Je moet platformlogs van verschillende Azure Key Vaults centraliseren. Vereisten: 1) logs opvragen met KQL, 2) ruwe logs 7 jaar bewaren om te voldoen aan wettelijke vereisten, en 3) logs streamen naar een SIEM van derden via Event Hubs. Je wilt het aantal configuratieobjecten minimaliseren. Wat moet je configureren op elke Key Vault?

De correcte optie minimaliseert het aantal configuratieobjecten per Key Vault door één diagnostische instelling te gebruiken die alle drie de vereiste bestemmingen ondersteunt: Log Analytics voor KQL-query's, een Storage-account voor langetermijnarchivering (7 jaar) en Event Hubs voor streaming naar een SIEM. Diagnostische instellingen in Azure kunnen meerdere bestemmingen tegelijkertijd configureren. De optie om drie afzonderlijke diagnostische instellingen te maken, voldoet wel aan de technische vereisten, maar minimaliseert het aantal configuratieobjecten niet. Activity log export op abonnementsniveau is niet geschikt, omdat dit alleen de Activity Log betreft en niet de platformlogs van Key Vault zelf. Azure Policy kan worden gebruikt om diagnostische instellingen af te dwingen, maar het is geen mechanisme om logs te routeren vanuit Log Analytics naar Storage en Event Hubs; dat zou extra configuratie vereisen die niet direct door Policy wordt afgehandeld.