你管理着跨三个区域的 200 个 Windows 和 Linux 虚拟机。要求如下：1) 安全和运维团队需要按区域对日志进行基于角色的访问，但你需要能够跨所有虚拟机运行集中式查询。2) 将 SecurityEvent 保留 180 天，但性能计数器 (Perf) 只保留 30 天。3) 仅收集特定的 Windows 事件 ID 并在收集时过滤掉嘈杂数据。你应该推荐哪种工作区和数据收集设计？

正确答案满足了所有要求。为每个区域部署一个 Log Analytics 工作区，可以实现按区域的基于角色的访问控制 (RBAC)，这是安全和运维团队所必需的。使用 Azure Monitor Agent (AMA) 结合数据收集规则 (DCR) 是推荐的现代方法，它允许在摄取时进行数据转换和过滤，从而仅收集所需的 Windows 事件 ID 并减少噪音。按表配置保留期（SecurityEvent 180 天，Perf 30 天）直接满足了不同的保留要求。最后，通过跨工作区 KQL 查询，可以实现对所有虚拟机日志的集中式查询，解决了集中报告的需求。 其他选项不符合所有要求： 全局工作区无法提供按区域的 RBAC。 将所有数据导出到 ADLS Gen2 进行报告会增加复杂性，且未在摄取时进行过滤。 直接发送到 Event Hubs 并使用 Stream Analytics 增加了管理开销，且不符合 Log Analytics 的原生功能。 使用 Azure Sentinel 工作区进行所有数据存储不是主要日志收集方案，且其默认保留期可能不满足所有要求。