È necessario centralizzare i log della piattaforma da diversi Azure Key Vault. Requisiti: 1) interrogare i log con KQL, 2) conservare i log grezzi per 7 anni per soddisfare le esigenze normative e 3) trasmettere i log in streaming a un SIEM di terze parti tramite Event Hubs. Si desidera ridurre al minimo il numero di oggetti di configurazione. Cosa è necessario configurare su ogni Key Vault?

L'opzione corretta è creare un'unica impostazione di diagnostica perché Azure Key Vault consente di configurare una singola impostazione di diagnostica per inviare log a più destinazioni contemporaneamente: un'area di lavoro Log Analytics (per query KQL), un account di archiviazione (per la conservazione a lungo termine di 7 anni) e un hub eventi (per lo streaming a un SIEM di terze parti). Questo soddisfa tutti i requisiti minimizzando il numero di oggetti di configurazione. Creare tre impostazioni di diagnostica separate aumenterebbe inutilmente il numero di oggetti di configurazione. Abilitare l'esportazione del log attività a livello di sottoscrizione non è sufficiente, in quanto il log attività contiene solo eventi a livello di sottoscrizione, non i log specifici della piattaforma di Key Vault. Utilizzare solo Azure Policy per instradare a Log Analytics e poi esportare da lì non è l'approccio più diretto o efficiente per soddisfare tutti i requisiti, specialmente per la conservazione dei log grezzi e lo streaming diretto.