本文將帶你了解如何從 Microsoft Defender 入口網站將租戶導入 Microsoft Sentinel 資料湖。 在開始之前，你需要有一個連接到 Defender 入口網站的 Microsoft Sentinel 工作空間作為主要的 SIEM 工作空間，以及所需的角色。 導入流程為一次性設定，同時啟用圖形功能。
將租用戶上線至 Microsoft Sentinel 資料湖的作業只會執行一次，且從 Microsoft Defender 入口網站開始。 上線程序會在上線程序期間指定的訂用帳戶中，為您的租用戶建立新的 Microsoft Sentinel 資料湖。 Graph 啟用已包含在上線流程中。 如果你在公開預覽時已經接入資料湖，系統會自動升級到一般可用的資料湖和圖表。
這很重要
請勿刪除包含您 Microsoft Sentinel 資料湖的訂閱或資源群組。 如果您這麼做，資料湖相關體驗將會暫停，並在 3 天後停止擷取。 要恢復與資料湖相關的體驗與擷取，您必須依照本文所述的導入程序 重新設定資料湖 。 所有先前匯入資料湖的資料，在你重新設定資料湖後都會被還原並可用。
注意事項
你永遠會有一個資料湖，可以搭配多個 Microsoft 安全性 產品使用。 在上線期間，我們會檢查並自動使用您現有的資料湖。 當您在資料湖中擷取並儲存安全資料時，這些資料可以同時用於多個 Microsoft 安全性 產品。
在開始資料湖設定前，請確保您的 Microsoft Sentinel 工作空間已連接到 Defender 入口網站，並設定為主要的 SIEM 工作空間。 在 Defender 入口網站中，導覽到 SIEM 工作區，選擇你的工作區，選擇連接工作區，並設為主要工作區。 如果你看不到工作區，或訂閱篩選器顯示為未定義，請確認你具有必要的角色。
請依照以下步驟從 Defender 入口網站接入 Microsoft Sentinel 資料湖：
請在 Microsoft Defender 入口網站登入您的 Defender 入口網站。
瀏覽至 系統>設定>Microsoft Sentinel>資料湖，然後選取 開始設定。
如果你沒有適當的角色來設定資料湖，系統會顯示側邊面板，指出你沒有所需的權限。 請要求你的管理員完成入職流程。
如果你擁有所需權限，系統會顯示設定側邊面板。 選擇訂閱與資源群組以啟用 Microsoft Sentinel 資料湖的計費。 選擇 設定資料湖。
注意事項
資料湖在為特定 Azure 訂閱與資源群組配置後，無法遷移到其他訂閱或資源群組。
設定流程開始，並顯示以下側面板。 入職流程可能需要長達60分鐘完成。 你可以在程序執行時關閉設定面板。
回到設定頁面查看入職流程的狀態。
一旦導入流程完成，資料湖設定頁面會確認設定已完成。
開始使用資料湖體驗。 瀏覽至 Defender 入口網站中的 Sentinel。 例如，選取 圖表 以開啟威脅搜捕體驗，利用互動式圖表主動找出威脅和風險來源。 選擇查詢資料湖以開啟資料湖探索的 KQL 查詢編輯器，讓你能使用 KQL 探索和分析 Microsoft Sentinel 資料湖中的資料。 欲了解更多資訊，請參閱 資料湖探索、KQL 查詢。
注意事項
在完成上線至 Microsoft Sentinel 資料湖後建立的 Azure Monitor 工作區，不會自動新增至資料湖。 若要新增工作區，請開啟支援票證。
驗證導入流程
入職流程完成後，請使用以下檢查確認設定成功：
- 主要工作區是連在一起的。 在 Defender 入口網站中，於 SIEM 工作區 下找到你的 Sentinel 工作區，並確認其標示為 已連線 和 主要。
- 資料湖設定載入時沒有錯誤。 進入系統>設定>Microsoft SentinelData>lake，確認頁面顯示你已設定的訂閱與資源群組。
疑難排解
如果你在設定過程中遇到任何問題，請參考以下的故障排除建議：
- 請確認您具有上線至 Microsoft Sentinel 資料湖所需的角色。
- 請確認您所選的訂閱與資源群組是有效且可存取的。
- 請確認你的 Azure 政策是否允許建立新資源以啟用你的 Microsoft Sentinel 資料湖。
- 新啟用的資料表或已在不同層級間移動的資料，會在入職流程完成後 90 至 120 分鐘內提供。
以下是您在入職過程中可能遇到的錯誤。
DL102：因區域資源不足無法完成設置
- 錯誤：無法完成設定。
- 說明：在配置時，該區域缺乏 Azure 資源。
- 解決：選擇重試按鈕重新開始設定。
DL103：因阻擋 Azure 政策無法完成設定
- 錯誤：無法完成設定。
- 說明：已啟用某些政策，阻止建立啟用資料湖所需的 Azure 管理資源。
- 解決方法：請檢查您的 Azure Microsoft Sentinel 資料湖上線原則例外狀況，以允許建立 Azure 受控資源。
租用戶完成上線後，無法上線新的工作區
如果在租戶已經上線後，重新建立的工作空間無法重新上線，請使用以下指引。
- 情境：你刪除並重新建立工作區，然後嘗試將新建立的工作區接入資料湖。
- 解決方法：租用戶上線至資料湖後，不會自動上線其他工作區。 確保工作區連接至 Defender 入口網站，且與最初加入資料湖的工作區位於同一區域。 如果你需要協助，請 提出支援請求。
特定區域的容量限制
若因區域容量限制導致入職失敗，請使用以下變通方法。
症狀：由於容量限制，特定區域的入職無法完成。
解決方法：使用替代 支援的區域。
Warning
刪除 Log Analytics 工作區可能導致永久資料遺失。 請確保你有適當的備份，或在繼續前接受資料遺失。
刪除目前的 Log Analytics 工作區，在不同地區（例如美國中部）建立新工作區，新增 Microsoft Sentinel，將其連接為 Defender 入口網站的主要工作區，並設定資料湖。
「設定過程中出了問題」
如果設定失敗且出現一般錯誤訊息，請使用以下檢查來診斷問題。
- 症狀：選擇 設定資料湖後，設定流程未完成，並出現錯誤訊息「出了問題，請重試」。
- 解決方法：檢查與已上線 Sentinel 工作區相關的資源群組是否先前已被刪除，或用於資料湖計費的訂閱是否已被刪除或取消。 如果問題持續，請 提出支援請求。
Sentinel 工作區在 Defender 中無法顯示
如果你的 Sentinel 工作區沒有出現在 Defender 入口網站，請檢查以下事項。
- 情境：你建立了 Log Analytics 工作區並新增了 Sentinel，但 Defender 入口網站沒有顯示工作區，或是 UI 篩選器無法正確填入。
- 解決方法：從頭到尾核實 所需角色 。 最低組合為 Entra ID 中的 Security Administrator 或更高角色，加上 Azure 訂用帳戶擁有者，或 (User Access Administrator + Microsoft Sentinel Contributor)。