Usted administra 200 máquinas virtuales Windows y Linux en tres regiones. Requisitos: 1) Los equipos de seguridad y operaciones necesitan acceso basado en roles a los registros por región, pero usted requiere la capacidad de ejecutar consultas centralizadas en todas las máquinas virtuales. 2) Retener SecurityEvent durante 180 días, pero mantener los contadores de rendimiento (Perf) solo 30 días. 3) Recopilar solo ID de eventos de Windows específicos y filtrar datos ruidosos en el momento de la recopilación. ¿Qué diseño de espacio de trabajo y recopilación de datos debería recomendar?

La opción correcta cumple con todos los requisitos. Un espacio de trabajo de Log Analytics por región permite el control de acceso basado en roles (RBAC) regional. El Azure Monitor Agent (AMA) con reglas de recopilación de datos (DCRs) y transformaciones permite filtrar eventos específicos en la ingesta, reduciendo el ruido y el costo. La retención por tabla en Log Analytics satisface los diferentes requisitos de retención para SecurityEvent y Perf. Las consultas KQL entre espacios de trabajo permiten la visibilidad centralizada. La opción del espacio de trabajo único global falla en el RBAC regional y la retención diferenciada. La opción por equipo de aplicación no aborda el RBAC regional ni la retención diferenciada, y exportar a Data Lake Storage Gen2 para informes centrales es ineficiente. Enviar a Event Hubs y Stream Analytics es una solución más compleja y costosa para este escenario. Usar Azure Sentinel no es el servicio principal para la recopilación de registros de VM y no permite la retención por tabla ni el filtrado en la ingesta de la misma manera que los DCRs.