Entwerfen einer Log Analytics-Arbeitsbereichsarchitektur

Für viele Umgebungen, in denen Azure Monitor und Microsoft Sentinel verwendet wird, dürfte ein einzelner Log Analytics-Arbeitsbereich ausreichend sein. Viele Unternehmen richten jedoch mehrere Arbeitsbereiche ein, um die Kosten zu optimieren und den verschiedenen Geschäftsanforderungen besser gerecht zu werden. In diesem Artikel werden verschiedene Kriterien vorgestellt, anhand derer Sie entscheiden können, ob Sie einen einzelnen Arbeitsbereich oder mehrere Arbeitsbereiche verwenden sollten. Außerdem wird die Konfiguration und Platzierung dieser Arbeitsbereiche erläutert, um Ihre Anforderungen zu erfüllen und gleichzeitig die Kosten zu optimieren.

Hinweis

In diesem Artikel werden Azure Monitor und Microsoft Sentinel beschrieben, da viele Kunden beide Dienste in ihre Entwurfsüberlegungen einbeziehen müssen. Die meisten Entscheidungskriterien gelten für beide Dienste. Wenn Sie nur einen dieser Dienste verwenden, ignorieren Sie die andere in Ihrer Auswertung.

Das folgende Video behandelt die Grundlagen von Azure Monitor Logs, bewährte Methoden und Entwurfsüberlegungen für Ihre Bereitstellung:

Designstrategie

Sie sollten Ihren Entwurf immer mit einem einzelnen Arbeitsbereich beginnen, da sich die Verwaltung mehrerer Arbeitsbereiche und die Datenabfrage von diesen Bereichen so weniger komplex gestaltet. Die Datenmenge in Ihrem Arbeitsbereich erzwingt keine Leistungsbeschränkungen. Mehrere Dienste und Datenquellen können Daten an denselben Arbeitsbereich senden. Wenn Sie Kriterien zum Erstellen weiterer Arbeitsbereiche identifizieren, sollte Ihr Entwurf die kleinste Anzahl von Arbeitsbereichen verwenden, um Ihre Anforderungen zu erfüllen.

Beim Entwerfen einer Arbeitsbereichskonfiguration müssen mehrere Kriterien berücksichtigt werden. Einige Kriterien können jedoch miteinander in Konflikt stehen. Beispielsweise können Sie Gebühren für ausgehenden Datenverkehr reduzieren, indem Sie in jeder Azure-Region einen separaten Arbeitsbereich erstellen. Durch die Konsolidierung in einen einzelnen Arbeitsbereich können Sie die Gebühren mit einer Mindestabnahme möglicherweise noch weiter senken. Sie sollten alle Kriterien unabhängig voneinander bewerten. Berücksichtigen Sie Ihre Anforderungen und Prioritäten, um festzustellen, welcher Entwurf für Ihre Umgebung am effektivsten ist.

Designkriterien

Die folgende Tabelle enthält Kriterien, die beim Entwerfen ihrer Arbeitsbereichsarchitektur berücksichtigt werden sollten. In den nachfolgenden Abschnitten werden die Kriterien beschrieben.

Kriterien	BESCHREIBUNG
Operative und sicherheitsrelevante Daten	Sie können operative Daten aus Azure Monitor in einem Arbeitsbereich mit den sicherheitsbezogenen Daten aus Microsoft Sentinel kombinieren oder sie jeweils in einem eigenen Arbeitsbereich speichern. Durch eine Kombination der beiden Datentypen erhalten Sie einen besseren Überblick über sämtliche Daten, aber Ihre Sicherheitsstandards sehen möglicherweise eine Trennung vor, damit Ihr Sicherheitsteam über einen dedizierten Arbeitsbereich verfügt. Es könnten auch Kostenfolgen für jede Strategie bestehen.
Microsoft Entra Mandanten	Wenn Sie mehrere Microsoft Entra-Mandanten haben, erstellen Sie in der Regel jeweils einen Arbeitsbereich darin. Mehrere Datenquellen können überwachungsdaten nur an einen Arbeitsbereich im selben Microsoft Entra Mandanten senden.
Azure-Regionen	Jeder Arbeitsbereich befindet sich in einer bestimmten Azure-Region. Möglicherweise gibt es gesetzliche Vorschriften oder Complianceanforderungen, die die Speicherung von Daten an bestimmten Orten regeln.
Datenbesitz	Sie können separate Arbeitsbereiche erstellen, um den Datenbesitz zu definieren. Beispielsweise können Sie Arbeitsbereiche nach Tochtergesellschaften oder verbundenen Unternehmen erstellen.
Getrennte Abrechnung	Durch die Zuordnung von Arbeitsbereichen zu separaten Abonnements können sie den verschiedenen Parteien in Rechnung gestellt werden.
Datenaufbewahrung	Legen Sie unterschiedliche Aufbewahrungseinstellungen für jeden Arbeitsbereich und jede Tabelle in einem Arbeitsbereich fest. Ein separater Arbeitsbereich ist erforderlich, wenn Sie unterschiedliche Aufbewahrungseinstellungen für unterschiedliche Ressourcen benötigen, die Daten an dieselben Tabellen senden.
Verpflichtungsstufen	Commitment-Stufen ermöglichen es Ihnen, Ihre Erfassungskosten zu senken, indem Sie sich verpflichten, eine Mindestmenge an täglichen Daten in einem einzigen Arbeitsbereich zu erfassen.
Einschränkungen des Legacy-Agents	Bei Legacy-VM-Agents gibt es Einschränkungen hinsichtlich der Anzahl der Arbeitsbereiche, zu denen sie eine Verbindung herstellen können.
Zugriffssteuerung für Daten	Konfigurieren Sie den Zugriff auf den Arbeitsbereich und auf verschiedene Tabellen und Daten aus unterschiedlichen Ressourcen.
Resilienz	Um sicherzustellen, dass die Daten in Ihrem Arbeitsbereich bei einem Ausfall einer Region verfügbar sind, erfassen Sie Daten in mehreren Arbeitsbereichen in verschiedenen Regionen.

Operative und sicherheitsrelevante Daten

Die Entscheidung, ob Sie die operativen Daten aus Azure Monitor im selben Arbeitsbereich wie die sicherheitsrelevanten Daten aus Microsoft Sentinel kombinieren oder jeweils einen eigenen Arbeitsbereich einrichten, hängt von Ihren Sicherheitsanforderungen und den potenziellen Kosten für Ihre Umgebung ab.

Dedizierte Arbeitsbereiche

Durch das Erstellen dedizierter Arbeitsbereiche für Azure Monitor und Microsoft Sentinel können Sie den Besitz von Daten zwischen operativen und Sicherheitsteams trennen. Dieser Ansatz kann auch dazu beitragen, die Kosten zu optimieren: Wenn Microsoft Sentinel in einem Arbeitsbereich aktiviert ist, unterliegen alle Daten in diesem Arbeitsbereich den Microsoft Sentinel-Preisen – selbst dann, wenn es sich um operative Daten handelt, die mit Azure Monitor erfasst wurden.

Ein Arbeitsbereich mit Microsoft Sentinel erhält drei Monate kostenlose Datenaufbewahrung anstelle von 31 Tagen. Dieses Szenario führt in der Regel zu höheren Kosten für operative Daten in einem Arbeitsbereich ohne Microsoft Sentinel. Siehe Azure Monitor-Protokolle – Preisdetails.

Kombinierter Arbeitsbereich

Wenn Sie Ihre Daten aus Azure Monitor und Microsoft Sentinel in demselben Arbeitsbereich kombinieren, erhalten Sie eine bessere Sichtbarkeit über alle Ihre Daten, sodass Sie sowohl in Abfragen als auch in Arbeitsmappen problemlos kombinieren können. Wenn der Zugriff auf die Sicherheitsdaten auf ein bestimmtes Team beschränkt werden soll, verwenden Sie RBAC auf Tabellenebene , um bestimmte Benutzer von Tabellen mit Sicherheitsdaten zu blockieren oder Benutzer auf den Zugriff auf den Arbeitsbereich mithilfe des Ressourcenkontexts zu beschränken.

Diese Konfiguration kann zu Kosteneinsparungen führen, wenn Sie eine Verpflichtungsebene erreichen, die einen Rabatt für Ihre Erfassungsgebühren bietet. Schauen Sie sich beispielsweise eine Organisation an, die operative Daten und Sicherheitsdaten hat, von denen jeweils etwa 50 GB pro Tag erfasst werden. Die Zusammenführung der Daten im selben Arbeitsbereich würde einen Verpflichtungsgrad von 100 GB pro Tag ermöglichen. In diesem Szenario würde ein Rabatt von 15 % für Azure Monitor und ein Rabatt von 50 % für Microsoft Sentinel angeboten.

Wenn Sie separate Arbeitsbereiche nach anderen Kriterien erstellen, richten Sie in der Regel weitere Arbeitsbereichspaare ein. Wenn Sie beispielsweise über zwei Microsoft Entra Mandanten verfügen, können Sie vier Arbeitsbereiche mit einem Betriebs- und Sicherheitsarbeitsbereich in jedem Mandanten erstellen.

Wenn Sie sowohl Azure Monitor als auch Microsoft Sentinel verwenden: Ziehen Sie eine Trennung der beiden Datentypen in jeweils einem eigenen Arbeitsbereich in Betracht, wenn dies für Ihr Sicherheitsteam erforderlich ist oder zu Kosteneinsparungen führt. Erwägen Sie, die beiden zu kombinieren, um eine bessere Sichtbarkeit Ihrer kombinierten Überwachungsdaten zu erreichen oder wenn es Ihnen hilft, eine Verpflichtungsstufe zu erreichen.
Wenn Sie sowohl Microsoft Sentinel als auch Microsoft Defender for Cloud verwenden, sollten Sie denselben Arbeitsbereich für beide Lösungen verwenden, damit sicherheitsrelevante Daten am selben Ort gespeichert werden.

Microsoft Entra-Mandanten

Die meisten Ressourcen können Überwachungsdaten nur an einen Arbeitsbereich im selben Microsoft Entra-Mandanten senden. Virtuelle Computer, die Azure Monitor Agent oder die Log Analytics-Agents verwenden, können Daten an Arbeitsbereiche in separaten Microsoft Entra-Mandanten senden. Sie können dieses Szenario als Dienstanbieter in Betracht ziehen.

Wenn Sie über einen einzelnen Microsoft Entra-Mandanten verfügen: Erstellen Sie für diesen Mandanten einen einzelnen Arbeitsbereich.
Wenn Sie über mehrere Microsoft Entra Mandanten: Erstellen Sie einen Arbeitsbereich für jeden Mandanten. Weitere Optionen, z. B. Strategien für Dienstanbieter, finden Sie unter Strategien für mehrere Mandanten.

Azure-Regionen

Jeder Log Analytics-Arbeitsbereich befindet sich in einer bestimmten Azure-Region. Möglicherweise müssen Daten aufgrund von gesetzlichen Vorschriften oder Complianceanforderungen in einer bestimmten Region gespeichert werden. Ein internationales Unternehmen könnte z. B. einen Arbeitsbereich in jeder großen geografischen Region wie etwa den USA und Europa einrichten.

Wenn Sie Anforderungen für die Aufbewahrung von Daten in einer bestimmten Region erfüllen müssen, erstellen Sie für jede Region mit diesen Anforderungen einen separaten Arbeitsbereich.
Wenn keine Anforderungen für die Aufbewahrung von Daten in einer bestimmten Region gelten, verwenden Sie einen einzelnen Arbeitsbereich für alle Regionen.
Wenn Sie Daten an eine Geografie oder Region senden, die sich außerhalb der Region Ihres Arbeitsbereichs befindet, unabhängig davon, ob sich die sendende Ressource in Azure: Erwägen Sie die Verwendung eines Arbeitsbereichs in derselben Geografie oder Region wie Ihre Daten.

Sie sollten auch potenzielle Bandbreitengebühren berücksichtigen, die anfallen können, wenn Sie Daten von einer Ressource in einer anderen Region an einen Arbeitsbereich senden. Für die meisten Kunden sind diese Gebühren im Vergleich zu den Kosten für die Datenerfassung gering. Die Gebühren entstehen in der Regel durch die Übermittlung von Daten von einem virtuellen Computer an den Arbeitsbereich. Durch die Überwachung von Daten von anderen Azure-Ressourcen mithilfe von Diagnoseeinstellungen entstehen keine Gebühren für ausgehenden Datenverkehr.

Verwenden Sie den Azure-Preisrechner, um die Kosten zu schätzen und zu entscheiden, welche Regionen Sie benötigen. Ziehen Sie Arbeitsbereiche in mehreren Regionen in Betracht, wenn die Bandbreitengebühren erheblich sind.

Wenn Bandbreitengebühren hoch genug sind, um die zusätzliche Komplexität zu rechtfertigen, erstellen Sie einen separaten Arbeitsbereich für jede Region mit virtuellen Computern.
Wenn Bandbreitengebühren nicht hoch genug sind, um die zusätzliche Komplexität zu rechtfertigen, verwenden Sie einen einzigen Arbeitsbereich für alle Regionen.

Datenbesitz

Möglicherweise müssen Sie je nach Besitzverhältnissen Daten trennen oder Grenzen definieren. Beispielsweise könnten Sie über unterschiedliche Tochtergesellschaften oder verbundene Unternehmen verfügen, die eine Abgrenzung ihrer Überwachungsdaten erforderlich machen.

Wenn eine Datentrennung erforderlich ist, verwenden Sie für jeden Datenbesitzer einen separaten Arbeitsbereich.
Wenn keine Datentrennung erforderlich ist, verwenden Sie für alle Datenbesitzer einen einzigen Arbeitsbereich.

Getrennte Abrechnung

Möglicherweise müssen Sie die Abrechnung auf verschiedene Parteien aufteilen oder eine Rückbuchung an einen Kunden oder eine interne Geschäftseinheit durchführen. Microsoft Cost Management + Billing zeigt Gebühren nach Arbeitsbereich an. Eine Protokollabfrage kann auch billierbares Datenvolumen nach Azure Ressource, Ressourcengruppe oder Abonnement anzeigen. Dieser Ansatz reicht für Ihre Abrechnungsanforderungen möglicherweise aus.

Wenn Sie keine Abrechnung aufteilen oder keine Gebühr rückbuchen müssen, verwenden Sie einen einzigen Arbeitsbereich für alle Kostenträger.
Wenn Sie die Abrechnung aufteilen oder Kosten weiterverrechnen müssen: Prüfen Sie, ob Microsoft Cost Management + Billing oder eine Protokollabfrage eine für Ihre Anforderungen ausreichend detaillierte Kostenberichterstattung bietet. Ist dies nicht der Fall, verwenden Sie einen separaten Arbeitsbereich für jeden Kostenträger.

Beibehaltung von Daten

Konfigurieren Sie standardeinstellungen für die Datenaufbewahrung für einen Arbeitsbereich oder konfigurieren Sie unterschiedliche Einstellungen für jede Tabelle. Wechseln Sie im Azure-Portal zu Log Analytics Arbeitsbereichen> Ihrem Arbeitsbereich >Tables, um die Aufbewahrung pro Tabelle anzuzeigen und zu ändern. Möglicherweise benötigen Sie unterschiedliche Einstellungen für verschiedene Datasets in einer bestimmten Tabelle. Wenn ja, trennen Sie diese Daten in verschiedene Arbeitsbereiche, jeweils mit eindeutigen Aufbewahrungseinstellungen.

Wenn dieselben Aufbewahrungseinstellungen für alle Daten in jeder Tabelle funktionieren: Verwenden Sie einen einzelnen Arbeitsbereich für alle Ressourcen.
Wenn Sie unterschiedliche Aufbewahrungseinstellungen für verschiedene Ressourcen in derselben Tabelle benötigen, verwenden Sie einen separaten Arbeitsbereich für die unterschiedlichen Ressourcen.

Mindestabnahmen

Mindestabnahmen bieten einen Rabatt auf Ihre Arbeitsbereichserfassungskosten, wenn Sie sich für eine bestimmte Menge an täglichen Daten verpflichten. Sie können Daten in einem einzelnen Arbeitsbereich konsolidieren, um die Ebene einer bestimmten Stufe zu erreichen. Wenn dieselbe Datenmenge auf mehrere Arbeitsbereiche aufgeteilt ist, würden sie nicht für dieselbe Stufe infrage kommen, es sei denn, Sie verfügen über einen dedizierten Cluster.

Wenn Ihre tägliche Aufnahme mindestens 100 GB erreicht, implementieren Sie einen dedizierten Cluster , der zusätzliche Funktionen und Leistung bietet. Dedizierte Cluster ermöglichen es Ihnen auch, Daten aus mehreren Arbeitsbereichen innerhalb des Clusters zusammenzuführen, um das Niveau einer Verpflichtungsebene zu erreichen.

Wenn Sie mindestens 100 GB pro Tag über alle Ressourcen hinweg erfassen: Erstellen Sie einen dedizierten Cluster, und legen Sie die geeignete Mindestabnahme fest.
Wenn Sie mindestens 100 GB pro Tag über Ressourcen hinweg erfassen: Sie sollten erwägen, diese in einem einzigen Arbeitsbereich zu kombinieren, um von einer Mindestabnahme zu profitieren.

Einschränkungen des Legacy-Agents

Auch wenn Sie es aufgrund der zusätzlichen Gebühren vermeiden sollten, doppelte Daten an mehrere Arbeitsbereiche zu senden, sind virtuelle Computer möglicherweise mit mehreren Arbeitsbereichen verbunden. Das häufigste Szenario ist ein Agent, der mit separaten Arbeitsbereichen für Azure Monitor und Microsoft Sentinel verbunden ist.

Der Azure Monitor-Agent und der Log Analytics-Agent für Windows können eine Verbindung mit mehreren Arbeitsbereichen herstellen. Der Log Analytics-Agent für Linux kann nur eine Verbindung mit einem einzigen Arbeitsbereich herstellen.

Wenn Sie den Log Analytics-Agent für Linux verwenden, migrieren Sie zum Azure Monitor-Agent, oder stellen Sie sicher, dass Ihre Linux-Computer nur Zugriff auf einen einzigen Arbeitsbereich benötigen.

Zugriffssteuerung für Daten

Wenn Sie einem Benutzer Zugriff auf einen Arbeitsbereich gewähren, hat er Zugriff auf alle Daten in diesem Arbeitsbereich. Diese Zugriffsart ist für Mitglieder einer zentralen Verwaltung oder eines Sicherheitsteams geeignet, die auf Daten für alle Ressourcen zugreifen müssen. Der Zugriff auf den Arbeitsbereich wird auch durch rollenbasierte Zugriffssteuerung (RBAC) im Ressourcenkontext und RBAC auf Tabellenebene bestimmt.

RBAC im Ressourcenkontext: Wenn Benutzende Lesezugriff auf eine Azure-Ressource hat, erben sie standardmäßig die Zugriffsberechtigungen für alle Überwachungsdaten dieser Ressource, die an den Arbeitsbereich gesendet wurden. Durch diese Zugriffsebene können Benutzer auf Informationen zu Ressourcen zugreifen, die sie verwalten, ohne dass sie explizit Zugriff auf den Arbeitsbereich erhalten. Um diesen Zugriff zu blockieren, ändern Sie den Zugriffssteuerungsmodus so, dass explizite Arbeitsbereichsberechtigungen erforderlich sind.

Wenn Sie möchten, dass Benutzer auf Daten für ihre Ressourcen zugreifen können, behalten Sie den standardmäßigen Zugriffssteuerungsmodus für die Verwendung von Ressourcen- oder Arbeitsbereichsberechtigungen bei.
Wenn Sie allen Benutzern explizit Zugriffsberechtigungen zuweisen möchten, ändern Sie den Zugriffssteuerungsmodus in Arbeitsbereichsberechtigungen erforderlich.

RBAC auf Tabellenebene: Mit RBAC auf Tabellenebene gewähren oder verweigern Sie den Zugriff auf bestimmte Tabellen im Arbeitsbereich. Implementieren Sie auf diese Weise granulare Berechtigungen, die für bestimmte Situationen in Ihrer Umgebung erforderlich sind.

Beispielsweise können Sie nur Zugriff auf bestimmte Tabellen gewähren, die von Microsoft Sentinel für ein internes Überwachungsteam erfasst wurden. Alternativ können Sie Ressourcenbesitzern, die operative Daten im Zusammenhang mit ihren Ressourcen benötigen, den Zugriff auf sicherheitsrelevante Tabellen verweigern.

Wenn Sie keine präzise Zugriffssteuerung auf Tabellenebene benötigen, gewähren Sie dem operativen Team und dem Sicherheitsteam Zugriff auf ihre Ressourcen, und ermöglichen Sie den Ressourcenbesitzern die Verwendung von RBAC nach Ressourcenkontext für ihre Ressourcen.
Wenn Sie eine präzise Zugriffssteuerung auf Tabellenebene benötigen, gewähren oder verweigern Sie den Zugriff auf bestimmte Tabellen mithilfe von RBAC auf Tabellenebene.

Weitere Informationen finden Sie unter Verwalten des Zugriffs auf Microsoft Sentinel-Daten nach Ressource.

Resilienz

Um sicherzustellen, dass wichtige Daten in Ihrem Arbeitsbereich im Falle eines Regionsausfalls verfügbar sind, nehmen Sie einige oder alle Ihre Daten in mehrere Arbeitsbereiche in verschiedenen Regionen ein.

Diese Option erfordert die Verwaltung der Integration mit anderen Diensten und Produkten separat für jeden Arbeitsbereich. Obwohl die Daten im Falle eines Fehlers im alternativen Arbeitsbereich verfügbar sind, wechseln Ressourcen, die auf die Daten angewiesen sind, z. B. auf Warnungen und Arbeitsmappen, nicht automatisch zu diesem alternativen Arbeitsbereich. Erwägen Sie das Speichern von ARM-Vorlagen für kritische Ressourcen mit einer Konfiguration für den alternativen Arbeitsbereich in Azure DevOps oder als deaktivierte Richtlinien, die in einem Failoverszenario schnell aktiviert werden können.

Überlegungen zu mehreren Arbeitsbereichen

Viele Entwürfe umfassen mehrere Arbeitsbereiche. Ein zentrales SecOps-Team kann beispielsweise eigene Microsoft Sentinel-Arbeitsbereiche verwenden, um zentralisierte Artefakte wie Analyseregeln oder Arbeitsmappen zu verwalten.

Azure Monitor und Microsoft Sentinel enthalten Features, mit denen Sie diese Daten arbeitsbereichsübergreifend analysieren können. Weitere Informationen finden Sie unter:

Wenn Sie jeden Arbeitsbereich benennen, fügen Sie einen aussagekräftigen Indikator in den Namen ein, damit der Zweck jedes Arbeitsbereichs leicht identifizierbar ist.

Strategien für mehrere Mandanten

Organisationen mit mehreren Microsoft Entra Mandanten benötigen häufig eine Strategie zum Verwalten von Arbeitsbereichen über Mandantengrenzen hinweg. Zu den gängigen Mehrinstanzenszenarien gehören:

Dienstanbieter: MSPs, MSSPs und ISVs, die Arbeitsbereiche im Auftrag von Kunden in separaten Mandanten verwalten.
Fusionen und Übernahmen von Unternehmen: Tochtergesellschaften oder übernommene Unternehmen, die während oder nach der Integration separate Mandanten beibehalten.
Trennung von Umgebungen: Organisationen, die für Entwicklungs-, Staging- und Produktionsumgebungen separate Mandanten verwenden.

In jedem Szenario erfordert ein Zentraladministrationsteam in der Regel Zugriff auf Arbeitsbereiche, die sich in anderen Mandanten befinden. Jeder Mandant kann einen separaten Kunden, eine Geschäftseinheit oder eine Umgebungsstufe darstellen.

Hinweis

Für Partner und Dienstanbieter, die Teil des Cloud Solution Provider-(CSP-)Programms sind, ist Log Analytics in Azure Monitor einer der Azure-Dienste, die in Azure CSP-Abonnements zur Verfügung stehen.

In den folgenden Abschnitten werden zwei grundlegende Strategien für diese Funktionalität beschrieben.

Verteilte Architektur

In einer verteilten Architektur wird in jedem Microsoft Entra Mandanten ein Log Analytics Arbeitsbereich erstellt. Diese Option ist die einzige Option, die für die Überwachung von Azure anderen Diensten als virtuellen Computern verfügbar ist.

Es gibt zwei Optionen, mit denen Dienstanbieteradministratoren auf die Arbeitsbereiche in den Kundenmandanten zugreifen können:

Mit Azure Lighthouse können Sie auf jeden Kundenmandanten zuzugreifen. Die Dienstanbieteradministratoren sind in einer Microsoft Entra-Benutzergruppe im Mandanten des Dienstanbieters enthalten. Dieser Gruppe wird während des Onboardingprozesses für jeden Kunden Zugriff gewährt. Die Administratoren können dann über ihren Mandanten des Dienstanbieters auf die Arbeitsbereiche jedes Kunden zugreifen und müssen sich nicht beim Mandanten jedes einzelnen Kunden anmelden. Weitere Informationen finden Sie unter Überwachen von Kundenressourcen in großem Umfang.
Fügen Sie einzelne Benutzer des Dienstanbieters als Microsoft Entra-Gastbenutzer (B2B) hinzu. Die Kundenmandantenadministratoren verwalten den individuellen Zugriff für jeden Dienstanbieteradministrator. Die Dienstanbieteradministratoren müssen sich im Azure-Portal beim Verzeichnis jedes Mandanten anmelden, um auf diese Arbeitsbereiche zuzugreifen.

Vorteile dieser Strategie:

Protokolle können von Ressourcen jeder Art gesammelt werden.
Der Kunde kann bestimmte Berechtigungsstufen mit der delegierten Azure-Ressourcenverwaltung bestätigen. Alternativ kann der Kunde den Zugriff auf die Protokolle mithilfe eines eigenen Azure RBAC steuern.
Jeder Kunde kann andere Einstellungen für seinen Arbeitsbereich verwenden, etwa hinsichtlich Aufbewahrungsdauer und Datenobergrenze.
Isolation zwischen Kunden im Hinblick auf behördliche Bestimmungen und Compliance.
Die Gebühr für jeden Arbeitsbereich ist in der Rechnung für das Abonnement des Kunden enthalten.

Nachteile dieser Strategie:

Die Ausführung einer Abfrage für eine große Anzahl von Arbeitsbereichen ist langsam und kann nicht auf über 100 Arbeitsbereiche skaliert werden. Eine zentrale Visualisierungs- und Datenanalyseebene ist möglich, wird aber langsam sein, wenn mehr als ein paar Dutzend Arbeitsbereiche vorhanden sind. Diese Situation ist weniger akut, wenn alle Arbeitsbereiche im selben dedizierten Cluster enthalten sind. Weitere Details finden Sie unter Ausführen von Abfragen für Arbeitsbereiche.
Wenn für Kunden kein Onboarding für die delegierte Azure-Ressourcenverwaltung durchgeführt wird, müssen Dienstanbieteradministratoren im Kundenverzeichnis bereitgestellt werden. Durch diese Anforderung gestaltet es sich für den Dienstanbieter schwieriger, viele Kundenmandanten gleichzeitig zu verwalten.
Wenn Sie eine Abfrage für einen Arbeitsbereich ausführen, können die Administratoren des Arbeitsbereichs möglicherweise den vollständigen Text der Abfrage über die Abfrageüberwachung einsehen.

Zentralisiert

Ein einzelner Arbeitsbereich wird im Abonnement des Dienstanbieters erstellt. Diese Option kann Daten von virtuellen Kundencomputern und Azure PaaS-Diensten basierend auf Diagnoseeinstellungen sammeln. Agents, die auf den virtuellen Computern installiert sind, und PaaS-Dienste können so konfiguriert werden, dass ihre Protokolle an diesen zentralen Arbeitsbereich gesendet werden.