Surveiller Azure Managed HSM

2025-03-03

Cet article aborde les points suivants :

Types de données de monitoring que vous pouvez collecter pour ce service.
Comment analyser ces données.

Quand vous avez des applications critiques et des processus métier qui s’appuient sur des ressources Azure, vous devez monitorer votre système et obtenir des alertes. Le service Azure Monitor collecte et agrège les métriques et les journaux de chaque composant de votre système. Azure Monitor vous fournit une vue de la disponibilité, des performances et de la résilience, et vous avertit des problèmes. Vous pouvez utiliser le portail Azure, PowerShell, Azure CLI, l’API REST ou des bibliothèques de client pour configurer et visualiser les données de monitoring.

Pour plus d’informations sur Azure Monitor, consultez la vue d’ensemble d’Azure Monitor. Pour plus d’informations sur la surveillance des ressources Azure en général, consultez Surveiller les ressources Azure avec Azure Monitor.

Page « Surveillance » dans le portail Azure

Pour chaque HSM managé, vous pouvez accéder à l’onglet Métriques dans la barre latérale gauche, sous Surveillance, dans le portail Azure pour afficher les métriques suivantes :

Latence globale de l'API de service
Disponibilité globale du service
Correspondances totales de l'API de service

Types de ressource

Azure utilise le concept de types de ressources et d’ID pour identifier tout dans un abonnement. Azure Monitor organise de même manière les données de supervision de base en métriques et journaux en fonction des types de ressources, également appelés espaces de noms. Différentes métriques et journaux sont disponibles pour les différents types de ressource. Votre service peut être associé à plusieurs types de ressource.

Les types de ressource font également partie des ID de ressource pour chaque ressource exécutée dans Azure. Par exemple, le type de ressource pour une machine virtuelle peut être Microsoft.Compute/virtualMachines. Pour obtenir la liste des services et leurs types de ressources associés, consultez Fournisseurs de ressources.

Pour plus d’informations sur les types de ressources pour les HSM managés, consultez la référence des données de surveillance Azure Key Vault.

Stockage des données

Pour Azure Monitor :

Les données de métriques sont stockées dans la base de données des métriques Azure Monitor.
Les données de journal sont stockées dans le magasin de journaux Azure Monitor. Log Analytics est un outil du portail Azure qui peut interroger ce magasin.
Le journal d’activité Azure est un magasin distinct avec sa propre interface dans le portail Azure.

Vous pouvez aussi envoyer les données des métriques et des journaux d’activité vers le magasin de journaux Azure Monitor. Vous pouvez ensuite utiliser Log Analytics pour interroger les données et les mettre en corrélation avec d’autres données de journal.

De nombreux services peuvent utiliser les paramètres de diagnostic pour envoyer les données des métriques et des journaux vers d’autres emplacements de stockage en dehors d’Azure Monitor. Il peut ainsi s’agit du Stockage Azure, des systèmes partenaires hébergés et des systèmes partenaires non-Azure, en utilisant Event Hubs.

Pour plus d’informations sur la façon dont Azure Monitor stocke les données, consultez la plateforme de données Azure Monitor.

Collecte et routage

Les métriques de plateforme et le journal d’activité sont collectés et stockés automatiquement, mais ils peuvent être acheminés vers d’autres emplacements à l’aide d’un paramètre de diagnostic.

Les journaux de ressources ne sont pas collectés ni stockés tant que vous n’avez pas créé un paramètre de diagnostic et que vous ne les acheminez pas vers un ou plusieurs emplacements.

Consultez Créer un paramètre de diagnostic pour collecter les journaux de plateforme et les métriques dans Azure pour connaître le processus détaillé de création d’un paramètre de diagnostic à l’aide du portail Azure, de l’interface CLI ou de PowerShell. Lorsque vous créez un paramètre de diagnostic, vous spécifiez les catégories de journaux à collecter. Les catégories de HSM managé sont répertoriées dans la référence des données de surveillance Key Vault.

Pour créer un paramètre de diagnostic pour votre coffre de clés, consultez Configurer la journalisation pour le HSM managé. Les métriques et les journaux que vous pouvez collecter sont décrits dans les sections suivantes.

Métriques de plateforme Azure Monitor

Azure Monitor fournit des métriques de plateforme pour la plupart des services. Ces mesures sont :

Définies individuellement pour chaque espace de noms.
Stockées dans la base de données de métriques de série chronologique Azure Monitor.
Légères et capables de prendre en charge les alertes en quasi-temps réel.
Utilisées pour suivre les performances d’une ressource au fil du temps.

Collection: Azure Monitor collecte automatiquement les métriques de plateforme. Aucune configuration n'est requise.

Routage: Vous pouvez également acheminer les métriques de plateforme vers les journaux Azure Monitor / Log Analytics afin de pouvoir les interroger avec d’autres données de journal. Pour plus d’informations, consultez la vue d’ensemble des métriques Azure Monitor. Pour savoir comment configurer des paramètres de diagnostic pour un service, consultez Créer des paramètres de diagnostic dans Azure Monitor.

Pour obtenir la liste de toutes les métriques qu'il est possible de collecter pour toutes les ressources dans Azure Monitor, consultez Métriques prises en charge avec Azure Monitor.

Vous pouvez analyser les métriques pour Key Vault avec des métriques provenant d’autres services Azure à l’aide de Metrics Explorer en ouvrant Métriques à partir du menu Azure Monitor. Pour plus d’informations sur l’utilisation de cet outil, consultez Analyser les métriques avec Azure Monitor Metrics Explorer .

Pour obtenir la liste des métriques disponibles pour le HSM managé, consultez la référence des données de surveillance Azure Key Vault.

Journaux de ressources Azure Monitor

Les journaux de ressource fournissent des insights sur les opérations effectuées par une ressource Azure. Les journaux sont générés automatiquement, mais vous devez les router vers les journaux Azure Monitor pour les enregistrer ou les interroger. Les journaux d’activité sont organisés en catégories. Un espace de noms donné peut avoir plusieurs catégories de journal de ressource.

Collection: Les journaux de ressources ne sont pas collectés et stockés tant que vous n’avez pas créé de paramètre de diagnostic et routé les journaux vers un ou plusieurs emplacements. Lorsque vous créez un paramètre de diagnostic, vous spécifiez les catégories de journaux à collecter. Il existe plusieurs façons de créer et gérer des paramètres de diagnostic, notamment le portail Azure, programmatiquement et avec Azure Policy.

Routage: La valeur par défaut suggérée consiste à router les journaux de ressources vers les journaux Azure Monitor afin de pouvoir les interroger avec d’autres données de journal. D’autres emplacements comme le Stockage Azure, Azure Event Hubs et certains partenaires de monitoring de Microsoft sont également disponibles. Pour plus d’informations, consultez Collecter et analyser les journaux de ressources à partir d’une ressource Azure et des paramètres de diagnostic dans Azure Monitor : destinations.

Pour plus d’informations sur la collecte, le stockage et le routage des journaux des ressources, consultez Les paramètres de diagnostic dans Azure Monitor.

Pour obtenir la liste de toutes les catégories de journaux de ressources disponibles dans Azure Monitor, consultez les catégories de journaux de ressources prises en charge pour Azure Monitor.

Tous les journaux de ressource dans Azure Monitor ont les mêmes champs d’en-tête, suivis de champs propres au service. Le schéma commun est décrit dans les schémas communs et spécifiques au service pour les journaux de ressources Azure .

Pour les catégories de journaux de ressources disponibles, leurs tables Log Analytics associées et les schémas de journal pour le HSM managé, consultez la référence des données de surveillance Azure Key Vault.

Journal des activités Azure

Le journal d’activité contient des évènements au niveau de l’abonnement qui suivent les opérations sur chaque ressource Azure qui sont vues comme extérieures à cette ressource, par exemple, la création d’une ressource ou le démarrage d’une machine virtuelle.

Collection: Les événements du journal d’activité sont générés et collectés automatiquement dans un magasin distinct pour l’affichage dans le portail Azure.

Routage: Vous pouvez envoyer des données de journal d’activité aux journaux Azure Monitor afin de pouvoir les analyser en même temps que d’autres données de journal. D’autres emplacements comme le Stockage Azure, Azure Event Hubs et certains partenaires de monitoring de Microsoft sont également disponibles. Pour plus d’informations sur le routage du journal d'activité, consultez Envoyer les données du journal d’activité Azure Monitor.

Analyse des journaux d’activité

Les données des journaux Azure Monitor sont stockées dans des tables, chacune ayant son propre ensemble de propriétés uniques.

Tous les journaux de ressources dans Azure Monitor ont les mêmes champs suivis de champs spécifiques au service. Le schéma commun est décrit dans les schémas communs et spécifiques au service pour les journaux de ressources Azure.

Le journal d’activité est un type de journal de plateforme pour Azure qui fournit des insights sur tous les événements au niveau de l’abonnement. Vous pouvez l’afficher indépendamment ou le router vers Azure Monitor Logs, où vous pouvez effectuer des requêtes bien plus complexes à l’aide de Log Analytics.

Pour répertorier les types de journaux de ressource collectés pour les HSM managés, consultez Informations de référence sur les données de surveillance Key Vault.

Pour répertorier les tables utilisées par les journaux Azure Monitor et pouvant être interrogées par Log Analytics, consultez Informations de référence sur les données de surveillance Key Vault.

Analyser les données de surveillance

Il existe de nombreux outils pour analyser les données de supervision.

Outils Azure Monitor

Azure Monitor prend en charge les outils de base suivants :

Metrics Explorer, un outil dans le portail Azure qui vous permet d’afficher et d’analyser les métriques pour les ressources Azure. Pour plus d’informations, consultez Analyser les métriques avec l’Explorateur de métriques Azure Monitor.
Log Analytics, un outil dans le portail Azure qui vous permet d’interroger et d’analyser les données de journal à l’aide du langage de requête Kusto (KQL). Pour plus d’informations, voir Bien démarrer avec les requêtes de journal dans Azure Monitor.
Le journal d’activité, qui a une interface utilisateur dans le portail Azure pour l’affichage et les recherches de base. Pour effectuer une analyse plus approfondie, vous devez router les données vers les journaux Azure Monitor et exécuter des requêtes plus complexes dans Log Analytics.

Les outils qui permettent une visualisation plus complexe sont notamment :

Tableaux de bord qui vous permettent de combiner différents types de données dans un seul volet du portail Azure.
Classeurs, rapports personnalisables que vous pouvez créer dans le Portail Azure. Les workbooks peuvent inclure du texte, des métriques et des requêtes de journal.
Grafana, outil de plateforme ouverte qui excelle dans les tableaux de bord opérationnels. Vous pouvez utiliser Grafana pour créer des tableaux de bord à partir de données de plusieurs sources autres qu’Azure Monitor.
Power BI, un service d’analytique métier qui fournit des visualisations interactives sur différentes sources de données. Vous pouvez configurer Power BI pour importer automatiquement les données de journal à partir d’Azure Monitor afin de tirer parti de ces visualisations supplémentaires.

Outils d’exportation Azure Monitor

Vous pouvez extraire des données d’Azure Monitor dans d’autres outils en utilisant les méthodes suivantes :

Métrique: Utilisez l’API REST pour les métriques pour extraire les données de métriques de la base de données de métriques Azure Monitor. L’API prend en charge les expressions de filtre pour affiner les données récupérées. Pour plus d’informations, consultez la référence de l’API REST Azure Monitor.
Journaux: Utilisez l’API REST ou les bibliothèques clientes associées.
Une autre option est l’exportation des données d’espace de travail.

Pour bien démarrer avec l’API REST pour Azure Monitor, consultez la procédure pas à pas de l’API REST de supervision Azure.

Requêtes Kusto

Vous pouvez analyser les données de supervision dans les journaux Azure Monitor ou le magasin Log Analytics à l’aide du langage de requête Kusto (KQL).

Important Lorsque vous sélectionnez Journaux dans le menu du service dans le portail, Log Analytics s’ouvre avec l’étendue de requête définie sur le service actuel. Cette étendue signifie que les requêtes de journal ont seulement des données de ce type de ressource. Si vous souhaitez exécuter une requête qui inclut des données d’autres services Azure, sélectionnez Journaux dans le menu Azure Monitor. Pour plus d’informations , consultez l’étendue et l’intervalle de temps des requêtes de journal dans Azure Monitor Log Analytics .

Pour obtenir la liste des requêtes courantes pour n’importe quel service, consultez l’article Utiliser des requêtes dans Log Analytics.

Voici quelques requêtes que vous pouvez entrer dans la barre « Recherche dans les journaux » pour superviser plus facilement les ressources des HSM managés. Ces requêtes fonctionnent avec le nouveau langage.

Y a-t-il des requêtes lentes ?

// List of Managed HSM requests that took longer than 1sec. 
// To create an alert for this query, click '+ New alert rule'
let threshold=1000; // let operator defines a constant that can be further used in the query

AzureDiagnostics
| where ResourceProvider =="MICROSOFT.KEYVAULT" 
| where ResourceType == "MANAGEDHSMS"
| where DurationMs > threshold
| summarize count() by OperationName, _ResourceId

Existe-t-il des échecs ?

// Count of failed Managed HSM requests by status code. 
// To create an alert for this query, click '+ New alert rule'

AzureDiagnostics
| where ResourceProvider =="MICROSOFT.KEYVAULT" 
| where ResourceType == "MANAGEDHSMS"
| where httpStatusCode_d >= 300 and not(OperationName == "Authentication" and httpStatusCode_d == 401)
| summarize count() by requestUri_s, ResultSignature, _ResourceId
// ResultSignature contains HTTP status, e.g. "OK" or "Forbidden"
// httpStatusCode_d contains HTTP status code returned

Quelle est l’activité de ce HSM managé ?

// Line chart showing trend of Managed HSM requests volume, per operation over time. 
// KeyVault diagnostic currently stores logs in AzureDiagnostics table which stores logs for multiple services. 
// Filter on ResourceProvider for logs specific to a service.

AzureDiagnostics
| where ResourceProvider =="MICROSOFT.KEYVAULT" 
| where ResourceType == "MANAGEDHSMS"
| summarize count() by bin(TimeGenerated, 1h), OperationName // Aggregate by hour
| render timechart

Qui appelle ce HSM managé ?

// List of callers identified by their IP address with their request count.  
// Managed HSM diagnostic currently stores logs in AzureDiagnostics table which stores logs for multiple services. 
// Filter on ResourceProvider for logs specific to a service.

AzureDiagnostics
| where ResourceProvider =="MICROSOFT.KEYVAULT"
| where ResourceType == "MANAGEDHSMS"
| summarize count() by CallerIPAddress

À quelle vitesse ce HSM géré répond-il aux demandes ?

// Line chart showing trend of request duration over time using different aggregations. 

AzureDiagnostics
| where ResourceProvider =="MICROSOFT.KEYVAULT"
| where ResourceType == "MANAGEDHSMS" 
| summarize avg(DurationMs) by requestUri_s, bin(TimeGenerated, 1h) // requestUri_s contains the URI of the request
| render timechart

Alertes

Azure Monitor vous alerte de façon proactive quand des conditions spécifiques sont détectées dans vos données de monitoring. Les alertes permettent d’identifier et de résoudre les problèmes affectant votre système avant que vos clients ne les remarquent. Pour plus d’informations, consultez les alertes Azure Monitor.

Il existe de nombreuses sources d’alertes courantes pour les ressources Azure. Pour obtenir des exemples d’alertes courantes pour les ressources Azure, consultez Exemples de requêtes d’alerte de journal. Le site Azure Monitor Baseline Alerts (AMBA) fournit une méthode semi-automatisée pour implémenter les alertes, les tableaux de bord et les recommandations associés·es les plus importants·es aux métriques de plateforme. Le site s’applique à un sous-ensemble des services Azure en constante expansion, y compris tous les services qui font partie de la zone d’atterrissage Azure (ALZ).

Le schéma d’alerte commun standardise la consommation de notifications d'alerte pour Azure Monitor. Pour plus d’informations, consultez Schéma d’alerte courant.

Types d'alertes

Vous pouvez définir une alerte sur n’importe quelle source de données de métrique ou de journal dans la plateforme de données Azure Monitor. Il existe de nombreux types d’alertes différents en fonction des services que vous monitorez et des données de monitoring que vous collectez. Les différents types d’alertes ont divers avantages et inconvénients. Pour plus d’informations, consultez Choisir le type d’alerte de surveillance approprié.

La liste suivante décrit les types d’alertes Azure Monitor que vous pouvez créer :

Les alertes métriques évaluent les métriques des ressources à intervalles réguliers. Les métriques peuvent être des métriques de plateforme, des métriques personnalisées, des journaux provenant d’Azure Monitor convertis en métriques ou des métriques Application Insights. Les alertes de métriques peuvent également appliquer plusieurs conditions et seuils dynamiques.
Les alertes de journal permettent aux utilisateurs d’utiliser une requête Log Analytics pour évaluer les journaux de ressources à une fréquence prédéfinie.
Les alertes de journal d’activité se déclenchent lorsqu’un nouvel événement de journal d’activité se produit qui correspond aux conditions définies. Les alertes Resource Health et les alertes Service Health sont des alertes de journal d’activité qui concernent l’intégrité de votre service et de vos ressources.

Certains services Azure prennent également en charge les alertes de détection intelligente, les alertes Prometheus ou les règles d’alerte recommandées.

Pour certains services, vous pouvez opérer une surveillance à grande échelle en appliquant la même règle d’alerte de métrique à plusieurs ressources du même type qui existent dans la même région Azure. Les notifications individuelles sont envoyées pour chaque ressource supervisée. Pour les services et clouds Azure pris en charge, consultez Superviser plusieurs séries chronologiques dans une règle d'alerte unique : ressources multiples (multi-ressources).

Note Si vous créez ou exécutez une application qui s’exécute sur votre service, Azure Monitor Application Insights peut offrir davantage de types d’alertes.

Règles d’alerte pour HSM managés

La liste suivante contient certaines règles d’alerte suggérées pour HSM managés. Ces alertes ne sont que des exemples. Vous pouvez définir des alertes pour n’importe quelle métrique, entrée de journal ou entrée du journal d’activité répertoriée dans la référence des données de surveillance Azure Key Vault.

La disponibilité d’un HSM managé bascule au-dessous de 100 % (seuil statique)
La latence d’un HSM managé bascule au-dessus de 1 000 ms (seuil statique)
Le nombre total de codes d'erreur est supérieur à la moyenne (seuil dynamique)

Pour plus d’informations, consultez Alerting for Azure Managed HSM.

Recommandations d’Advisor

Pour certains services, si des conditions critiques ou des changements imminents se produisent pendant des opérations de ressources, une alerte s’affiche dans la page Vue d’ensemble du service concerné dans le portail. Vous trouverez plus d’informations et des correctifs recommandés pour l’alerte dans les Recommandations Advisor sous Surveillance dans le menu de gauche. Pendant les opérations normales, aucune recommandation Advisor ne s’affiche.

Pour plus d’informations sur Azure Advisor, consultez la vue d’ensemble d’Azure Advisor.