Управление журналами потоков NSG с помощью портал Azure
Внимание
30 сентября 2027 г. журналы потоков безопасности сети (NSG) будут прекращены. В рамках этого выхода на пенсию вы больше не сможете создавать новые журналы потоков NSG с 30 июня 2025 года. Мы рекомендуем перенести журналы потоков виртуальной сети, которые преодолевают ограничения журналов потоков NSG. После выхода на пенсию аналитика трафика, включенная с помощью журналов потоков NSG, больше не будет поддерживаться, а существующие ресурсы журналов потоков NSG в подписках будут удалены. Однако записи журналов потоков NSG не будут удалены и будут продолжать следовать соответствующим политикам хранения. Дополнительные сведения см. в официальном объявлении.
Ведение журнала потоков группы безопасности сети — это функция Azure Наблюдатель за сетями, которая позволяет записывать сведения о IP-трафике, проходящим через группу безопасности сети. Дополнительные сведения о ведении журнала потоков группы безопасности сети см. в обзоре журналов потоков NSG.
В этой статье вы узнаете, как создавать, изменять, отключать или удалять журнал потоков NSG с помощью портал Azure. Вы можете узнать, как управлять журналом потоков NSG с помощью PowerShell, Azure CLI, REST API или шаблона ARM.
Необходимые компоненты
Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .
Поставщик аналитики. Дополнительные сведения см. в разделе Register Insights Provider.
Группа безопасности сети. Если необходимо создать группу безопасности сети, см. статью "Создание, изменение" или удаление группы безопасности сети.
Учетная запись хранения Azure. Если вам нужно создать учетную запись хранения, см. статью "Создание учетной записи хранения с помощью портал Azure".
Регистрация поставщика Microsoft Insights
Поставщик Microsoft.Insights должен быть зарегистрирован для успешного передачи трафика журнала через группу безопасности сети. Если вы не уверены , зарегистрирован ли поставщик Microsoft.Insights , проверьте его состояние, выполнив следующие действия.
В поле поиска в верхней части портала введите подписки. Выберите подписки из результатов поиска.
Выберите подписку Azure, для которой нужно включить поставщика в подписках.
В разделе Параметры выберите Поставщики ресурсов.
Введите аналитические сведения в поле фильтра.
Убедитесь, что состояние поставщика — Зарегистрировано. Если состояние не зарегистрировано, выберите поставщик Microsoft.Insights и нажмите кнопку Register(Регистрация).
Создание журнала потока
Создайте журнал потоков для группы безопасности сети. Этот журнал потоков NSG сохраняется в учетной записи хранения Azure.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
В Наблюдатель за сетями | Журналы потоков, нажмите кнопку "Создать или создать журнал потока" синим цветом.
На вкладке "Основы" в журнале потоков введите или выберите следующие значения:
Параметр Значение Сведения о проекте Отток подписок Выберите подписку Azure для группы безопасности сети, которую вы хотите регистрировать. Тип журнала потока Выберите группу безопасности сети и нажмите кнопку "Выбрать целевой ресурс".
Выберите группу безопасности сети, которую требуется выполнить, а затем нажмите кнопку "Подтвердить выбор".Имя журнала потоков Введите имя журнала потоков или оставьте имя по умолчанию. портал Azure используется {ResourceName}-{ResourceGroupName}-flowlog в качестве имени по умолчанию для журнала потоков. myNSG-myResourceGroup-flowlog — это имя по умолчанию, используемое в этой статье. Сведения об экземпляре Отток подписок Выберите подписку Azure учетной записи хранения. Учетные записи хранения Выберите учетную запись хранения, в которую нужно сохранить журналы потоков. Если вы хотите создать новую учетную запись хранения, выберите "Создать новую учетную запись хранения". Период удержания (в днях) Введите время хранения для журналов (этот параметр доступен только с учетными записями хранения общего назначения версии 2 уровня "Стандартный"). Введите 0 , если вы хотите сохранить данные журналов потоков в учетной записи хранения навсегда (пока не удалите его из учетной записи хранения). Сведения о ценах см. в служба хранилища Azure ценах. 
Примечание.
Если учетная запись хранения находится в другой подписке, группа безопасности сети и учетная запись хранения должны быть связаны с тем же клиентом Microsoft Entra. Используемая учетная запись для каждой подписки должна иметь необходимые разрешения.
Чтобы включить аналитику трафика, нажмите кнопку "Далее: аналитика" или перейдите на вкладку "Аналитика". Введите или выберите следующие значения:
Параметр Значение Версия журналов потоков Выберите версию журнала потока группы безопасности сети, доступны следующие варианты: версия 1 и версия 2. Версия по умолчанию — 2. Дополнительные сведения см. в разделе "Ведение журнала потоков" для групп безопасности сети. Включение Аналитики трафика Установите флажок, чтобы включить аналитику трафика для журнала потоков. Интервал обработки аналитики трафика Выберите нужный интервал обработки: каждые 1 час и каждые 10 минут. Интервал обработки по умолчанию — каждые час. Дополнительные сведения см. в разделе "Аналитика трафика". Отток подписок Выберите подписку Azure рабочей области Log Analytics. Рабочая область Log Analytics Выберите рабочую область Log Analytics. По умолчанию портал Azure создает рабочую область DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics в группе ресурсов defaultresourcegroup-{Region}. 
Примечание.
Сведения о создании и выборе рабочей области Log Analytics, отличной от рабочей области по умолчанию, см. в статье "Создание рабочей области Log Analytics"
Выберите Review + create (Просмотреть и создать).
Проверьте параметры, а затем нажмите кнопку Создать.
Включение или отключение аналитики трафика
Включите аналитику трафика для журнала потоков для анализа данных журнала потоков. Аналитика трафика предоставляет аналитические сведения о шаблонах трафика. Вы можете включить или отключить аналитику трафика для журнала потоков в любое время.
Чтобы включить аналитику трафика для журнала потоков, выполните следующие действия.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
В Наблюдатель за сетями | Журналы потоков выберите журнал потока, для которого требуется включить аналитику трафика.
В параметрах журналов потоков установите флажок "Включить аналитику трафика".
Задайте следующие значения:
Параметр Значение Отток подписок Выберите подписку Azure рабочей области Log Analytics. Рабочая область Log Analytics Выберите рабочую область Log Analytics. По умолчанию портал Azure создает рабочую область DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics в группе ресурсов defaultresourcegroup-{Region}. Интервал ведения журнала трафика Выберите нужный интервал обработки: каждые 1 час и каждые 10 минут. Интервал обработки по умолчанию — каждые час. Дополнительные сведения см. в разделе "Аналитика трафика". 
Выберите Сохранить, чтобы применить изменения.
Чтобы отключить аналитику трафика для журнала потоков, выполните предыдущие действия 1–3, а затем снимите флажок "Включить аналитику трафика" и нажмите кнопку "Сохранить".
Изменение параметров журнала потоков
Вы можете изменить параметры журнала потоков после его создания. Например, можно изменить версию журнала потоков или отключить аналитику трафика.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
В Наблюдатель за сетями | Журналы потоков выберите журнал потоков, который требуется изменить.
В параметрах журналов потоков можно изменить любой из следующих параметров:
Параметр Значение Учетная запись хранения Отток подписок Измените подписку Azure учетной записи хранения, которую вы хотите использовать. Storage account Измените учетную запись хранения, в которую нужно сохранить журналы потоков. Если вы хотите создать новую учетную запись хранения, выберите "Создать новую учетную запись хранения". Период удержания (в днях) Измените время хранения в учетной записи хранения. Введите 0 , если вы хотите сохранить данные журналов потоков в учетной записи хранения навсегда (пока вы не удалите данные из учетной записи хранения вручную). Аналитика трафика Включение Аналитики трафика Включите или отключите аналитику трафика, проверив или снимите флажок. Отток подписок Измените подписку Azure рабочей области Log Analytics, которую вы хотите использовать. Рабочая область Log Analytics Измените рабочую область Log Analytics, на которую вы хотите сохранить журналы потоков (если аналитика трафика включена). Интервал ведения журнала трафика Измените интервал обработки аналитики трафика (если включена аналитика трафика). Доступные варианты: один час и 10 минут. Интервал обработки по умолчанию — каждые час. Дополнительные сведения см. в разделе "Аналитика трафика". 
Нажмите кнопку "Сохранить ", чтобы применить изменения или отмену , чтобы выйти, не сохраняя их.
Вывод списка всех журналов потоков
Вы можете перечислить все журналы потоков в подписке или группе подписок. Вы также можете перечислить все журналы потоков в регионе.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
Выбор подписки равен фильтру, чтобы выбрать одну или несколько подписок. Другие фильтры, такие как Расположение, можно применить для перечисления всех журналов потоков в регионе.
Просмотр сведений о ресурсе журнала потоков
Вы можете просмотреть сведения о журнале потоков в подписке или группе подписок. Вы также можете перечислить все журналы потоков в регионе.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
В Наблюдатель за сетями | Журналы потоков выберите журнал потока, который вы хотите просмотреть.
В параметрах журналов потока можно просмотреть параметры ресурса журнала потоков.
Нажмите кнопку "Отмена" , чтобы закрыть страницу параметров без внесения изменений.
Скачивание журнала потоков
Место хранения журнала потоков определяется при его создании. Чтобы получить доступ к журналам потоков и скачать их из учетной записи хранения, можно использовать обозреватель служба хранилища Azure. Дополнительные сведения см. в статье "Начало работы с Обозреватель службы хранилища".
Файлы журнала потоков NSG, сохраненные в учетной записи хранения, соответствуют этому пути:
https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
Сведения о структуре журнала потоков см . в формате журнала потоков NSG.
Отключение журнала потока
Вы можете временно отключить журнал потоков NSG, не удалив его. Отключение журнала потока останавливает ведение журнала потоков для связанной группы безопасности сети. Однако ресурс журнала потоков остается со всеми параметрами и связями. Вы можете повторно включить его в любое время, чтобы возобновить ведение журнала потоков для настроенной группы безопасности сети.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
В Наблюдатель за сетями | Журналы потоков установите флажок журнала потока, который требуется отключить.
Выберите Отключить.
Примечание.
Если аналитика трафика включена для журнала потоков, ее необходимо отключить, прежде чем отключить журнал потоков. Сведения об отключении аналитики трафика см. в разделе "Изменение журнала потоков".
Удаление журнала потока
Вы можете окончательно удалить журнал потоков NSG. При удалении журнала потоков удаляются все его параметры и связи. Чтобы начать ведение журнала потоков для той же группы безопасности сети, необходимо создать для него новый журнал потоков.
В поле поиска в верхней части портала введите наблюдателя за сетями. Выберите Наблюдатель за сетями из результатов поиска.
В разделе "Журналы" выберите журналы потоков.
В Наблюдатель за сетями | Журналы потоков установите флажок журнала потока, который требуется удалить.
Выберите команду Удалить.
Примечание.
Удаление журнала потока не удаляет данные журнала потоков из учетной записи хранения. Данные журналов потоков, хранящиеся в учетной записи хранения, соответствуют настроенной политике хранения или сохраняются в учетной записи хранения до тех пор, пока не будут удалены вручную (если политика хранения не настроена).
Связанный контент
- Сведения об использовании встроенных политик Azure для аудита или развертывания журналов потоков NSG см. в статье "Управление журналами потоков NSG с помощью Политика Azure".
- Дополнительные сведения об аналитике трафика см. в статье "Аналитика трафика".