为 Microsoft Sentinel 中的多个工作区和租户做好准备

重要

2027 年 3 月 31 日之后，Azure 门户将不再支持Microsoft Sentinel，并且仅在Microsoft Defender门户中可用。 在Azure 门户中使用Microsoft Sentinel的所有客户都将重定向到 Defender 门户，并且仅在 Defender 门户中使用Microsoft Sentinel。

如果仍在Azure 门户中使用Microsoft Sentinel，建议开始规划到 Defender 门户的转换，以确保平稳过渡，并充分利用 Microsoft Defender 提供的统一安全操作体验。

若要准备部署，需要确定多个工作区体系结构是否与环境相关。 本文介绍如何Microsoft Sentinel跨多个工作区和租户进行扩展，以便确定此功能是否适合组织的需求。 本文是Microsoft Sentinel部署指南的一部分。

根据用于跨工作区扩展 Microsoft Sentinel 的门户，使用以下设置说明集之一：

Portal	参考资料
Microsoft Defender 门户	- Defender 门户中的多个Microsoft Sentinel工作区 - Microsoft Defender 多租户管理
Azure 门户	- 将 Microsoft Sentinel 扩展到多个工作区和租户 - 使用工作区管理器集中管理为Microsoft Sentinel启用的多个 Log Analytics 工作区

需要使用多个工作区

载入Microsoft Sentinel时，第一步是选择 Log Analytics 工作区。 虽然可以通过单个工作区获得Microsoft Sentinel体验的全部好处，但在某些情况下，你可能希望扩展工作区以跨工作区和租户查询和分析数据。

此表列出了其中一些方案，并建议如何在方案中使用单个工作区（如果可能）。

要求	说明	减少工作区数量的方法
主权和法规遵从性	工作区绑定到特定区域。 若要将数据保存在不同的Azure地理位置以满足法规要求，请将数据拆分为单独的工作区。 在Microsoft Sentinel中，数据主要在同一地理位置或区域中存储和处理，但有一些例外，例如，使用利用Microsoft机器学习的检测规则时。 在这种情况下，数据可能会复制到工作区地理位置之外进行处理。
数据所有权	数据所有权的边界（例如子公司或关联公司）最好使用单独的工作区来划分。
多个Azure租户	Microsoft Sentinel 仅支持在其自身的 Microsoft Entra 租户边界内，从 Microsoft 和 Azure SaaS 资源中收集数据。 因此，每个Microsoft Entra租户都需要单独的工作区。
精细数据访问控制	组织可能需要允许组织内部或外部的不同组访问Microsoft Sentinel收集的某些数据。 例如： 资源所有者对其资源相关数据的访问 区域或附属 SOC 访问其组织各个部分的相关数据	使用资源 Azure RBAC 或表级 Azure RBAC
细粒度保留设置	从历史上看，多个工作区是为不同数据类型设置不同保留期的唯一方法。 由于引入了表级保留设置，在许多情况下不再需要此操作。	使用 表级保留设置 或自动执行 数据删除
拆分计费	通过将工作区置于不同的订阅中，可以分别向不同对象计费。	使用情况报告和交叉充电
遗留架构	使用多个工作区可能源于一个历史设计，该设计考虑到了不再成立的限制或最佳做法。 它也可能是一种可修改的、较为随意的设计选择，以更好地适配 Microsoft Sentinel。 示例包括： 部署 Microsoft Defender for Cloud 时使用每个订阅的默认工作区 需要精细的访问控制或保留设置，其解决方案相对较新	重新构建工作区

在确定要使用多少个租户和工作区时，请考虑以下事实：Microsoft Sentinel 的大多数功能都基于单个工作区或 Microsoft Sentinel 实例运行，并且 Microsoft Sentinel 会摄取该工作区中存储的所有日志。

托管安全服务提供程序 (MSSP)

对于 MSSP，许多（如果不是所有）上述要求都适用，因此，跨租户创建多个工作区是最佳做法。 具体而言，我们建议为每个 Microsoft Entra 租户至少创建一个工作区，以支持仅能在其所属 Microsoft Entra 租户内运行的内置服务间数据连接器。

• 基于诊断设置的连接器都无法连接到不位于资源所在租户的工作区。 这适用于连接器，例如Azure 防火墙、Azure存储、Azure活动或Microsoft Entra ID。

• 合作伙伴数据连接器通常基于 API 或代理收集，因此不与特定的 Microsoft Entra 租户关联。

使用 Azure Lighthouse 来帮助管理不同租户中的多个 Microsoft Sentinel 实例。

Microsoft Sentinel多个工作区体系结构

正如上述要求所表明，在某些情况下，单个 SOC 需要集中管理和监控已启用 Microsoft Sentinel 的多个 Log Analytics 工作区，这些工作区甚至可能跨越多个 Microsoft Entra 租户。

• MSSP Microsoft Sentinel 服务。
• 一个为多个子公司提供服务的全球 SOC，而每个子公司都拥有自己的本地 SOC。
• 一个用于监控组织内多个 Microsoft Entra 租户的 SOC。

为了解决这些情况，Microsoft Sentinel提供了多个工作区功能，可实现集中监视、配置和管理，从而在 SOC 涵盖的所有方面提供单一管理平台。 此图显示了此类用例的示例体系结构。

与完全集中的模型（所有数据都复制到单个工作区）比较，此模型具有显著优势：

• 灵活地将角色分配到全球和本地的 SOC，或 MSSP 的客户。
• 减少了有关数据所有权、数据隐私和法规合规性的挑战。
• 网络延迟和费用最低。
• 轻松实现新增子公司或客户的接入与移除。

后续步骤

本文介绍了Microsoft Sentinel如何跨多个工作区和租户扩展。

确定数据连接器的优先级