您必须集中管理来自多个 Azure Key Vault 的平台日志。要求：1) 使用 KQL 查询日志；2) 保留原始日志 7 年以满足法规要求；3) 通过 Event Hubs 将日志流式传输到第三方 SIEM。您希望最大限度地减少配置对象的数量。您应该在每个 Key Vault 上配置什么？

正确答案是创建一个诊断设置，因为它能最大限度地减少配置对象的数量，并满足所有要求。一个诊断设置可以同时将日志发送到 Log Analytics 工作区（用于 KQL 查询）、存储账户（用于长期保留）和事件中心（用于流式传输到 SIEM）。 创建三个单独的诊断设置会增加配置对象的数量，不符合“最小化配置对象数量”的要求。在订阅级别启用活动日志导出不适用于平台日志，且无法满足将特定 Key Vault 日志路由到所有目标的精细控制需求。仅使用 Azure Policy 路由到 Log Analytics，然后从那里导出到 Storage 和 Event Hubs 增加了复杂性，且可能无法满足直接将原始日志流式传输到事件中心的要求。