Sie müssen Plattformprotokolle von mehreren Azure Key Vaults zentralisieren. Anforderungen: 1) Abfragen von Protokollen mit KQL, 2) Aufbewahren von Rohprotokollen für 7 Jahre, um regulatorische Anforderungen zu erfüllen, und 3) Streamen von Protokollen an ein SIEM eines Drittanbieters über Event Hubs. Sie möchten die Anzahl der Konfigurationsobjekte minimieren. Was sollten Sie für jeden Key Vault konfigurieren?

Die Erstellung einer einzelnen Diagnoseeinstellung pro Key Vault ist die effizienteste Lösung, da sie alle drei Anforderungen erfüllt und die Anzahl der Konfigurationsobjekte minimiert. Eine Diagnoseeinstellung kann Protokolle gleichzeitig an einen Log Analytics-Arbeitsbereich (für KQL-Abfragen), ein Speicherkonto (für die 7-jährige Aufbewahrung) und einen Event Hubs-Namespace (für das SIEM) senden. Drei separate Diagnoseeinstellungen würden zwar funktionieren, aber die Anzahl der Konfigurationsobjekte erhöhen. Der Export des Aktivitätsprotokolls auf Abonnementebene ist nicht ausreichend, da dies nur die Aktivitätsprotokolle des Abonnements und nicht die detaillierten Plattformprotokolle des Key Vaults erfasst. Azure Policy allein kann die Protokolle nicht direkt an alle drei Ziele weiterleiten und würde zusätzliche Exporte von Log Analytics erfordern, was komplexer wäre.