NSG-Flussprotokolle ändern, aktivieren, deaktivieren oder löschen

Von Bedeutung

Die Flow-Logs der Network Security Group (NSG) werden am 30. September 2027 eingestellt. Da die Funktion eingestellt wird, unterstützt sie keine neuen NSG-Flow-Logs mehr. Migration zu virtuellen Netzwerk-Flow-Logs, die die Einschränkungen von NSG-Flow-Logs adressieren. Nach dem Einstellungsdatum unterstützt Azure keine Traffic Analytics mehr für NSG-Flow-Logs und löscht bestehende NSG-Flow-Log-Ressourcen in Ihren Abonnements. Azure löscht jedoch keine bestehenden NSG-Flow-Log-Einträge aus Azure Storage, und sie halten sich weiterhin an ihre konfigurierten Aufbewahrungsrichtlinien. Weitere Informationen finden Sie in der offiziellen Ankündigung.

Netzwerksicherheitsgruppen-Flow-Logging ist eine Funktion von Azure Network Watcher, mit der Sie Informationen über IP-Daten, der durch eine Netzwerksicherheitsgruppe fließt, protokollieren können. Weitere Informationen zur Ablaufprotokollierung von Netzwerksicherheitsgruppen finden Sie in der Übersicht über NSG-Ablaufprotokolle.

In diesem Artikel erfahren Sie, wie Sie ein bestehendes Netzwerk-Sicherheitsgruppen-Flow-Log mit dem Azure-Portal, PowerShell und der Azure CLI ändern, aktivieren, deaktivieren oder löschen können.

Voraussetzungen

Portal

• Ein Azure-Konto mit einem aktiven Abonnement. Erstellen Sie kostenlos ein Konto.

• Insights-Anbieter. Weitere Informationen finden Sie unter Registrieren von Insights-Anbietern.

• Eine Netzwerksicherheitsgruppe Weitere Informationen zum Erstellen einer Netzwerksicherheitsgruppe finden Sie unter Erstellen, Ändern oder Löschen einer Netzwerksicherheitsgruppe.

• Ein Azure Storage-Konto Informationen zum Erstellen eines Speicherkontos finden Sie unter Erstellen eines Speicherkontos mithilfe des Azure-Portals.

PowerShell

• Ein Azure-Konto mit einem aktiven Abonnement. Erstellen Sie kostenlos ein Konto.

• Insights-Anbieter. Weitere Informationen finden Sie unter Registrieren von Insights-Anbietern.

• Eine Netzwerksicherheitsgruppe Weitere Informationen zum Erstellen einer Netzwerksicherheitsgruppe finden Sie unter Erstellen, Ändern oder Löschen einer Netzwerksicherheitsgruppe.

• Ein Azure Storage-Konto Wenn Sie ein Speicherkonto erstellen müssen, lesen Sie das Erstellen eines Speicherkontos mithilfe von PowerShell.

• Azure Cloud Shell oder Azure PowerShell.

  Die Schritte in diesem Artikel führen die Azure PowerShell-Cmdlets interaktiv in Azure Cloud Shell aus. Um die Cmdlets in der Cloud Shell auszuführen, wählen Sie in der rechten oberen Ecke eines Codeblocks Cloud Shell öffnen aus. Wählen Sie "Kopieren" aus, um den Code zu kopieren, und fügen Sie ihn dann in Cloud Shell ein, um ihn auszuführen. Sie können die Cloud Shell auch innerhalb des Azure-Portals ausführen.

  Sie können auch Azure PowerShell lokal installieren, um die Cmdlets auszuführen. Dieser Artikel erfordert das Azure PowerShell-Modul. Wenn Sie PowerShell lokal ausführen, melden Sie sich mit dem Cmdlet Connect-AzAccount bei Azure an.

Azure CLI

• Ein Azure-Konto mit einem aktiven Abonnement. Erstellen Sie kostenlos ein Konto.

• Insights-Anbieter. Weitere Informationen finden Sie unter Registrieren von Insights-Anbietern.

• Eine Netzwerksicherheitsgruppe Weitere Informationen zum Erstellen einer Netzwerksicherheitsgruppe finden Sie unter Erstellen, Ändern oder Löschen einer Netzwerksicherheitsgruppe.

• Ein Azure Storage-Konto Informationen zum Erstellen eines Speicherkontos finden Sie unter Speicherkonto mithilfe von Azure CLI erstellen.

• Azure Cloud Shell oder Azure CLI.

  Die Schritte in diesem Artikel führen die Azure CLI-Befehle interaktiv in Azure Cloud Shell aus. Um die Befehle in der Cloud Shell auszuführen, wählen Sie in der oberen rechten Ecke eines Codeblocks "Cloud Shell öffnen " aus. Wählen Sie "Kopieren" aus, um den Code zu kopieren, und fügen Sie ihn in Cloud Shell ein, um ihn auszuführen. Sie können die Cloud Shell auch innerhalb des Azure-Portals ausführen.

  Sie können Azure CLI auch lokal installieren , um die Befehle auszuführen. Wenn Sie Azure CLI lokal ausführen, melden Sie sich mit dem Az-Anmeldebefehl bei Azure an.

Registrieren von Insights-Anbietern

Portal

Um den Datenverkehr zu protokollieren, der durch eine Netzwerksicherheitsgruppe fließt, müssen Sie das Microsoft registrieren. Anbieter von Insights. Wenn Sie sich nicht sicher sind, ob das Microsoft. Der Insights-Anbieter ist registriert, überprüfen Sie seinen Status im Azure-Portal, indem Sie diese Schritte befolgen:

1. Geben Sie in das Suchfeld im oberen Bereich des Portals Abonnements ein. Wählen Sie in den Suchergebnissen Abonnements aus.

   

2. Wählen Sie unter Abonnements das Azure-Abonnement aus, für das Sie den Anbieter aktivieren möchten.

3. Wählen Sie unter "Einstellungen" die Option "Ressourcenanbieter" aus.

4. Geben Sie Erkenntnis in das Filterfeld ein.

5. Vergewissern Sie sich, dass der angezeigte Status des Anbieters Registriert lautet. Wenn der Status Nicht registriert ist, wähle Microsoft aus. Insights-Anbieter und dann Registrieren auswählen.

   

PowerShell

Um den Datenverkehr zu protokollieren, der durch eine Netzwerksicherheitsgruppe fließt, müssen Sie das Microsoft registrieren. Anbieter von Insights. Wenn du dir nicht sicher bist, ob das Microsoft. Insights Provider ist registriert, verwenden Sie das cmdlet Register-AzResourceProvider zur Registrierung.

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Insights'

Azure CLI

Um den Datenverkehr zu protokollieren, der durch eine Netzwerksicherheitsgruppe fließt, müssen Sie das Microsoft registrieren. Anbieter von Insights. Wenn Sie sich nicht sicher sind, ob das Microsoft. Insights Provider ist registriert, verwenden Sie den az provider register Befehl, um ihn zu registrieren.

# Register Microsoft.Insights provider.
az provider register --namespace 'Microsoft.Insights'

Aktivieren oder Deaktivieren von Datenverkehrsanalysen

Aktivieren Sie die Datenverkehrsanalyse für ein Datenflussprotokoll, um die Daten des Datenflussprotokolls zu analysieren. Datenverkehrsanalysen bieten Einblicke in die Datenverkehrsmuster Ihres virtuellen Netzwerks. Sie können die Datenverkehrsanalyse für ein Datenflussprotokoll jederzeit aktivieren oder deaktivieren.

Hinweis

Zusätzlich zur Aktivierung oder Deaktivierung von Datenverkehrsanalysen können Sie auch andere Ablaufprotokolleinstellungen ändern.

Portal

Führen Sie die folgenden Schritte aus, um die Datenverkehrsanalyse für ein Datenflussprotokoll zu aktivieren:

1. Geben Sie im Suchfeld oben im Portal die Netzwerküberwachung ein. Wählen Sie " Netzwerküberwachung" aus den Suchergebnissen aus.

2. Wählen Sie unter "Protokolle" die Option "Ablaufprotokolle" aus.

3. Wählen Sie in Network Watcher | Datenflussprotokolle das Datenflussprotokoll aus, für das Sie die Datenverkehrsanalyse aktivieren möchten.

4. Aktivieren Sie in den Flussprotokolleinstellungen unter Datenverkehrsanalyse das Kontrollkästchen Datenverkehrsanalyse aktivieren.

   

5. Geben Sie die folgenden Werte ein bzw. wählen Sie diese aus.

   Konfiguration	Wert
   Abonnement	Wählen Sie das Azure-Abonnement für Ihren Log Analytics-Arbeitsbereich aus.
   Log Analytics-Arbeitsbereich	Wählen Sie Ihren Log Analytics-Arbeitsbereich aus. Standardmäßig erstellt Azure-Portal den Log Analytics-Arbeitsbereich DefaultWorkspace-{SubscriptionID}-{Region} in der Ressourcengruppe defaultresourcegroup-{Region}.
   Intervall der Datenverkehrsprotokollierung	Wählen Sie das von Ihnen bevorzugte Verarbeitungsintervall aus. Verfügbare Optionen sind: Jede Stunde und Alle 10 Minuten. Das Standardverarbeitungsintervall ist jede Stunde. Weitere Informationen finden Sie unter Datenverkehrsanalyse.

   

6. Wählen Sie "Speichern" aus, um die Änderungen anzuwenden.

Um die Datenverkehrsanalyse für ein Datenflussprotokoll zu deaktivieren, führen Sie die vorherigen Schritte 1–3 aus, deaktivieren Sie dann das Kontrollkästchen Datenverkehrsanalyse aktivieren, und wählen Sie Speichern aus.

PowerShell

Um Verkehrsanalysen auf einer Flow-Log-Ressource zu ermöglichen, verwenden Sie das CMDLET Set-AzNetworkWatcherFlowLog .

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -FormatVersion 2

Um die Verkehrsanalyse auf der Flow-Log-Ressource zu deaktivieren und weiterhin Flow-Logs im Speicherkonto zu erstellen und zu speichern, verwenden Sie das Set-AzNetworkWatcherFlowLog-CMDLET .

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -FormatVersion 2

Azure CLI

Um Verkehrsanalysen auf einer Flow-Log-Ressource zu aktivieren, verwenden Sie den Befehl az network watcher flow-log update .

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --log-version '2'

Um Verkehrsanalysen auf der Flow-Log-Ressource zu deaktivieren und weiterhin Flow-Logs im Speicherkonto zu erstellen und zu speichern, verwenden Sie den Befehl az network watcher flow-log update .

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics false --log-version '2'

Auflisten aller Datenflussprotokolle

Sie können alle Ablaufprotokolle in einem Abonnement oder einer Gruppe von Abonnements (Azure-Portal) auflisten. Sie können auch alle Datenflussprotokolle in einer Region auflisten.

Portal

1. Geben Sie im Suchfeld oben im Portal die Netzwerküberwachung ein. Wählen Sie " Netzwerküberwachung" aus den Suchergebnissen aus.

2. Wählen Sie unter "Protokolle" die Option "Ablaufprotokolle" aus.

3. Wählen Sie den Filter "Abonnement gleich" aus, um eines oder mehrere Ihrer Abonnements auszuwählen. Sie können andere Filter wie Standort gleich anwenden, um alle Flussprotokolle in einer Region aufzulisten.

   

PowerShell

Verwenden Sie das Get-AzNetworkWatcherFlowLog-CMDLET, um alle Flow-Log-Ressourcen in einer bestimmten Region in Ihrem Abonnement aufzulisten.

# Get all flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table Name

Hinweis

Um den -Location-Parameter mit dem Get-AzNetworkWatcherFlowLog-Cmdlet verwenden zu können, benötigen Sie zusätzlich eine Berechtigung als Leser in der NetworkWatcherRG-Ressourcengruppe.

Azure CLI

Verwenden Sie den Befehl az network watcher flow-log list, um alle Flow-Log-Ressourcen in einer bestimmten Region Ihres Abonnements aufzulisten.

# Get all flow logs in East US region.
az network watcher flow-log list --location 'eastus' --out table

Details einer Flowprotokollressource anzeigen

Sie können die Details eines Datenflussprotokolls anzeigen.

Portal

1. Geben Sie im Suchfeld oben im Portal die Netzwerküberwachung ein. Wählen Sie " Netzwerküberwachung" aus den Suchergebnissen aus.

2. Wählen Sie unter "Protokolle" die Option "Ablaufprotokolle" aus.

3. Wählen Sie in Network Watcher | Datenflussprotokolle das Datenflussprotokoll aus, das Sie anzeigen möchten.

4. In den Flow-Logs-Einstellungen sehen Sie sich die Einstellungen der Flow-Log-Ressource an.

   

5. Wählen Sie Abbrechen aus, um die Einstellungsseite zu schließen, ohne Änderungen vorzunehmen.

PowerShell

Verwenden Sie das cmdlet Get-AzNetworkWatcherFlowLog , um Details einer Flow-Log-Ressource zu sehen.

# Get the details of a flow log.
Get-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Hinweis

Um den -Location-Parameter mit dem Get-AzNetworkWatcherFlowLog-Cmdlet verwenden zu können, benötigen Sie zusätzlich eine Berechtigung als Leser in der NetworkWatcherRG-Ressourcengruppe.

Azure CLI

Verwenden Sie den Befehl az network watcher flow-log show, um Details einer Flow-Log-Ressource einzusehen.

# Get the details of a flow log.
az network watcher flow-log show --name 'myFlowLog' --resource-group 'NetworkWatcherRG' --location 'eastus'

Herunterladen eines Flowprotokolls

Du kannst die Flow-Log-Daten vom Speicherkonto herunterladen, in dem du die Flow-Logs gespeichert hast.

Portal

1. Geben Sie in das Suchfeld im oberen Bereich des Portals Speicherkonten ein. Wählen Sie in den Suchergebnissen den Eintrag Speicherkonten aus.

2. Wählen Sie das Speicherkonto aus, das Sie zum Speichern der Protokolle verwendet haben.

3. Wählen Sie unter Datenspeicher die Option Container aus.

4. Wählen Sie den Container insights-logs-networksecuritygroupflowevent aus.

5. Navigieren Sie in insights-logs-networksecuritygroupflowevent in der Ordnerhierarchie, bis Sie zu der PT1H.json Datei gelangen, die Sie herunterladen möchten. Die NSG-Flussprotokolldateien folgen dem folgenden Pfad:

   https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
   

6. Wählen Sie die Auslassung ... rechts in der PT1H.json Datei und wählen Sie dann Herunterladen.

PowerShell

Um NSG-Flow-Logs von Ihrem Speicherkonto herunterzuladen, verwenden Sie das cmdlet Get-AzStorageBlobContent . Weitere Informationen finden Sie unter "Herunterladen eines Blobs".

NSG-Datenflussprotokoll-Dateien werden unter dem folgenden Pfad in einem Speicherkonto gespeichert:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Azure CLI

Um NSG-Flow-Logs von Ihrem Speicherkonto herunterzuladen, verwenden Sie den Befehl az Storage Blob Download . Weitere Informationen finden Sie unter "Herunterladen eines Blobs".

NSG-Datenflussprotokoll-Dateien werden unter dem folgenden Pfad in einem Speicherkonto gespeichert:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Hinweis

Sie können den Azure Storage-Explorer verwenden, um auf Datenflussprotokolle in Ihrem Speicherkonto zuzugreifen und diese herunterzuladen. Weitere Informationen finden Sie unter "Erste Schritte mit dem Speicher-Explorer " und " Herunterladen von Blobs mithilfe des Speicher-Explorers".

Informationen zur Struktur eines Datenflussprotokolls finden Sie unter Protokollformat von NSG-Datenflussprotokollen.

Deaktivieren eines Datenflussprotokolls

Sie können ein Flussprotokoll vorübergehend deaktivieren, ohne es zu löschen. Durch das Deaktivieren eines Datenflussprotokolls wird die Datenflussprotokollierung für die zugeordnete Netzwerksicherheitsgruppe beendet. Die Datenflussprotokoll-Ressource bleibt jedoch mit all ihren Einstellungen und Zuordnungen erhalten. Sie können die Protokollierung des Datenflusses jederzeit wieder aktivieren, um die Aufzeichnung für die konfigurierte Netzwerksicherheitsgruppe fortzusetzen.

Portal

1. Geben Sie im Suchfeld oben im Portal die Netzwerküberwachung ein. Wählen Sie " Netzwerküberwachung" aus den Suchergebnissen aus.

2. Wählen Sie unter "Protokolle" die Option "Ablaufprotokolle" aus.

3. Aktivieren Sie in Network Watcher | Datenflussprotokolle das Kontrollkästchen des Datenflussprotokolls, das Sie deaktivieren möchten.

4. Wählen Sie "Deaktivieren" aus.

   

PowerShell

Verwenden Sie das cmdlet Set-AzNetworkWatcherFlowLog , um ein Flow-Log zu deaktivieren.

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id

Azure CLI

Verwenden Sie den Befehl az network watcher flow-log update, um ein Flow-Log zu deaktivieren.

# Disable the flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --enabled false

Hinweis

Wenn du Verkehrsanalyse für ein Flow-Log aktivierst, musst du es deaktivieren, bevor du das Flow-Log deaktivieren kannst. Informationen zum Deaktivieren der Datenverkehrsanalyse finden Sie unter Aktivieren oder Deaktivieren der Datenverkehrsanalyse.

Löschen eines Datenflussprotokolls

Du kannst ein NSG-Flow-Log dauerhaft löschen. Das Löschen eines Flussprotokolls entfernt alle Einstellungen und Assoziationen. Um die Flow-Logging für dieselbe Ressource erneut zu starten, müssen Sie ein neues Flow-Log erstellen.

Portal

1. Geben Sie im Suchfeld oben im Portal die Netzwerküberwachung ein. Wählen Sie " Netzwerküberwachung" aus den Suchergebnissen aus.

2. Wählen Sie unter "Protokolle" die Option "Ablaufprotokolle" aus.

3. In Network Watcher | Flussprotokolle aktivieren Sie das Kontrollkästchen des Flussprotokolls, das Sie löschen möchten.

4. Wählen Sie "Löschen" aus.

   

PowerShell

Um eine Flow-Log-Ressource zu löschen, verwenden Sie das cmdlet Remove-AzNetworkWatcherFlowLog .

# Delete the flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Azure CLI

Um eine Flow-Log-Ressource zu löschen, verwenden Sie den Befehl az network watcher flow-log delete .

# Delete the flow log.
az network watcher flow-log delete --name 'myFlowLog' --location 'eastus' --no-wait 'true'

Hinweis

Beim Löschen eines Datenflussprotokolls werden die Daten des Datenflussprotokolls nicht aus dem Speicherkonto gelöscht. Flow-Log-Daten, die in einem Speicherkonto gespeichert sind, folgen der konfigurierten Aufbewahrungsrichtlinie oder bleiben im Speicherkonto gespeichert, bis Sie sie manuell löschen.

Verwandte Inhalte

• VNet-Datenflussprotokolle
• Migrieren von Netzwerksicherheitsgruppenflussprotokollen zu virtuellen Netzwerkflussprotokollen
• Traffic Analytics