Opcje dziennika zdarzeń dla usługi Azure Virtual Network Manager

Usługa Azure Virtual Network Manager używa usługi Azure Monitor do zbierania i analizy danych, takich jak wiele innych usług platformy Azure. Usługa Azure Virtual Network Manager udostępnia dzienniki zdarzeń dla każdego menedżera sieci. Dzienniki zdarzeń można przechowywać i wyświetlać za pomocą narzędzia Log Analytics usługi Azure Monitor w portalu Azure oraz za pośrednictwem konta magazynu danych. Te dzienniki można również wysłać do centrum zdarzeń lub rozwiązania partnerskiego.

Obsługiwane kategorie dzienników

Usługa Azure Virtual Network Manager obecnie udostępnia następujące kategorie dzienników:

• Zmiana członkostwa w grupie sieciowej
  • Śledź, kiedy członkostwo w grupie sieciowej określonej sieci wirtualnej jest modyfikowane. Innymi słowy, dziennik jest emitowany po dodaniu lub usunięciu sieci wirtualnej z grupy sieciowej. Może to służyć do śledzenia zmian członkostwa w grupach sieciowych w czasie oraz do tworzenia migawki członkostwa konkretnej sieci wirtualnej w grupach sieciowych.
• Zmiana kolekcji reguł
  • Śledź, kiedy zmienia się zestaw zastosowanych kolekcji reguł administratora zabezpieczeń w określonej sieci wirtualnej. Dziennik jest emitowany dla każdej kolekcji reguł wdrożonej w sieci wirtualnej za pośrednictwem grupy sieci docelowej kolekcji reguł. Każde usunięcie kolekcji reguł z grupy sieci w ramach procesu wdrażania spowoduje również wygenerowanie wpisu dziennika dla każdej sieci wirtualnej, której to dotyczy. Ten schemat może służyć do śledzenia kolekcji reguł wdrażanych w określonej sieci wirtualnej w czasie.
  • Jeśli sieć wirtualna otrzymuje zestawy reguł administracyjnych dotyczących zabezpieczeń od wielu administratorów sieci, dzienniki dla każdej zmiany zestawu reguł są generowane osobno dla każdego z tych administratorów.
  • Jeśli sieć wirtualna zostanie dodana do grupy sieci lub usunięta z niej, która ma już wdrożona kolekcję reguł, dziennik jest emitowany dla tej sieci wirtualnej pokazującej stan stosowanej kolekcji reguł.
• Zmiana konfiguracji łączności
  • Śledź, kiedy określona sieć wirtualna zastosowała zmiany konfiguracji łączności. Dla każdej konfiguracji łączności wdrożonej do sieci wirtualnej za pośrednictwem grupy sieci, do której jest kierowana ta konfiguracja, rejestrowany jest wpis dziennika. Każde usunięcie konfiguracji łączności z grupy sieci w wyniku procesu wdrażania skutkuje zapisaniem logu dla każdej objętej sieci wirtualnej. Ten schemat może służyć do śledzenia konfiguracji łączności i ich odpowiednich typów topologii wdrożonych w określonej sieci wirtualnej w czasie.
  • Jeśli sieć wirtualna odbiera konfiguracje łączności z wielu menedżerów sieci, dzienniki są emitowane oddzielnie dla każdego menedżera sieci dla odpowiednich zmian konfiguracji.
  • Jeśli sieć wirtualna zostanie dodana do grupy sieci lub usunięta z niej, która ma już wdrożona konfigurację łączności, dziennik jest emitowany dla tej sieci wirtualnej z stanem zastosowanych konfiguracji łączności.

Atrybuty zmiany członkostwa w grupie sieciowej

Ta kategoria generuje jeden wpis dziennika dla każdej zmiany członkostwa w grupie sieciowej. Tak więc, gdy sieć wirtualna zostaje dodana do grupy sieci lub z niej usunięta, generowany jest wpis dziennika odpowiadający temu pojedynczemu dodaniu lub usunięciu dla danej sieci wirtualnej. Poniższe atrybuty odnoszą się do dzienników, które zostaną wysłane do konta magazynu danych; dzienniki usługi Log Analytics mają nieco inne atrybuty.

Atrybut	Opis
Czas	Data i godzina zarejestrowania zdarzenia.
identyfikator zasobu	Identyfikator zasobu menedżera sieci.
lokalizacja	Lokalizacja zasobu sieci wirtualnej.
nazwa operacji	Operacja, która spowodowała dodanie lub usunięcie sieci wirtualnej. Zawsze operację Microsoft.Network/virtualNetworks/networkGroupMembership/write.
kategoria	Kategoria tego dziennika. Zawsze element NetworkGroupMembershipChange.
typ wyniku	Wskazuje pomyślną lub nieudaną operację.
correlationId (identyfikator korelacji)	Identyfikator GUID, który może pomóc powiązać ze sobą dzienniki lub ułatwić ich debugowanie.
poziom	Zawsze informacje.
właściwości	Zbiór właściwości dziennika.

W atrybucie properties znajduje się kilka zagnieżdżonych atrybutów:

atrybuty właściwości	Opis
Wiadomość	Komunikat statyczny z informacją, czy zmiana członkostwa w grupie sieciowej zakończyła się powodzeniem lub niepowodzeniem.
Identyfikator członkostwa	Domyślny identyfikator członkostwa w sieci wirtualnej.
CzłonkostwaGrupy	Kolekcja grup sieciowych, do których należy sieć wirtualna. W tej właściwości może być wymienionych wiele NetworkGroupId i Sources, ponieważ sieć wirtualna może należeć do wielu grup sieci jednocześnie.
IdentyfikatoryZasobówCzłonka	Identyfikator zasobu sieci wirtualnej, która została dodana do grupy sieciowej lub usunięta z tej grupy.

W atrybucie GroupMemberships jest kilka zagnieżdżonych atrybutów:

Atrybuty członkostwa w grupach	Opis
NetworkGroupId	Identyfikator grupy sieciowej, do którego należy sieć wirtualna.
Źródła	Kolekcja sposobu, w jaki sieć wirtualna jest członkiem grupy sieci.

W atrybucie Sources znajduje się kilka zagnieżdżonych atrybutów:

Atrybuty źródeł	Opis
Typ	Określa, czy sieć wirtualna została dodana ręcznie (StaticMembership) czy warunkowo za pośrednictwem usługi Azure Policy (Policy).
IdentyfikatorStatycznegoCzłonka	Jeśli wartość Typu to StaticMembership, zostanie wyświetlona ta właściwość.
IdentyfikatorPrzypisaniaPolisy	Jeśli wartość Typ to Zasady, zostanie wyświetlona ta właściwość. Identyfikator przypisania usługi Azure Policy, który kojarzy definicję usługi Azure Policy z grupą sieci.
IdentyfikatorDefinicjiPolityki	Jeśli wartość Typ to Zasady, zostanie wyświetlona ta właściwość. Identyfikator definicji usługi Azure Policy, która zawiera warunki członkostwa grupy sieciowej.

Atrybuty zmiany kolekcji reguł

Ta kategoria generuje jeden wpis dziennika dla każdej zmiany kolekcji reguł administratora zabezpieczeń w każdej sieci wirtualnej. A zatem, gdy kolekcja reguł administratora zabezpieczeń zostaje zastosowana do sieci wirtualnej lub z niej usunięta poprzez przypisaną do niej grupę sieciową, generowany jest wpis dziennika odpowiadający tej zmianie w kolekcji reguł dla danej sieci wirtualnej. Poniższe atrybuty odnoszą się do dzienników, które zostaną wysłane do konta magazynu danych; dzienniki usługi Log Analytics mają nieco inne atrybuty.

Atrybut	Opis
Czas	Data i godzina zarejestrowania zdarzenia.
identyfikator zasobu	Identyfikator zasobu menedżera sieci.
lokalizacja	Lokalizacja zasobu sieci wirtualnej.
nazwa operacji	Operacja, która spowodowała dodanie lub usunięcie sieci wirtualnej. Zawsze operacja Microsoft.Network/networkManagers/securityAdminRuleCollections/write.
kategoria	Kategoria tego dziennika. Zawsze RuleCollectionChange.
typ wyniku	Wskazuje pomyślną lub nieudaną operację.
correlationId (identyfikator korelacji)	GUID, który może pomóc w powiązaniu lub debugowaniu dzienników.
poziom	Zawsze informacje.
właściwości	Zbiór właściwości logu.

W atrybucie properties znajduje się kilka zagnieżdżonych atrybutów:

właściwości i atrybuty	Opis
Identyfikatory zasobów docelowych	Identyfikator zasobu sieci wirtualnej, w której nastąpiła zmiana w zastosowaniu kolekcji reguł.
Wiadomość	Komunikat statyczny z informacją, czy zmiana kolekcji reguł zakończyła się powodzeniem lub niepowodzeniem.
**IdsZbioruZastosowanychReguł**	Zbiór kolekcji reguł administratora zabezpieczeń mających zastosowanie do sieci wirtualnej w chwili wygenerowania dziennika. Może istnieć wiele identyfikatorów kolekcji reguł wymienionych, ponieważ sieć wirtualna może należeć do wielu grup sieciowych i mieć wiele kolekcji reguł zastosowanych jednocześnie.

Atrybuty zmiany konfiguracji łączności

Ta kategoria generuje jeden wpis dziennika dla każdej zmiany konfiguracji łączności w każdej sieci wirtualnej. Zatem gdy konfiguracja łączności zostanie zastosowana do sieci wirtualnej lub z niej usunięta za pośrednictwem jej grupy sieciowej, generowany jest wpis dziennika powiązany z tą zmianą w zestawie konfiguracji łączności dla tej konkretnej sieci wirtualnej. Następujące atrybuty są przypisane do dzienników, które zostaną wysłane do konta magazynu danych; dzienniki usługi Log Analytics mają nieco inne atrybuty.

Atrybut	Opis
Czas	Data i godzina zarejestrowania zdarzenia.
identyfikator zasobu	Identyfikator zasobu menedżera sieci.
lokalizacja	Lokalizacja zasobu sieci wirtualnej.
nazwa operacji	Operacja, która spowodowała dodanie lub usunięcie sieci wirtualnej.
kategoria	Kategoria tego dziennika. Zawsze zmiana konfiguracji łączności.
typ wyniku	Wskazuje pomyślną lub nieudaną operację.
correlationId (identyfikator korelacji)	Identyfikator GUID, który może pomóc w powiązaniu dzienników lub ich analizowaniu podczas debugowania.
poziom	Informacje lub ostrzeżenie.
właściwości	Zbiór właściwości logu.

W atrybucie properties znajduje się kilka zagnieżdżonych atrybutów:

właściwości i atrybuty	Opis
Zastosowane Konfiguracje Łączności	Zbiór konfiguracji łączności zastosowanych do sieci wirtualnej w momencie wygenerowania dziennika. Istnieje wiele konfiguracji łączności wymienionych, ponieważ grupa sieci może mieć wiele konfiguracji łączności zastosowanych jednocześnie, a sieć wirtualna może należeć do wielu grup sieciowych z wieloma konfiguracjami łączności zastosowanymi jednocześnie.
Identyfikatory zasobów docelowych	Identyfikator zasobu sieci wirtualnej, która doświadczyła zmiany w aplikacji konfiguracji łączności.
Wiadomość	Komunikat statyczny z informacją, czy zmiana konfiguracji łączności zakończyła się powodzeniem lub niepowodzeniem.

Uwaga

Nakładające się przestrzenie adresowe IP w połączonej grupie lub w zewnętrznej sieci wirtualnej mogą uczynić niektóre adresy niedostępnymi. Szczegóły dotyczące tego zachowania można znaleźć w sekcji Ograniczenia dla połączonych grup. Gdy ten stan wystąpi, logi pokazują poziom "Ostrzeżenie", gdzie TargetResourceIds pole wskazuje ID VNetów z nakładającymi się przestrzeniami adresowymi oraz message wskazuje, że pełne lub częściowe przestrzenie adresowe są niedostępne z powodu nakładających się adresów.

W atrybucie AppliedConnectivityConfigurations znajduje się kilka zagnieżdżonych atrybutów:

Atrybuty zastosowanych konfiguracji łączności	Opis
Identyfikator konfiguracji	Identyfikator konfiguracji łączności zastosowanej do sieci wirtualnej.
Topologia	Typ topologii, który ma zostać skonfigurowany w celu zbudowania sieci łączności między jedną lub więcej grupami sieci, do których jest stosowany. Może to być siatka lub hubAndSpoke.

Uzyskiwanie dostępu do dzienników

W zależności od sposobu korzystania z dzienników zdarzeń należy skonfigurować obszar roboczy usługi Log Analytics lub konto magazynu do przechowywania zdarzeń z dziennika.

• Dowiedz się, jak utworzyć obszar roboczy usługi Log Analytics.
• Dowiedz się, jak utworzyć konto magazynu.

Podczas konfigurowania obszaru roboczego usługi Log Analytics lub konta magazynu należy wybrać region. Jeśli używasz konta magazynu, musi znajdować się w tym samym regionie co menedżer sieci wirtualnej, z którego uzyskujesz dostęp do dzienników. Jeśli używasz obszaru roboczego usługi Log Analytics, może on znajdować się w dowolnym regionie.

Menedżer sieci, który uzyskuje dostęp do zdarzeń, nie musi znajdować się w tej samej subskrypcji co obszar roboczy usługi Log Analytics lub konto magazynu używane do przechowywania, ale uprawnienia mogą ograniczyć możliwość dostępu do dzienników w różnych subskrypcjach.

Uwaga

Aby wygenerować dzienniki, co najmniej jedna sieć wirtualna musi doświadczyć zdarzenia przechwyconego przez powyższe kategorie. Dziennik zostanie wygenerowany dla każdego zdarzenia kilka minut po wystąpieniu zmiany.

Następne kroki

• Dowiedz się, jak rozpocząć pracę z dziennikami zdarzeń usługi Azure Virtual Network Manager.
• Dowiedz się, jak utworzyć instancję Azure Virtual Network Manager przy użyciu portalu Azure.
• Dowiedz się więcej o grupach sieciowych w usłudze Azure Virtual Network Manager.