Analyse de log via Azure monitor pour vérifier si un export de ressources à été effectué

Question

Bonjour,

J’aurais besoin d’aide pour savoir s’il est possible, via l’analyse des logs dans Azure Monitor, de vérifier si un export de ressources liées à un abonnement a été effectué par un utilisateur. En lisant la documentation, je ne sais pas si cela est possible (j’imagine que c’est un GET, donc non loggé), ou bien si le simple copier/coller du template de ressources ne peut pas être monitoré.

Merci pour votre retour.

Answer 1

Salut lilian, Merci d'avoir contacté le portail Microsoft Q&A

Vous avez raison : Azure Monitor n'enregistre pas ou n'audite pas l'exportation des ressources liées à l'abonnement ou le copier/coller de modèles ARM par le biais de journaux d'activité standard, car ces actions sont généralement des opérations GET et ne sont pas considérées comme des modifications de plan de contrôle auditables.

• Les entrées du journal d'activité sont collectées par défaut sans configuration requise. Ils sont générés par le système et ne peuvent être ni modifiés ni supprimés. Les entrées sont généralement le résultat de modifications (opérations de création, de mise à jour, de suppression) ou d'une action initiée. Mais il n'enregistre pas les opérations de lecture telles que l'exportation de modèles ou l'affichage des configurations de ressources. Cela signifie que les actions telles que l'exportation d'un modèle ARM à partir du portail Azure ou la copie de JSON de ressource ne sont pas journalisées par défaut, car elles ne modifient pas l'état de la ressource.
• Les opérations axées sur la lecture des détails d'une ressource ne sont généralement pas capturées. Pour obtenir une description des catégories de journaux d'activité, consultez Schéma d'événements du journal d'activité Azure. Les opérations au-dessus du plan de contrôle sont consignées dans les journaux de ressources Azure. Ceux-ci ne sont pas collectés par défaut et nécessitent un paramètre de diagnostic .
• Il n'existe aucun mécanisme intégré dans Azure Monitor pour détecter ou auditer lorsqu'un utilisateur exporte un modèle ARM ou copie des données de configuration de ressource. Ces actions se produisent côté client ou par le biais d'appels d'API en lecture seule (par exemple, GET des demandes de récupération de propriétés de ressource), qui ne sont pas capturés dans le journal d'activité. Même avec les paramètres de diagnostic activés pour exporter les journaux d'activité vers Log Analytics, Storage ou Event Hubs, ces opérations de lecture restent invisibles.
• Bien que les paramètres de diagnostic puissent acheminer les journaux d'activité vers le stockage à long terme à des fins de conformité et d'analyse, ils n'étendent pas les types d'événements capturés, mais uniquement la conservation et l'accessibilité des événements journalisés existants. La journalisation personnalisée des exportations de modèles ou des opérations de copie nécessite l'implémentation d'instruments personnalisés, tels que l'utilisation d'Azure Policy pour appliquer des contrôles de balisage ou de déploiement, ou l'intégration avec des outils de surveillance externes qui suivent les sessions utilisateur ou l'activité du navigateur, ce qu'Azure ne prend pas en charge en mode natif.

Voir le document :

• https://learn.microsoft.com/en-us/azure/azure-monitor/platform/activity-log?tabs=log-analytics
• https://learn.microsoft.com/en-us/azure/azure-monitor/platform/diagnostic-settings?tabs=portal

J'espère que cela vous aidera, faites-moi savoir si vous avez des questions