Verwalten des Zugriffs auf Log Analytics-Arbeitsbereiche

Die Daten, auf die Sie in einem Log Analytics-Arbeitsbereich zugreifen können, werden durch folgende Faktoren bestimmt:

• Die Einstellungen für den Arbeitsbereich selbst.
• Ihre Zugriffsberechtigungen für Ressourcen, die Daten an den Arbeitsbereich senden
• Die Methode, die für den Zugriff auf den Arbeitsbereich verwendet wird.

In diesem Artikel wird beschrieben, wie Sie den Zugriff auf Daten in einem Log Analytics-Arbeitsbereich verwalten.

Überblick

In der folgenden Tabelle werden die Faktoren beschrieben, die bestimmen, auf welche Daten Sie zugreifen können. Die einzelnen Faktoren werden in den nachfolgenden Abschnitten jeweils ausführlicher beschrieben.

Zugriffsmodus

Der Zugriffsmodus bezieht sich darauf, wie Sie auf einen Log Analytics-Arbeitsbereich zugreifen, und definiert die Daten, auf die Sie im Rahmen der aktuellen Sitzung zugreifen können. Der Modus wird anhand des Bereichs bestimmt, den Sie in Log Analytics auswählen.

Es gibt zwei Zugriffsmodi:

• Arbeitsbereichskontext: Sie können alle Protokolle in dem Arbeitsbereich anzeigen, für den Sie eine Berechtigung besitzen. Abfragen in diesem Modus beziehen sich auf alle Daten in Tabellen, auf die Sie im Arbeitsbereich Zugriff haben. Dieser Zugriffsmodus wird verwendet, wenn auf Protokolle mit dem Arbeitsbereich als Bereich zugegriffen wird, z. B. wenn Sie Protokolle im Menü Azure Monitor im Azure-Portal auswählen.
• Ressourcenkontext: Wenn Sie auf den Arbeitsbereich für eine bestimmte Ressource, eine Ressourcengruppe oder ein Abonnement zugreifen (etwa, wenn Sie Protokolle aus einem Ressourcenmenü im Azure-Portal auswählen), können Sie Protokolle nur für diese Ressource in allen Tabellen anzeigen, auf die Sie Zugriff besitzen. Abfragen in diesem Modus beziehen sich auf nur Daten, die dieser Ressource zugeordnet sind. Dieser Modus ermöglicht außerdem eine differenzierte rollenbasierte Zugriffssteuerung (RBAC) in Azure. Arbeitsbereiche verwenden ein Ressourcenkontext-Protokollmodell, in dem jeder von einer Azure-Ressource ausgegebene Protokolldatensatz automatisch dieser Ressource zugeordnet wird.

Datensätze sind nur in Ressourcenkontextabfragen verfügbar, wenn sie der relevanten Ressource zugeordnet sind. Um diese Zuordnung zu überprüfen, führen Sie eine Abfrage aus, und überprüfen Sie, ob die _ResourceId-Spalte aufgefüllt ist.

Es gibt bekannte Einschränkungen für folgende Ressourcen:

• Computer außerhalb von Azure: Werden nur über Azure Arc für Server für den Ressourcenkontext unterstützt.
• Application Insights: Wird nur bei Verwendung einer arbeitsbereichsbasierten Application Insights-Ressource für den Ressourcenkontext unterstützt.
• Azure Service Fabric

Vergleichen von Zugriffsmodi

Die Zugriffsmodi werden in der folgenden Tabelle zusammengefasst:

Zugriffssteuerungsmodus

Der Zugriffssteuerungsmodus ist eine Einstellung für jeden Arbeitsbereich, die definiert, wie Berechtigungen für den Arbeitsbereich bestimmt werden.

• Arbeitsbereichsberechtigungen erforderlich: Dieser Steuerungsmodus ermöglicht keine differenzierte rollenbasierte Zugriffssteuerung (RBAC) in Azure. Damit ein Benutzer auf den Arbeitsbereich zugreifen kann, müssen ihm Berechtigungen für den Arbeitsbereich oder für bestimmte Tabellen gewährt werden.

  Wenn ein Benutzer im Arbeitsbereichskontextmodus auf den Arbeitsbereich zugreift, hat er Zugriff auf alle Daten in allen Tabellen, für die ihm Zugriff gewährt wurde. Wenn ein Benutzer im Ressourcenkontextmodus auf den Arbeitsbereich zugreift, hat er nur Zugriff auf Daten für diese Ressource in Tabellen, für die ihm Zugriff gewährt wurde.

  Dies ist die Standardeinstellung für alle Arbeitsbereiche, die vor März 2019 erstellt wurden.

• Ressourcen- oder Arbeitsbereichsberechtigungen verwenden: Dieser Steuerungsmodus ermöglicht eine differenzierte rollenbasierte Zugriffssteuerung (RBAC) in Azure. Benutzern kann nur Zugriff auf Daten gewährt werden, die den Ressourcen zugeordnet sind, die aufgrund der Zuweisung der Azure-Berechtigung read von den Benutzern angezeigt werden können.

  Wenn ein Benutzer im Arbeitsbereichskontextmodus auf den Arbeitsbereich zugreift, gelten Arbeitsbereichsberechtigungen. Wenn ein Benutzer im Ressourcenkontextmodus auf den Arbeitsbereich zugreift, werden nur die Ressourcenberechtigungen überprüft. Die Arbeitsbereichsberechtigungen werden ignoriert. Aktivieren Sie Azure RBAC für einen Benutzer, indem Sie ihn aus den Arbeitsbereichsberechtigungen entfernen und zulassen, dass seine Ressourcenberechtigungen erkannt werden.

  Dies ist die Standardeinstellung für alle Arbeitsbereiche, die nach März 2019 erstellt werden.

  Hinweis

  Wenn ein Benutzer nur über Ressourcenberechtigungen für den Arbeitsbereich verfügt, kann er nur über den Ressourcenkontextmodus auf den Arbeitsbereich zugreifen, sofern der Arbeitsbereichszugriffsmodus auf das Verwenden von Ressourcen- oder Arbeitsbereichsberechtigungen festgelegt ist.

Konfigurieren des Zugriffssteuerungsmodus für einen Arbeitsbereich

Get-AzResource -ResourceType Microsoft.OperationalInsights/workspaces -ExpandProperties | foreach {$_.Name + ": " + $_.Properties.features.enableLogAccessUsingOnlyResourcePermissions}

DefaultWorkspace38917: True
DefaultWorkspace21532: False

$WSName = "my-workspace"
$Workspace = Get-AzResource -Name $WSName -ExpandProperties
if ($Workspace.Properties.features.enableLogAccessUsingOnlyResourcePermissions -eq $null)
    { $Workspace.Properties.features | Add-Member enableLogAccessUsingOnlyResourcePermissions $true -Force }
else
    { $Workspace.Properties.features.enableLogAccessUsingOnlyResourcePermissions = $true }
Set-AzResource -ResourceId $Workspace.ResourceId -Properties $Workspace.Properties -Force

Get-AzResource -ResourceType Microsoft.OperationalInsights/workspaces -ExpandProperties | foreach {
if ($_.Properties.features.enableLogAccessUsingOnlyResourcePermissions -eq $null)
    { $_.Properties.features | Add-Member enableLogAccessUsingOnlyResourcePermissions $true -Force }
else
    { $_.Properties.features.enableLogAccessUsingOnlyResourcePermissions = $true }
Set-AzResource -ResourceId $_.ResourceId -Properties $_.Properties -Force
}

Azure RBAC

Der Zugriff auf einen Arbeitsbereich wird mithilfe von Azure RBAC verwaltet. Führen Sie die Schritte unter Zuweisen von Azure-Rollen zum Verwalten des Zugriffs auf Ihre Azure-Abonnementressourcen aus, um den Zugriff auf den Log Analytics-Arbeitsbereich mit Azure-Berechtigungen zu gewähren.

Arbeitsbereichberechtigungen

Jedem Arbeitsbereich können mehrere Konten zugeordnet werden. Jedes Konto kann Zugriff auf mehrere Arbeitsbereiche haben. In der folgenden Tabelle sind die Azure-Berechtigungen für verschiedene Arbeitsbereichaktionen aufgeführt:

Integrierte Rollen

Weisen Sie Benutzer den folgenden Rollen zu, um ihnen Zugriff auf verschiedenen Ebenen zu gewähren:

• Abonnement: Zugriff auf alle Arbeitsbereiche im Abonnement
• Ressourcengruppe: Zugriff auf alle Arbeitsbereiche in der Ressourcengruppe
• Ressource: Nur Zugriff auf den angegebenen Arbeitsbereich

Erstellen Sie Zuweisungen auf Ressourcenebene (Arbeitsbereich) vornehmen, um eine exakte Zugriffssteuerung zu gewährleisten. Verwenden Sie benutzerdefinierte Rollen, um Rollen mit spezifischen Berechtigungen zu erstellen.

Log Analytics-Leser

Mitglieder der Rolle „Log Analytics-Leser“ können alle Überwachungsdaten und Überwachungseinstellungen anzeigen – einschließlich der Konfiguration von Azure-Diagnosen für alle Azure-Ressourcen.

Mitglieder der Rolle Log Analytics-Leser können folgende Aktionen ausführen:

• Anzeigen und Durchsuchen aller Überwachungsdaten
• Anzeigen von Überwachungseinstellungen (einschließlich der Konfiguration von Azure-Diagnosen für alle Azure-Ressourcen)

Die Rolle „Log Analytics-Leser“ umfasst die folgenden Azure-Aktionen:

Log Analytics-Mitwirkender

Mitglieder der Rolle Log Analytics-Mitwirkender können folgende Aktionen ausführen:

• Lesen aller Überwachungsdaten, die mit der Rolle „Log Analytics-Leser“ gelesen werden können.
• Bearbeiten von Überwachungseinstellungen für Azure-Ressourcen, einschließlich:
  • Hinzufügen der VM-Erweiterung zu virtuellen Computern.
  • Konfigurieren von Azure-Diagnosen für alle Azure-Ressourcen.
• Erstellen und Konfigurieren von Automation-Konten. Die Berechtigung muss auf Ressourcengruppen- oder Abonnementebene erteilt werden.
• Hinzufügen und Entfernen von Verwaltungslösungen. Die Berechtigung muss auf Ressourcengruppen- oder Abonnementebene erteilt werden.
• Lesen von Speicherkontoschlüsseln.
• Konfigurieren der Erfassung von Protokollen aus Azure Storage.
• Konfigurieren von Datenexportregeln.
• Ausführen eines Suchauftrags.
• Wiederherstellen von Daten aus Langzeitaufbewahrung

Die Rolle „Log Analytics-Mitwirkender“ umfasst die folgenden Azure-Aktionen:

Ressourcenberechtigungen

Um Daten im Ressourcenkontext aus einem Arbeitsbereich zu lesen oder an einen Arbeitsbereich zu senden, benötigen Sie die folgenden Berechtigungen für die Ressource:

Die /read-Berechtigung wird in der Regel von einer Rolle erteilt, die */read oder *-Berechtigungen enthält, beispielsweise von den integrierten Rollen Leser und Mitwirkender. Benutzerdefinierte Rollen, die bestimmte Aktionen umfassen, oder dedizierte integrierte Rollen enthalten diese Berechtigung möglicherweise nicht.

Beispiele für benutzerdefinierte Rollen

Neben der Verwendung der integrierten Rollen für den Log Analytics-Arbeitsbereich können Sie auch benutzerdefinierte Rollen erstellen, um präzisere Berechtigungen zuzuweisen. Hier sind einige allgemeine Beispiele aufgeführt.

Beispiel 1: Gewähren Sie einem Benutzer die Berechtigung, Protokolldaten seiner Ressourcen zu lesen.

• Legen Sie den Zugriffssteuerungsmodus für den Arbeitsbereich auf die Verwendung von Arbeitsbereichs- oder Ressourcenberechtigungen fest.
• Erteilen Sie den Benutzern die Berechtigung */read oder Microsoft.Insights/logs/*/read für ihre Ressourcen. Wenn den Benutzern bereits die Rolle Log Analytics-Leser für den Arbeitsbereich zugewiesen ist, reicht dies aus.

Beispiel 2: Gewähren Sie einem Benutzer die Berechtigung, Protokolldaten seiner Ressourcen zu lesen und einen Suchauftrag auszuführen.

• Legen Sie den Zugriffssteuerungsmodus für den Arbeitsbereich auf die Verwendung von Arbeitsbereichs- oder Ressourcenberechtigungen fest.
• Erteilen Sie den Benutzern die Berechtigung */read oder Microsoft.Insights/logs/*/read für ihre Ressourcen. Wenn den Benutzern bereits die Rolle Log Analytics-Leser für den Arbeitsbereich zugewiesen ist, reicht dies aus.
• Erteilen Sie den Benutzern die folgenden Berechtigungen für den Arbeitsbereich:
  • Microsoft.OperationalInsights/workspaces/tables/write: Erforderlich, um die Suchergebnisstabelle (_SRCH) erstellen zu können.
  • Microsoft.OperationalInsights/workspaces/searchJobs/write: Erforderlich, um die Ausführung des Suchauftrags zuzulassen.

Beispiel 3: Gewähren Sie einem Benutzer die Berechtigung, Protokolldaten seiner Ressourcen zu lesen und seine Ressourcen so zu konfigurieren, dass sie Protokolle an den Log Analytics-Arbeitsbereich senden.

• Legen Sie den Zugriffssteuerungsmodus für den Arbeitsbereich auf die Verwendung von Arbeitsbereichs- oder Ressourcenberechtigungen fest.
• Erteilen Sie den Benutzern die folgenden Berechtigungen für den Arbeitsbereich: Microsoft.OperationalInsights/workspaces/read und Microsoft.OperationalInsights/workspaces/sharedKeys/action. Mit diesen Berechtigungen können Benutzer keine Abfragen auf Arbeitsbereichsebene ausführen. Sie können den Arbeitsbereich lediglich aufzählen und ihn als Ziel für Diagnoseeinstellungen oder die Agentkonfiguration verwenden.
• Erteilen Sie den Benutzern die folgenden Berechtigungen für ihre Ressourcen: Microsoft.Insights/logs/*/read und Microsoft.Insights/diagnosticSettings/write. Wenn den Benutzern bereits die Rolle Log Analytics-Mitwirkender, die Leserrolle oder */read-Berechtigungen für diese Ressource zugewiesen sind, reicht dies aus.

Beispiel 4: Gewähren Sie einem Benutzer die Berechtigung, Protokolldaten seiner Ressourcen zu lesen, aber nicht die Berechtigung zum Senden von Protokollen an den Log Analytics-Arbeitsbereich, oder Sicherheitsereignisse zu lesen.

• Legen Sie den Zugriffssteuerungsmodus für den Arbeitsbereich auf die Verwendung von Arbeitsbereichs- oder Ressourcenberechtigungen fest.
• Erteilen Sie den Benutzern die folgenden Berechtigungen für ihre Ressourcen: Microsoft.Insights/logs/*/read.
• Fügen Sie die folgende NonAction hinzu, um das Lesen des SecurityEvent-Typs durch Benutzer zu blockieren: Microsoft.Insights/logs/SecurityEvent/read. Die NonAction muss sich in der gleichen benutzerdefinierten Rolle wie die Aktion befinden, die die Leseberechtigung bereitstellt (Microsoft.Insights/logs/*/read). Wenn der Benutzer die Leseaktion von einer anderen Rolle erbt, die dieser Ressource, dem Abonnement oder der Ressourcengruppe zugeordnet ist, ist er in der Lage, alle Protokolltypen zu lesen. Dieses Szenario trifft ebenfalls zu, wenn er */read erbt, beispielsweise aus der Rolle „Leser“ oder „Mitwirkender“.

Beispiel 5: Erteilen Sie einem Benutzer die Berechtigung, Protokolldaten seiner Ressourcen, aller Microsoft Entra-Anmeldungen und Protokolldaten der Update Management-Lösung im Log Analytics-Arbeitsbereich zu lesen.

• Legen Sie den Zugriffssteuerungsmodus für den Arbeitsbereich auf die Verwendung von Arbeitsbereichs- oder Ressourcenberechtigungen fest.
• Erteilen Sie den Benutzern die folgenden Berechtigungen für den Arbeitsbereich:
  • Microsoft.OperationalInsights/workspaces/read: Erforderlich, damit der Benutzer die Arbeitsbereiche auflisten und den Arbeitsbereich im Azure-Portal öffnen kann.
  • Microsoft.OperationalInsights/workspaces/query/read: Für jeden Benutzer erforderlich, der Abfragen ausführen kann.
  • Microsoft.OperationalInsights/workspaces/query/SigninLogs/read: So können Sie Microsoft Entra-Anmeldeprotokolle lesen
  • Microsoft.OperationalInsights/workspaces/query/Update/read: Damit Protokolle der Updateverwaltungslösung gelesen werden können.
  • Microsoft.OperationalInsights/workspaces/query/UpdateRunProgress/read: Damit Protokolle der Updateverwaltungslösung gelesen werden können.
  • Microsoft.OperationalInsights/workspaces/query/UpdateSummary/read: Damit Protokolle der Updateverwaltung gelesen werden können.
  • Microsoft.OperationalInsights/workspaces/query/Heartbeat/read: Erforderlich, damit Updateverwaltungslösungen verwendet werden können.
  • Microsoft.OperationalInsights/workspaces/query/ComputerGroup/read: Erforderlich, damit Updateverwaltungslösungen verwendet werden können.
• Erteilen Sie den Benutzern die folgenden Berechtigungen für ihre Ressourcen: */read, die der Leserrolle zugewiesen ist, oder Microsoft.Insights/logs/*/read.

Beispiel 6: Benutzer daran hindern, Daten aus Langzeitaufbewahrung wiederherzustellen.

• Legen Sie den Zugriffssteuerungsmodus für den Arbeitsbereich auf die Verwendung von Arbeitsbereichs- oder Ressourcenberechtigungen fest.
• Weisen Sie dem Benutzer die Rolle Log Analytics-Mitwirkender zu.
• Fügen Sie die folgende NonAction hinzu, um zu verhindern, dass Benutzer Daten aus Langzeitaufbewahrung wiederherstellen: Microsoft.OperationalInsights/workspaces/restoreLogs/write.

Festlegen des Lesezugriffs auf Tabellenebene

Siehe Verwalten des Lesezugriffs auf Tabellenebene.

Nächste Schritte

• Informationen zum Erfassen der Daten von Computern in Ihrem Datencenter oder einer anderen Cloudumgebung finden Sie unter Collect log data with the Azure Log Analytics agent (Sammeln von Protokolldaten mit dem Azure Log Analytics-Agent).
• Informationen zum Konfigurieren der Datensammlung von virtuellen Azure-Computern finden Sie unter Sammeln von Daten über virtuelle Azure-Computer.