Gerenciar o acesso aos workspaces do Log Analytics

Os fatores que determinam quais dados você pode acessar em um workspace do Log Analytics são:

  • As configurações no espaço de trabalho em si.
  • Suas permissões de acesso para recursos que enviam dados para o espaço de trabalho.
  • O método usado para acessar o espaço de trabalho.

Este artigo descreve como gerenciar o acesso aos dados em um workspace do Log Analytics.

Visão geral

Os fatores que definem os dados que podem ser acessados são descritos na tabela a seguir. Cada fator é descrito em mais detalhes nas seções a seguir.

Fator Descrição
Modo de acesso O método usado para acessar o espaço de trabalho. Define o escopo dos dados disponíveis e o modo de controle de acesso que é aplicado.
Modo de controle de acesso Configuração no espaço de trabalho que define se as permissões são aplicadas no nível de espaço de trabalho ou de recurso.
Controle de acesso baseado em função (RBAC) do Azure Permissões aplicadas a indivíduos ou grupos de usuários do espaço de trabalho ou do recurso que envia dados para o espaço de trabalho. Define a quais dados você terá acesso.
RBAC Granular Permissões opcionais que definem o acesso em nível de tabela e de linha com base nas condições. Aplica-se a todos os modos de acesso, mas só deve ser usado com o modo de controle de acesso ao espaço de trabalho.
RBAC do Azure de nível de tabela Permissões opcionais que definem tipos de dados específicos no espaço de trabalho que você pode acessar. Aplica-se a todos os modos de acesso ou modos de controle de acesso.

Modo de acesso

O modo de acesso refere-se a como você acessa o workspace do Log Analytics e define os dados que você pode acessar durante a sessão atual. O modo é determinado de acordo com o escopo selecionado no Log Analytics.

Há dois modos de acesso:

  • Contexto do workspace: é possível exibir todos os logs do workspace para o qual você tem permissão. As consultas nesse modo têm escopo para todos os dados das tabelas às quais você tem acesso no espaço de trabalho. Esse modo de acesso é usado quando os logs são acessados tendo o workspace como o escopo, como quando você seleciona Logs no menu do Azure Monitor no portal do Azure.

  • Contexto do recurso: quando você acessa o espaço de trabalho de um recurso específico, grupo de recursos ou assinatura, como por exemplo, quando você seleciona Logs no menu de recursos no portal do Azure, você pode visualizar logs somente dos recursos em todas as tabelas às quais você tem acesso. As consultas nesse modo têm como escopo somente os dados associados a esse recurso. Esse modo também habilita o RBAC granular do Azure. Os workspaces usam um modelo de log de contexto de recurso em que cada registro de log emitido por um recurso do Azure é associado automaticamente ao recurso.

Os registros estarão disponíveis em consultas de contexto de recurso somente se estiverem corretamente associados ao recurso relevante. Para verificar a associação, execute uma consulta e verifique se a coluna _ResourceId foi preenchida.

Há limitações conhecidas com os seguintes recursos:

  • Computadores fora do Azure: O contexto de recurso é suportado apenas com o Azure Arc para servidores.
  • Application Insights: compatível com o contexto de recurso somente ao usar um recurso do Application Insights baseado em workspace.
  • Malha de Serviços do Azure
  • Tabelas básicas e auxiliares : o contexto de recurso só dá suporte a tabelas no plano de Análise. As consultas que incluem tabelas Básicas ou Auxiliares exigem um workspace do Log Analytics como escopo.

Comparar modos de acesso

A tabela a seguir resume os modos de acesso:

Problema Contexto do espaço de trabalho Contexto do recurso
A quem cada modelo se destina? Administração central.
Os administradores que precisam configurar a coleta de dados e os usuários que precisam acessar uma ampla variedade de recursos. Também exigido no momento para os usuários que precisam acessar os logs para recursos fora do Azure.		 Equipes de Aplicativos.
Administradores de recursos do Azure sendo monitorados. Permite que eles se concentrem no recurso sem filtragem.
Do que o usuário precisa para visualizar os logs? Permissões para o espaço de trabalho.
Veja “Permissões de workspace” em Gerenciar o acesso usando permissões de workspace.		 Acesso de leitura para o recurso.
Veja “Permissões de recurso” em Gerenciar o acesso usando as permissões do Azure. As permissões podem ser herdadas (por exemplo, do grupo de recursos ou assinatura) ou diretamente atribuídas ao recurso. A permissão para os registros do recurso será automaticamente atribuída. O usuário não requer acesso ao workspace.
Qual é o escopo da permissão? Espaço de trabalho.
Os usuários com acesso ao workspace podem consultar todos os logs dele nas tabelas às quais têm permissões. Consulte Definir acesso de leitura no nível da tabela.		 Recurso do Azure.
Os usuários podem consultar logs de recursos específicos, grupos de recursos ou assinaturas aos quais têm acesso em qualquer workspace, mas não podem consultar logs de outros recursos.
Como um usuário pode acessar os registros? Selecione Logs no menu do Azure Monitor.

Selecione Logs no workspace do Log Analytics.

Nas pastas de trabalho do Azure Monitor quando o workspace do Log Analytics é selecionado para o tipo de recurso.		 Selecione Logs no menu do recurso do Azure. Os usuários terão acesso aos dados desse recurso.

Selecione Logs no menu do Azure Monitor. Os usuários terão acesso aos dados de todos os recursos aos quais eles têm acesso.

Selecione Logs nos workspaces do Log Analytics, se os usuários tiverem acesso ao workspace.

Nas pastas de trabalho do Azure Monitor quando o recurso é selecionado para o tipo de recurso.

Modo de controle de acesso

O modo de controle de acesso é uma configuração em cada workspace que define como as permissões são determinadas para ele.

  • Exigir permissões do workspace. Esse modo de controle não permite o RBAC granular do Azure. Para acessar o workspace, o usuário deve receber permissões para o workspace ou para as tabelas específicas.

    Se o usuário acessar o espaço de trabalho seguindo o modo de contexto de espaço de trabalho, ele terá acesso a todos os dados de qualquer tabela para a qual tenha sido concedido acesso. Se o usuário acessar o espaço de trabalho seguindo o modo de contexto de recurso, ele terá acesso somente a dados daquele recurso, em qualquer tabela para a qual tenha sido concedido acesso.

    Essa é a configuração padrão para todos os workspaces criados antes de março de 2019.

  • Usar permissões de recurso ou de workspace. Este modo de controle permite o RBAC granular do Azure. Os usuários podem receber acesso somente a dados associados aos recursos que podem visualizar, atribuindo a permissão do Azure read.

    Quando o usuário acessa o espaço de trabalho no modo de contexto de espaço de trabalho, as permissões de espaço de trabalho se aplicam. Quando o usuário acessa o espaço de trabalho no modo de contexto de recurso, somente as permissões de recurso são verificadas, e as permissões de espaço de trabalho são ignoradas. Habilite o RBAC do Azure para os usuários removendo-os das permissões do espaço de trabalho, e depois permitindo que suas permissões de recurso sejam reconhecidas.

    Essa é a configuração padrão para todos os workspaces criados depois de março de 2019.

    Observação

    Se o usuário tiver apenas permissões de recurso para o espaço de trabalho, ele só poderá acessar o espaço de trabalho usando o modo de contexto de recurso, pressupondo que o modo de acesso do espaço de trabalho esteja definido para Usar permissões de recurso ou de espaço de trabalho.

Configurar o modo de controle de acesso para um workspace

Exibir o modo de controle de acesso do workspace atual na página Visão geral do workspace no menu Log Analytics workspace.

Captura de tela que mostra o modo de controle de acesso do workspace.

Altere essa configuração na página Propriedades do workspace. A alteração da configuração será desabilitada se você não tiver permissões para configurar o workspace.

Captura de tela que mostra a alteração do modo de acesso ao workspace.

RBAC do Azure

O acesso a um workspace é gerenciado com o RBAC do Azure. Para conceder acesso ao workspace do Log Analytics usando as permissões do Azure, siga as etapas em Atribuir funções do Azure para gerenciar o acesso aos recursos da assinatura do Azure.

Permissões de espaço de trabalho

Cada workspace pode ter diversas contas associadas a ele. Cada conta pode ter acesso a diversos workspaces. A tabela a seguir lista as permissões do Azure para diferentes ações do workspace:

Ação Permissões do Azure necessárias Observações
Alterar a faixa de preços. Microsoft.OperationalInsights/workspaces/*/write
Criar um workspace no portal do Azure. Microsoft.Resources/deployments/*
Microsoft.OperationalInsights/workspaces/*
Exibir propriedades básicas do workspace e inserir o painel do workspace no portal. Microsoft.OperationalInsights/workspaces/read
Consultar logs usando qualquer interface. Microsoft.OperationalInsights/workspaces/query/read
Acessar todos os tipos de logs usando consultas. Microsoft.OperationalInsights/workspaces/query/*/read
Acessar uma tabela de registro específica, método herdado Microsoft.OperationalInsights/workspaces/query/<table_name>/read
Ler as chaves do workspace para permitir o envio de logs para ele. Microsoft.OperationalInsights/workspaces/sharedKeys/action
Criar ou atualizar uma regra de resumo Microsoft.Operationalinsights/workspaces/summarylogs/write
Adicionar e remover soluções de monitoramento. Microsoft.Resources/deployments/*
Microsoft.OperationalInsights/*
Microsoft.OperationsManagement/*
Microsoft.Automation/*
Microsoft.Resources/deployments/*/write

Essas permissões precisam ser concedidas no nível de assinatura ou no grupo de recursos.
Exibir dados nos blocos de solução Backup e Recuperação de Site. Administrador/coadministrador

Acessa recursos implantados usando o modelo de implantação clássico.
Executar um trabalho de pesquisa. Microsoft.OperationalInsights/workspaces/tables/write
Microsoft.OperationalInsights/workspaces/searchJobs/write
Restaurar dados da retenção de longo prazo. Microsoft.OperationalInsights/workspaces/tables/write
Microsoft.OperationalInsights/workspaces/restoreLogs/write
Criar ou editar a regra de Resumo Microsoft.Operationalinsights/workspaces/summarylogs/write

Funções predefinidas

Atribua usuários a essas funções para dar a eles acesso em escopos diferentes:

  • Assinatura: acesso a todos os espaços de trabalho na assinatura
  • Grupo de recursos: acesso a todos os workspaces no grupo de recursos
  • Recurso: acesso somente ao workspace especificado

Crie atribuições no nível do recurso (workspace) para garantir um controle de acesso preciso. Use as funções personalizadas para criar funções com as permissões específicas necessárias.

Observação

Para adicionar e remover usuários de uma função de usuário, é necessário ter as permissões Microsoft.Authorization/*/Delete e Microsoft.Authorization/*/Write.

Leitor de dados de monitoramento privilegiado

Fornece acesso a tabelas protegidas. É ideal para conceder acesso a tabelas protegidas sem fornecer acesso mais amplo ao workspace ou a outros dados. Para obter mais informações sobre tabelas protegidas, consulte Configurar tabelas protegidas em logs de Azure Monitor.

Tipo Permissão Descrição
Actions Microsoft.OperationalInsights/workspaces/query/read Executar consultas nos dados em um espaço de trabalho
Actions Microsoft.OperationalInsights/workspaces/read Leitura dos workspaces existentes
DataActions Microsoft.OperationalInsights/workspaces/tables/data/read Leitura do acesso aos dados para espaços de trabalho ou entidades de dados mais refinadas, como tabelas ou linhas específicas quando usadas com RBAC granular. Necessário para acessar tabelas protegidas.

Uma condição é incluída na atribuição de função que permite o acesso a todas as tabelas com um protectionLevel de Protected e General.

Leitor de dados do Log Analytics

Forneça as permissões mínimas necessárias para executar consultas e ver metadados com a função Leitor de Dados do Log Analytics. É um papel ideal para o RBAC granular, que usa condições de atribuição de função para controlar ainda mais o acesso aos dados no nível da tabela e da linha. Para obter mais informações, consulte RBAC granular.

Tipo Permissão Descrição
Actions Microsoft.OperationalInsights/workspaces/query/read Executar consultas nos dados em um espaço de trabalho
Actions Microsoft.OperationalInsights/workspaces/read Leitura dos workspaces existentes
DataActions Microsoft.OperationalInsights/workspaces/tables/data/read Leitura do acesso aos dados para workspaces ou entidades de dados mais refinadas, como tabelas ou linhas específicas quando usadas com RBAC granular

Leitor do Log Analytics

Os membros da função Leitor do Log Analytics podem visualizar todos os dados e configurações de monitoramento, incluindo a configuração do diagnóstico do Azure em todos os recursos do Azure. Permite que os membros vejam todos os dados sobre os recursos no escopo atribuído, incluindo:

  • Exibir e pesquisar todos os dados de monitoramento.
  • Exiba configurações de monitoramento, incluindo exibir a configuração do diagnóstico do Azure em todos os recursos do Azure.

A função de leitor do Log Analytics inclui as seguintes ações do Azure:

Tipo Permissão Descrição
Ação */read Capacidade de exibir todos os recursos do Azure e a configuração do recurso.
Inclui visualização:
- Status da extensão da máquina virtual.
- Configuração do diagnóstico do Azure nos recursos.
- Todas as propriedades e configurações de todos os recursos.

Para espaços de trabalho, permite permissões sem restrições para ler as configurações do espaço de trabalho e consultar dados. Veja opções mais granulares na lista anterior.
Ação Microsoft.Support/* Capacidade de abrir casos de suporte.
Nenhuma Ação Microsoft.OperationalInsights/workspaces/sharedKeys/read Impede a leitura da chave de workspace necessária para usar a API de coleta de dados e instalar os agentes. Isso impede que o usuário adicione recursos no workspace.

Colaborador do Log Analytics

Os membros da função Colaborador do Log Analytics podem:

  • Leia todos os dados de monitoramento concedidos pela função Leitor do Log Analytics.
  • Editar configurações de monitoramento dos recursos do Azure, incluindo o seguinte:
    • Adicionar a extensão da VM às VMs.
    • Configurar o diagnóstico do Azure em todos os recursos do Azure.
  • Criar e configurar contas de Automação. A permissão precisa ser concedida no nível do grupo de recursos ou da assinatura.
  • Adicionar e remover soluções de gerenciamento. A permissão precisa ser concedida no nível do grupo de recursos ou da assinatura.
  • Ler chaves da conta de armazenamento.
  • Configurar a coleta de logs no Armazenamento do Azure.
  • Configurar regras de exportação de dados.
  • Executar um trabalho de pesquisa.
  • Restaurar dados da retenção de longo prazo.

Aviso

Você pode usar a permissão para adicionar uma extensão da máquina virtual a uma máquina virtual para ter controle total sobre uma máquina virtual.

A função de Colaborador do Log Analytics inclui as seguintes ações do Azure:

Permissão Descrição
*/read Capacidade de exibir todos os recursos do Azure e a configuração do recurso.

Inclui visualização:
- Status da extensão da máquina virtual.
- Configuração do diagnóstico do Azure nos recursos.
- Todas as propriedades e configurações de todos os recursos.

Para espaços de trabalho, permite permissões sem restrições para ler as configurações do espaço de trabalho e consultar dados. Veja opções mais granulares na lista anterior.
Microsoft.Automation/automationAccounts/* Capacidade de criar e configurar contas de Automação do Azure, incluindo adicionar e editar runbooks.
Microsoft.ClassicCompute/virtualMachines/extensions/*
Microsoft.Compute/virtualMachines/extensions/*		 Adicione, atualize e remova extensões de máquina virtual, incluindo agentes herdados.
Microsoft.ClassicStorage/storageAccounts/listKeys/action
Microsoft.Storage/storageAccounts/listKeys/action		 Exiba a chave da conta de armazenamento. Necessário para configurar o Log Analytics a fim de ler os logs das contas do Armazenamento do Azure.
Microsoft.Insights/alertRules/* Adicionar, atualizar e remover as regras de alerta.
Microsoft.Insights/diagnosticSettings/* Adicionar, atualizar e remover as configurações de diagnóstico nos recursos do Azure.
Microsoft.OperationalInsights/* Adicionar, atualizar e remover a configuração dos workspaces do Log Analytics. Para editar as configurações avançadas do workspace, o usuário precisa de Microsoft.OperationalInsights/workspaces/write.
Microsoft.OperationsManagement/* Adicionar e remover soluções de gerenciamento.
Microsoft.Resources/deployments/* Crie e exclua implantações. Necessário para adicionar e remover soluções, workspaces e contas de Automação.
Microsoft.Resources/subscriptions/resourcegroups/deployments/* Crie e exclua implantações. Necessário para adicionar e remover soluções, workspaces e contas de Automação.

Permissões de recurso

Para ler ou enviar dados para um workspace no contexto do recurso, você precisará destas permissões no recurso:

Permissão Descrição
Microsoft.Insights/logs/*/read Capacidade de exibir todos os dados de log do recurso
Microsoft.Insights/logs/<tableName>/read
Exemplo:
Microsoft.Insights/logs/Heartbeat/read		 Capacidade de exibir uma tabela específica para esse recurso, método herdado
Microsoft.Insights/diagnosticSettings/write Habilidade de configurar as definições de diagnóstico para permitir a criação de logs para este recurso

Em geral, a permissão /read é concedida por uma função que inclui permissões */read ou* como as funções internas de Leitor e Colaborador. Funções personalizadas que incluem ações específicas ou funções internas dedicadas podem não incluir essa permissão.

Exemplos de função personalizada

Além de usar as funções internas para o workspace do Log Analytics, é possível criar funções personalizadas para atribuir permissões mais granulares. A seguir, temos alguns exemplos comuns.

Exemplo 1: conceder a um usuário permissão para ler dados de log a partir dos recursos dele.

  • Configurar o modo de controle de acesso do workspace para usar permissões de workspace ou recurso.
  • Conceda aos usuários as permissões */read ou Microsoft.Insights/logs/*/read a seus recursos. Se eles já tiverem recebido a função de Leitor do Log Analytics no workspace, será o suficiente.

Exemplo 2: conceder a um usuário permissão para ler dados de log a partir dos recursos dele e executar um trabalho de pesquisa.

  • Configurar o modo de controle de acesso do workspace para usar permissões de workspace ou recurso.
  • Conceda aos usuários as permissões */read ou Microsoft.Insights/logs/*/read a seus recursos. Se eles já tiverem recebido a função de Leitor do Log Analytics no workspace, será o suficiente.
  • Conceda aos usuários as seguintes permissões no workspace:
    • Microsoft.OperationalInsights/workspaces/tables/write: necessário para poder criar a tabela de resultados da pesquisa (_SRCH).
    • Microsoft.OperationalInsights/workspaces/searchJobs/write: necessário para a execução da operação de pesquisa.

Exemplo 3: conceder a um usuário permissão para ler dados de log dos recursos dele e configurar esses recursos para enviar logs ao workspace do Log Analytics.

  • Configurar o modo de controle de acesso do workspace para usar permissões de workspace ou recurso.
  • Conceda aos usuários as seguintes permissões no workspace: Microsoft.OperationalInsights/workspaces/read e Microsoft.OperationalInsights/workspaces/sharedKeys/action. Com essas permissões, os usuários não podem executar nenhuma consulta no nível do workspace. Eles só podem enumerar o workspace e usá-lo como um destino para configurações de diagnóstico ou configuração do agente.
  • Conceda aos usuários as seguintes permissões para os recursos deles: Microsoft.Insights/logs/*/read e Microsoft.Insights/diagnosticSettings/write. Se eles já foram atribuídos à função de Colaborador do Log Analytics, à função de Leitor, ou receberam permissões */read nesse recurso, isso é suficiente.

Exemplo 4: conceder a um usuário permissão para ler dados de log dos recursos dele, mas não enviar logs para o workspace do Log Analytics, ou ler eventos de segurança.

  • Configurar o modo de controle de acesso do workspace para usar permissões de workspace ou recurso.
  • Conceda aos usuários as seguintes permissões para os recursos deles: Microsoft.Insights/logs/*/read.
  • Adicione a seguinte NonAction para impedir que os usuários leiam o tipo de SecurityEvent: Microsoft.Insights/logs/SecurityEvent/read. A NonAction deve estar na mesma função personalizada que a ação que fornece a permissão de leitura (Microsoft.Insights/logs/*/read). Se o usuário herdar a ação de leitura de outra função atribuída ao recurso ou à assinatura ou grupo de recursos, ele poderá ler todos os tipos de log. Isso também será verdadeiro se eles herdarem */read, que existe, por exemplo, com a função de Leitor ou Colaborador.

Exemplo 5: conceder a um usuário permissão para ler dados de log de seus recursos e de todos os dados de log da solução de Gerenciamento de Atualizações e da entrada e leitura no Microsoft Entra no workspace do Log Analytics.

  • Configurar o modo de controle de acesso do workspace para usar permissões de workspace ou recurso.
  • Conceda aos usuários as seguintes permissões no workspace:
    • Microsoft.OperationalInsights/workspaces/read: necessário para que o usuário possa enumerar o workspace e abrir o painel dele no portal do Azure
    • Microsoft.OperationalInsights/workspaces/query/read: necessário para todo usuário que pode executar consultas
    • Microsoft.OperationalInsights/workspaces/query/SigninLogs/read: para poder ler os logs de entrada do Microsoft Entra
    • Microsoft.OperationalInsights/workspaces/query/Update/read: para poder ler os logs da solução Gerenciamento de Atualizações
    • Microsoft.OperationalInsights/workspaces/query/UpdateRunProgress/read: para poder ler os logs da solução Gerenciamento de Atualizações
    • Microsoft.OperationalInsights/workspaces/query/UpdateSummary/read: para poder ler os logs do Gerenciamento de Atualizações
    • Microsoft.OperationalInsights/workspaces/query/Heartbeat/read: necessário para usar as soluções de Gerenciamento de Atualizações
    • Microsoft.OperationalInsights/workspaces/query/ComputerGroup/read: necessário para usar as soluções de Gerenciamento de Atualizações
    • Conceda aos usuários as seguintes permissões para seus recursos: */read, atribuído à função de Leitor, ou Microsoft.Insights/logs/*/read

Exemplo 6: Impedir um usuário de restaurar dados da retenção de longo prazo.

  • Configurar o modo de controle de acesso do workspace para usar permissões de workspace ou recurso.
  • Atribua a função de Colaborador do Log Analytics.
  • Adicione a seguinte NonAction para impedir que os usuários restaurem dados da retenção de longo prazo: Microsoft.OperationalInsights/workspaces/restoreLogs/write

Definir o RBAC granular

Esse é o método recomendado para controle de acesso em nível de tabela e linha. Para obter mais informações, consulte RBAC (controle de acesso baseado em função) granular no Azure Monitor.

Definir acesso de leitura no nível da tabela

O RBAC granular tem todos os recursos de acesso de leitura no nível da tabela. A melhor prática para a nova configuração de controle de acesso é implementar o RBAC granular. Para fazer referência ao método que só faz o controle no nível da tabela, consulte Gerenciar o acesso de leitura no nível da tabela.

Tabelas protegidas (versão prévia)

As tabelas protegidas fornecem um modelo de isolamento de "negação por padrão" para telemetria sensível no espaço de trabalho do Log Analytics. Use tabelas protegidas para restringir o acesso a dados que contêm PII, PHI, registros financeiros, prompts de IA e respostas ou outro conteúdo regulamentado.

Cada tabela Log Analytics tem uma protectionLevel propriedade com dois valores possíveis:

Nível de proteção Behavior
General (padrão) Acesso padrão. Usuários com Leitor, Leitor de Monitoramento ou outras funções de leitura podem consultar esta tabela.
Protected Acesso restrito. Funções padrão não privilegiadas não podem acessar os dados. Somente as funções que usam o DataActions compatível com acesso explícito concedido por meio de condições ABAC no atributo protectionLevel obtêm acesso.

Quando você define uma tabela como Protected, os usuários que anteriormente tinham acesso por meio de funções de leitura no nível do workspace ou do recurso não veem mais dados dessa tabela, a menos que recebam uma permissão explícita.

Como funciona o acesso protegido à tabela

O acesso a tabelas protegidas usa a mesma estrutura de condição ABAC que o RBAC granular, com condições direcionadas ao protectionLevel atributo. Azure Monitor fornece uma função interna projetada para este cenário:

O Leitor de Dados de Monitoramento Privilegiado concede acesso a todas as tabelas protegidas. Atribua essa função em qualquer escopo (assinatura, grupo de recursos, workspace ou recurso). Funciona com Microsoft Entra Privileged Identity Management (PIM) para acesso com tempo limitado e just-in-time. O portal do Azure não dá suporte para adicionar condições ABAC a essa função porque essa função já tem condições internas. Para adicionar condições personalizadas, use modelos do ARM, a API REST ou outros métodos programáticos.

Para obter mais acesso direcionado, crie funções personalizadas com condições ABAC que combinam o nome da tabela e os filtros de nível de proteção. Para conhecer as etapas de configuração, consulte Configurar tabelas protegidas nos Logs do Azure Monitor.

Métodos de acesso

O acesso protegido à tabela usa atributos DataActions diferentes e ABAC, dependendo da consulta ser executada no contexto do espaço de trabalho ou no contexto de recurso.

Acesso com foco no espaço de trabalho:

Component Valor
DataActions Microsoft.OperationalInsights/workspaces/tables/data/read
Atributo ABAC Microsoft.OperationalInsights/workspaces/tables:protectionLevel

Acesso centrado em recursos:

Component Valor
DataActions Microsoft.Insights/logs/data/read
  • Não ocorrem erros graves para consultas não autorizadas. As consultas em tabelas protegidas são bem-sucedidas, mas não retornam dados quando o chamador não tem acesso. A consulta não retorna um erro 400 ou 403.

Modo DataActionsOnly

Habilite o modo DataActionsOnly em um espaço de trabalho definindo a propriedade dataAuthorizationMode. Quando habilitado, as funções de plano de controle, como Leitor e Leitor de Monitoramento (e qualquer função personalizada usando ações do painel de controle para conceder acesso), não concedem mais acesso a dados implícitos. Somente DataActions fornecem acesso aos dados de log. Essa configuração fortalece as tabelas protegidas fechando o caminho em que as permissões do plano de controle podem ignorar as restrições do plano de dados.

Para ver as etapas de configuração, consulte Ativar o modo DataActionsOnly.

Behavior

Tenha os seguintes detalhes de comportamento em mente ao trabalhar com tabelas protegidas:

  • Não ocorrem erros graves para consultas não autorizadas. As consultas em tabelas protegidas são bem-sucedidas, mas não retornam dados quando o chamador não tem acesso. A consulta não retorna um erro 400 ou 403.
  • O esquema permanece visível. Os metadados de tabela, incluindo nomes e tipos de coluna, são acessíveis independentemente do nível de proteção. Somente as linhas de dados são restritas.
  • As operações de movimentação de dados são bloqueadas. A exportação, o compartilhamento, os trabalhos de pesquisa e outras operações que movem dados de tabelas protegidas falharão, a menos que o chamador tenha acesso total às tabelas relevantes.
  • As regras de alerta exigem identidade gerenciada para acesso protegido à tabela. As regras de alerta baseadas em recursos e no Application Insights continuam sendo executadas, mas perdem o acesso a tabelas protegidas e a qualquer espaço de trabalho com o modelo de autorização definido como apenas DataAction. Os alertas centrados no workspace não são afetados. Para consultar tabelas protegidas a partir de regras de alerta, configure a regra de alerta para usar uma identidade gerenciada e conceder a essa identidade a função adequada com condições ABAC.
  • As funções personalizadas precisam de condições ABAC explícitas. As funções personalizadas poderão conceder acesso a tabelas protegidas se elas incluírem qualquer uma das funções compatíveis DataActions. A atribuição de função deve incluir uma condição ABAC que referencie explicitamente o protectionLevel atributo com o acesso desejado definido. Sem essa condição, a atribuição pode conceder acesso aos dados protegidos.

Limitações (pré-visualização)

As seguintes limitações se aplicam durante a versão preliminar:

Limitation Detalhes
Granularidade apenas por espaço de trabalho Configurar o nível de proteção para cada tabela em um espaço de trabalho. Para isolar os dados de cada recurso que possui dados em vários espaços de trabalho, defina a tabela como protegida em cada espaço de trabalho.
Não há suporte para consultas entre espaços de trabalho As funções app() e workspace() para consultas entre espaços de trabalho ainda não oferecem suporte a tabelas protegidas.

Conteúdo relacionado

Próximas etapas

  • Última atualização em