analytics-Protokolle weisen geringfügig andere Attribute auf.

attribute Beschreibung
Zeit Datum und Uhrzeit der Protokollierung des Ereignisses.
Ressourcen-ID Ressourcen-ID des Netzwerkmanagers
Standort Standort der VNet-Ressource
Betriebsname Vorgang, der dazu führte, dass das virtuelle Netzwerk hinzugefügt oder entfernt wurde. Immer der Vorgang Microsoft.Network/virtualNetworks/networkGroupMembership/write.
Kategorie Kategorie dieses Protokolls Immer bei NetworkGroupMembershipChange.
Ergebnistyp Gibt einen erfolgreichen oder fehlgeschlagenen Vorgang an.
correlationId GUID, die dabei helfen kann, Protokolle zuzuordnen oder zu debuggen.
Ebene Immer informiert.
Eigenschaften Eigenschaftenauflistung des Protokolls

Innerhalb des properties-Attributs gibt es mehrere geschachtelte Attribute:

Eigenschaftsattribute Beschreibung
Nachricht Eine statische Meldung, die angibt, ob eine Änderung der Netzwerkgruppenmitgliedschaft erfolgreich oder nicht erfolgreich war.
Mitgliedsnummer Standardmitgliedschafts-ID des virtuellen Netzwerks
Gruppenmitgliedschaften Sammlung der Netzwerkgruppen, zu der das virtuelle Netzwerk gehört. Innerhalb dieser Eigenschaft kann mehrere NetworkGroupId und Sources aufgelistet werden, da ein virtuelles Netzwerk gleichzeitig zu mehreren Netzwerkgruppen gehören kann.
MemberResourceIds Ressourcen-ID des virtuellen Netzwerks, das einer Netzwerkgruppe hinzugefügt oder daraus entfernt wurde

Innerhalb des GroupMemberships-Attributs gibt es mehrere geschachtelte Attribute:

GroupMemberships-Attribute Beschreibung
NetworkGroupId ID einer Netzwerkgruppe, zu der das virtuelle Netzwerk gehört.
Quellen Sammlung der Art, wie das virtuelle Netzwerk Mitglied der Netzwerkgruppe geworden ist.

Innerhalb des Sources-Attributs gibt es mehrere geschachtelte Attribute:

Attribute der Quelle Beschreibung
Typ Gibt an, ob das virtuelle Netzwerk manuell (StaticMembership) oder bedingt über Azure Policy (Richtlinie) hinzugefügt wurde.
StaticMemberId Wenn der Type-Wert StaticMembership lautet, wird diese Eigenschaft angezeigt.
PolicyAssignmentId Wenn der Type-Wert Policy lautet, wird diese Eigenschaft angezeigt. ID der Azure Policy-Richtlinienzuweisung, die die Azure Policy-Definition der Netzwerkgruppe zuordnet
PolicyDefinitionId Wenn der Type-Wert Policy lautet, wird diese Eigenschaft angezeigt. ID der Azure Policy-Definition, die die Bedingungen für die Mitgliedschaft der Netzwerkgruppe enthält

Änderungsattribute der Regelsammlung

Diese Kategorie gibt ein Protokoll pro Sicherheitsadministrator-Regelsammlungsänderung pro virtuelles Netzwerk aus. Wenn also eine Sicherheitsadministrator-Regelsammlung über die Netzwerkgruppe auf ein virtuelles Netzwerk angewendet oder aus diesem entfernt wird, wird ein Protokoll ausgegeben, das diese Änderung in der Regelsammlung für dieses bestimmte virtuelle Netzwerk widerspiegelt. Die folgenden Attribute entsprechen den Protokollen, die an Ihr Speicherkonto gesendet werden. Log Analytics-Protokolle weisen geringfügig andere Attribute auf.

attribute Beschreibung
Zeit Datum und Uhrzeit der Protokollierung des Ereignisses.
Ressourcen-ID Ressourcen-ID des Netzwerkmanagers
Standort Standort der VNet-Ressource
Betriebsname Vorgang, der dazu führte, dass das virtuelle Netzwerk hinzugefügt oder entfernt wurde. Stets der Vorgang Microsoft.Network/networkManagers/securityAdminRuleCollections/write.
Kategorie Kategorie dieses Protokolls Immer Always RuleCollectionChange.
Ergebnistyp Gibt einen erfolgreichen oder fehlgeschlagenen Vorgang an.
correlationId GUID, die dabei helfen kann, Protokolle zuzuordnen oder zu debuggen.
Ebene Immer informiert.
Eigenschaften Eigenschaftenauflistung des Protokolls

Innerhalb des properties-Attributs gibt es mehrere geschachtelte Attribute:

Eigenschaftsattribute Beschreibung
TargetResourceIds Die Ressourcen-ID des virtuellen Netzwerks, für das eine Änderung der Regelsammlungsanwendung erfolgt ist.
Nachricht Eine statische Meldung, die angibt, ob eine Änderung der Regelsammlung erfolgreich oder nicht erfolgreich war.
AppliedRuleCollectionIds Sammlung der Sicherheitsadministrator-Regelsammlungen, die zum Zeitpunkt der Ausgabe des Protokolls auf das virtuelle Netzwerk angewendet werden. Es können mehrere Regelsammlungs-IDs aufgelistet werden, da ein virtuelles Netzwerk mehreren Netzwerkgruppen angehören kann und mehrere Regelauflistungen gleichzeitig angewendet werden.

Attribute von Konnektivitätskonfigurationsänderungen

Diese Kategorie gibt ein Protokoll pro Verbindungskonfigurationsänderung pro virtuellem Netzwerk aus. Wenn also eine Konnektivitätskonfiguration über die Netzwerkgruppe auf ein virtuelles Netzwerk angewendet oder aus diesem entfernt wird, wird ein Protokoll ausgegeben, das diese Änderung in der Konnektivitätskonfiguration für dieses virtuelle Netzwerk widerspiegelt. Die folgenden Attribute entsprechen den Protokollen, die an Ihr Speicherkonto gesendet werden. Log Analytics-Protokolle weisen geringfügig andere Attribute auf.

attribute Beschreibung
Zeit Datum und Uhrzeit der Protokollierung des Ereignisses.
Ressourcen-ID Ressourcen-ID des Netzwerkmanagers
Standort Standort der VNet-Ressource
Betriebsname Vorgang, der dazu führte, dass das virtuelle Netzwerk hinzugefügt oder entfernt wurde.
Kategorie Kategorie dieses Protokolls Immer Änderung der Konnektivitätskonfiguration.
Ergebnistyp Gibt einen erfolgreichen oder fehlgeschlagenen Vorgang an.
correlationId GUID, die dabei helfen kann, Protokolle zuzuordnen oder zu debuggen.
Ebene Informationen oder Warnungen.
Eigenschaften Eigenschaftenauflistung des Protokolls

Innerhalb des properties-Attributs gibt es mehrere geschachtelte Attribute:

Eigenschaftsattribute Beschreibung
Angewandte Konnektivitätskonfigurationen Sammlung der Verbindungskonfigurationen, die zum Zeitpunkt der Erstellung des Protokolls auf das virtuelle Netzwerk angewendet werden. Es können mehrere Verbindungskonfigurationen aufgelistet werden, da eine Netzwerkgruppe mehrere Verbindungskonfigurationen gleichzeitig angewendet haben kann, und ein virtuelles Netzwerk kann zu mehreren Netzwerkgruppen gehören, auf die mehrere Verbindungskonfigurationen gleichzeitig angewendet werden.
TargetResourceIds Ressourcen-ID des virtuellen Netzwerks, in dem eine Änderung der Konnektivitätskonfigurationsanwendung vorgenommen wurde
Nachricht Eine statische Meldung, die angibt, ob die Konnektivitätskonfiguration erfolgreich geändert wurde oder nicht

Hinweis

Überlappende IP-Adressräume innerhalb einer verbundenen Gruppe oder mit einem extern gekoppelten virtuellen Netzwerk können dazu führen, dass einige Adressen nicht erreichbar sind. Details zu diesem Verhalten finden Sie unter Einschränkungen für verbundene Gruppen. Wenn diese Bedingung eintritt, zeigen die Logs eine "Warnung"-Ebene an, wobei das TargetResourceIds Feld die IDs von VNets mit überlappenden Adressräumen angibt und ein message angibt, dass entweder vollständige oder teilweise Adressräume aufgrund überlappender Adressen nicht zugänglich sind.

Innerhalb des AppliedConnectivityConfigurations-Attributs gibt es mehrere geschachtelte Attribute:

AppliedConnectivityConfigurations-Attribute Beschreibung
ConfigurationId ID einer auf das virtuelle Netzwerk angewendeten Konnektivitätskonfiguration
Topologie Der Typ der Topologie, den die Konnektivitätskonfiguration bei einer oder mehreren Netzwerkgruppen erstellen soll, auf die sie angewendet wird. Kann Mesh oder HubAndSpoke sein.

Zugreifen auf Protokolle

Abhängig davon, wie Sie die Ereignisprotokolle nutzen, müssen Sie einen Log Analytics-Arbeitsbereich oder ein Speicherkonto für die Speicherung Ihrer Protokollereignisse festlegen.

Wenn Sie einen Log Analytics-Arbeitsbereich oder ein Speicherkonto einrichten, müssen Sie eine Region auswählen. Wenn Sie ein Speicherkonto verwenden, muss es sich in derselben Region wie der virtuelle Netzwerkmanager befinden, aus dem Sie auf Protokolle zugreifen. Wenn Sie einen Log Analytics-Arbeitsbereich verwenden, kann er sich in einer beliebigen Region befinden.

Der Netzwerk-Manager, der auf die Ereignisse zugreift, muss sich nicht im selben Abonnement wie der Log Analytics-Arbeitsbereich oder das speicherkonto befinden, das für den Speicher verwendet wird, aber Berechtigungen können die Möglichkeit einschränken, auf Protokolle in verschiedenen Abonnements zuzugreifen.

Hinweis

Mindestens ein virtuelles Netzwerk muss von einem Ereignis betroffen sein, das von den oben genannten Kategorien erfasst wird, damit Protokolle generiert werden. Für jedes Ereignis wird einige Minuten nach dem Auftreten der Änderung ein Protokoll generiert.

Nächste Schritte

  • Last updated on