Vous gérez 200 machines virtuelles Windows et Linux réparties sur trois régions. Exigences : 1) Les équipes de sécurité et d'exploitation ont besoin d'un accès basé sur les rôles aux journaux par région, mais vous devez pouvoir exécuter des requêtes centralisées sur toutes les machines virtuelles. 2) Conserver SecurityEvent pendant 180 jours, mais ne conserver les compteurs de performance (Perf) que pendant 30 jours. 3) Collecter uniquement des ID d'événements Windows spécifiques et filtrer les données bruyantes au moment de la collecte. Quelle conception d'espace de travail et de collecte de données devriez-vous recommander ?

La bonne réponse répond à toutes les exigences : un espace de travail Log Analytics par région permet un contrôle d'accès basé sur les rôles (RBAC) régional. L'agent Azure Monitor avec des règles de collecte de données (DCR) permet de filtrer les événements Windows spécifiques et de réduire le bruit à l'ingestion. La rétention par table répond aux exigences de 180 jours pour SecurityEvent et 30 jours pour Perf. Les requêtes KQL inter-espaces de travail permettent une analyse centralisée. Les autres options sont incorrectes car : Un seul espace de travail global ne permet pas de RBAC régional et l'agent MMA est déprécié. Un espace de travail par équipe d'application ne répond pas aux exigences régionales, et la collecte de tous les événements sans DCR est inefficace. L'exportation quotidienne n'est pas la solution la plus simple pour les requêtes centralisées. L'envoi direct à Event Hubs puis Stream Analytics ajoute de la complexité inutile et ne gère pas la rétention par table efficacement dans Log Analytics. Azure Sentinel est un SIEM et non une solution de collecte de journaux primaire pour ce scénario, et une rétention uniforme de 90 jours ne répond pas aux exigences spécifiques.