Вам необходимо централизовать журналы платформы из нескольких Azure Key Vault. Требования: 1) запрашивать журналы с помощью KQL, 2) хранить необработанные журналы в течение 7 лет для соответствия нормативным требованиям и 3) передавать журналы в стороннюю SIEM-систему через Event Hubs. Вы хотите минимизировать количество объектов конфигурации. Что следует настроить в каждом Key Vault?

Правильный ответ — создание единой диагностической настройки. Azure Key Vault позволяет настроить одну диагностическую настройку для отправки журналов в несколько назначений одновременно: Log Analytics (для запросов KQL), учетную запись хранения (для долгосрочного хранения) и концентратор событий (для интеграции с SIEM). Это минимизирует количество объектов конфигурации, как того требуют условия. Создание трех отдельных диагностических настроек увеличит сложность управления. Экспорт журнала действий на уровне подписки не включает журналы платформы Key Vault. Использование только Azure Policy для маршрутизации в Log Analytics, а затем экспорт из Log Analytics в Storage и Event Hubs, не является наиболее прямым и эффективным способом удовлетворения всех требований.