Einrichten von Azure Monitor in externen Mandanten (Vorschau)

Gilt für: Mitarbeitermandanten Externe Mandanten (weitere Informationen)

Azure Monitor ist eine umfassende Überwachungslösung für die Sammlung, Analyse und Reaktion auf die Überwachung von Daten aus Ihren Cloud- und lokalen Umgebungen. Die Diagnoseeinstellungen in der überwachten Ressource geben an, welche Daten gesendet werden sollen und wohin sie gesendet werden sollen. Für Microsoft Entra umfassen die Zieloptionen Azure Storage, Log Analytics und Azure Event Hubs.

Wenn Sie Protokolle externer Mandanten in andere Überwachungslösungen oder in ein Repository übertragen möchten, berücksichtigen Sie, dass Protokolle externer Mandanten personenbezogene Daten enthalten. Bei der Verarbeitung solcher Daten müssen geeignete Sicherheitsmaßnahmen für die personenbezogenen Daten ergriffen werden. Dazu zählen unter anderem geeignete technische oder organisatorische Maßnahmen zum Schutz vor nicht autorisierter oder gesetzeswidriger Verarbeitung.

Übersicht über die Bereitstellung

Der externe Mandant verwendet die Microsoft Entra-Überwachung. Im Gegensatz zu Microsoft Entra-Mandanten kann einem externen Mandant kein Abonnement zugeordnet werden. Daher sind einige zusätzliche Schritte erforderlich, um die Integration zwischen externen Mandanten und Log Analytics (wohin wir die Protokolle senden) zu ermöglichen. Um Diagnoseeinstellungen im Mitarbeitermandanten innerhalb Ihres externen Mandanten zu aktivieren, verwenden Sie Azure Lighthouse, um eine Ressource zu delegieren, die es Ihrem externen Mandanten (dem Dienstanbieter) ermöglicht, einen Mitarbeitermandanten (die Kunden)-Ressource zu verwalten.

Tipp

Azure Lighthouse wird in der Regel verwendet, um Ressourcen mehrerer Kunden zu verwalten. Es kann jedoch auch verwendet werden, um die mandantenübergreifende Administration in einem Unternehmen, das über mehrere eigene Microsoft Entra-Mandanten verfügt, zu vereinfachen. In unserem Fall verwenden wir sie, um die Verwaltung einer einzelnen Ressourcengruppe zu delegieren.

Indem Sie die Schritte in diesem Artikel ausführen, erstellen Sie eine neue Ressourcengruppe namens ExtIDMonitor in Ihrem Mitarbeitermandanten und erhalten Zugriff auf dieselbe Ressourcengruppe, die den Log Analytics-Arbeitsbereich in Ihrem externen Mandanten enthält. Sie können die Protokolle auch von einem externen Mandanten in den Log Analytics-Arbeitsbereich übertragen.

Bei der Bereitstellung autorisieren Sie in Ihrem Verzeichnis eines externen Mandanten einen Benutzer oder eine Gruppe zum Konfigurieren der Instanz des Log Analytics-Arbeitsbereichs in dem Mandanten, der Ihr Azure-Abonnement enthält. Um die Autorisierung zu erstellen, stellen Sie eine Azure Resource Manager-Vorlage für das Abonnement mit dem Log Analytics-Arbeitsbereich bereit.

Im folgenden Diagramm sind die Komponenten dargestellt, die Sie in Ihrem Mitarbeitermandanten und externen Mandanten konfigurieren.

Im Zuge dieser Bereitstellung konfigurieren Sie Ihren externen Mandanten, in dem Protokolle generiert werden. Außerdem konfigurieren Sie den externen Mandanten, in dem der Log Analytics-Arbeitsbereich gehostet wird. Den verwendeten Konten externer Mandanten (wie Ihrem Administratorkonto) muss die Rolle Globaler Administrator für den externen -Mandanten zugewiesen werden. Dem für die Bereitstellung verwendeten Konto im externen Mandanten muss im Microsoft Entra-Abonnement die Rolle Besitzer zugewiesen sein. Es ist auch wichtig sicherzustellen, dass Sie beim richtigen Verzeichnis angemeldet sind, wenn Sie die einzelnen Schritte wie beschrieben ausführen.

Zusammenfassung: Sie verwenden Azure Lighthouse, um es einem Benutzer oder einer Gruppe in Ihrem externen Mandanten zu ermöglichen, eine Ressourcengruppe in einem Abonnement zu verwalten, das einem anderen Mandanten (dem Mitarbeitermandanten) zugeordnet ist. Nachdem diese Autorisierung erfolgt ist, können das der Abonnement und der Log Analytics-Arbeitsbereich in den Diagnoseeinstellungen in einem externen Mandanten als Ziel ausgewählt werden.

Voraussetzungen

• Ein Azure-Abonnement. Falls Sie kein Abonnement besitzen, können Sie ein kostenloses Konto erstellen, bevor Sie beginnen.
• Ein Microsoft Entra-Konto mit der Rolle Besitzer im Microsoft Entra-Abonnement.
• Ein Konto im externen Mandanten, dem die Rolle Globaler Administrator zugewiesen ist.

Konfigurationsübersicht

Um die Konfigurationsschritte in diesem Artikel auszuführen, empfehlen wir das Öffnen von zwei separaten Browserfenstern oder Registerkarten: eines für den Mitarbeitermandanten und eines für den externen Mandanten. Mit diesem Setup können Sie bei Bedarf zwischen den beiden Mandanten wechseln.

Schritt 1: Konfiguration des Mitarbeitermandanten – Erstellen eines Ressourcengruppen- und Protokollarbeitsbereichs

Erstellen einer Ressourcengruppe

Erstellen Sie zuerst eine Ressourcengruppe (oder wählen Sie eine Ressourcengruppe aus), die den Log Analytics-Zielarbeitsbereich enthält, der Daten von einem externen Mandanten empfangen soll. Den Namen der Ressourcengruppe geben Sie beim Bereitstellen der Azure Resource Manager-Vorlage an.

1. Melden Sie sich beim Azure-Portal an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben, um über das Menü Verzeichnisse + Abonnements zu Ihrem Mitarbeitermandanten zu wechseln.
3. Erstellen Sie eine Ressourcengruppe oder wählen Sie eine vorhandene Ressourcengruppe aus. In diesem Beispiel wird eine Ressourcengruppe namens ExtIDMonitor verwendet.

Erstellen eines Log Analytics-Arbeitsbereichs

Ein Log Analytics-Arbeitsbereich ist eine spezielle Umgebung für Azure Monitor-Protokolldaten. Sie verwenden diesen Log Analytics-Arbeitsbereich, um Daten aus einem externen Mandanten zu sammeln und dann mit Abfragen zu visualisieren.

1. Melden Sie sich beim Azure-Portal an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben, um über das Menü Verzeichnisse + Abonnements zu Ihrem Mitarbeitermandanten zu wechseln.
3. Erstellen eines Log Analytics-Arbeitsbereichs. In diesem Beispiel wird ein Log Analytics-Arbeitsbereich namens ExtIDLogAnalytics in einer Ressourcengruppe namens ExtIDMonitor verwendet.

„microsoft.insights“ als Ressourcenanbieter hinzufügen

In diesem Schritt wählen Sie Ihren externen Mandanten als Dienstanbieter aus. Außerdem definieren Sie die Autorisierungen, die Sie benötigen, um Gruppen in Ihrem Microsoft Entra-Mandanten die entsprechenden integrierten Rollen zuzuweisen. So zeigen Sie alle Ressourcenanbieter und den Registrierungsstatus für Ihr Abonnement an:

1. Melden Sie sich beim Azure-Portal an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben, um über das Menü Verzeichnisse + Abonnements zu Ihrem Mitarbeitermandanten zu wechseln.
3. Suchen Sie im Menü im Azure-Portal nach Abonnements.
4. Wählen Sie das Abonnement aus, das Sie anzeigen möchten.
5. Wählen Sie im linken Menü unter Einstellungen die Option Ressourcenanbieter aus.
6. Wählen Sie den Ressourcenanbieter microsoft.insights aus und klicken Sie auf Registrieren.

Schritt 2: Konfiguration des externen Mandanten – Abrufen einer externen Mandanten-ID und Erstellen einer Gruppe für die externe ID-Überwachung

Abrufen Ihrer externen Mandanten-ID

Ermitteln Sie zunächst die Mandanten-ID Ihres externen Mandanten. Sie benötigen diese ID, um den externen Mandanten so zu konfigurieren, dass Protokolle an den Log Analytics-Arbeitsbereich im Mitarbeitermandanten gesendet werden.

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, verwenden Sie das Einstellungen-Symbol im oberen Menü und wechseln Sie über das Menü Verzeichnisse + Abonnements zu Ihrem externen Mandanten.
3. Wählen Sie Mandantenübersicht und dann Übersicht aus.
4. Notieren Sie sich die Mandanten-ID.

Erstellen einer Gruppe für die externe ID-Überwachung

Jetzt erstellen Sie eine Gruppe bzw. einen Benutzer, der oder dem Sie die Berechtigung für die Ressourcengruppe erteilen möchten, die Sie zuvor im Verzeichnis mit Ihrem Abonnement erstellt haben.

Um die Verwaltung zu vereinfachen, empfiehlt es sich, für jede Rolle Microsoft Entra-Benutzergruppen zu verwenden. Dies ermöglicht es Ihnen, der Gruppe einzelne Benutzer hinzuzufügen oder daraus zu entfernen, anstatt einem Benutzer Berechtigungen direkt zuzuweisen. In dieser exemplarischen Vorgehensweise wird eine Sicherheitsgruppe hinzugefügt.

1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, verwenden Sie das Einstellungen-Symbol im oberen Menü und wechseln Sie über das Menü Verzeichnisse + Abonnements zu Ihrem externen Mandanten.
3. Wählen Sie Gruppen und anschließend eine Gruppe aus. Wenn keine Gruppe vorhanden ist, erstellen Sie eine Sicherheitsgruppe, und fügen Sie dann Mitglieder hinzu. Weitere Informationen sind im Verfahren Erstellen einer Basisgruppe und Hinzufügen von Mitgliedern mithilfe eines Mitarbeitermandanten beschrieben.
4. Wählen Sie Übersicht aus und notieren Sie sich die Objekt-ID der Gruppe.

Schritt 3: Konfiguration des Mitarbeitermandanten – Konfigurieren von Azure Lighthouse

Erstellen einer Azure Resource Manager-Vorlage

Zum Einrichten der benutzerdefinierten Autorisierung und Delegierung in Azure Lighthouse wird eine Azure Resource Manager-Vorlage verwendet. Diese Vorlage gewährt einem externen Mandanten Zugriff auf die Microsoft Entra-Ressourcengruppe, die Sie zuvor erstellt haben (z. B. ExtIDMonitor). Stellen Sie die Vorlage aus dem GitHub-Beispiel bereit, indem Sie die Schaltfläche In Azure bereitstellen verwenden. Dadurch wird das Azure-Portal geöffnet, und Sie können die Vorlage direkt im Portal konfigurieren und bereitstellen. Stellen Sie bei diesen Schritten sicher, dass Sie bei Ihrem Microsoft Entra-Mitarbeitermandanten (nicht dem externen Mandanten) angemeldet sind.

1. Melden Sie sich beim Azure-Portal an.

2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben, um über das Menü Verzeichnisse + Abonnements zu Ihrem Mitarbeitermandanten zu wechseln.

3. Verwenden Sie die Schaltfläche In Azure bereitstellen, um das Azure-Portal zu öffnen und die Vorlage direkt im Portal bereitzustellen. Weitere Informationen finden Sie unter Erstellen einer Azure Resource Manager-Vorlage.

   

4. Geben Sie auf der Seite Benutzerdefinierte Bereitstellung die folgenden Informationen ein:

   Feld	Definition
   Abonnement	Wählen Sie das Verzeichnis aus, welches das Azure-Abonnement enthält, in dem die Ressourcengruppe ExtIDMonitor erstellt wurde.
   Region	Wählen Sie die Region aus, in der die Ressource bereitgestellt wird.
   MSP-Angebotsname	Ein Name, der diese Definition beschreibt. Zum Beispiel: ExtIDMonitor. Dieser Name wird in Azure Lighthouse angezeigt. Der MSP-Angebotsname muss in Ihrem Mitarbeitermandanten eindeutig sein. Verwenden Sie unterschiedliche Namen, um mehrere externer Mandanten zu überwachen.
   MSP-Angebotsbeschreibung	Eine kurze Beschreibung Ihres Angebots. Zum Beispiel Aktivieren von Azure Monitor im externen Mandanten.
   Verwaltet durch Mandanten-ID	Die Mandanten-ID Ihres externen Mandanten (auch als Verzeichnis-ID bezeichnet).
   Autorisierungen	Geben Sie ein JSON-Array von Objekten an, das die principalId und den principalIdDisplayName von Mitarbeitermandanten und die roleDefinitionId von Azure enthält. principalId ist die Objekt-ID der Gruppe bzw. des Benutzers, die oder der Zugriff auf die Ressourcen in diesem Azure-Abonnement haben soll. Geben Sie für diese exemplarische Vorgehensweise die Objekt-ID der Gruppe an, die Sie zuvor im externen Mandanten notiert haben. Verwenden Sie als roleDefinitionId den Wert der integrierten Rolle für die Rolle „Mitwirkender“: b24988ac-6180-42a0-ab88-20f7382dd24c.
   Ressourcengruppenname	Der Name der Ressourcengruppe, die Sie zuvor auf Ihrem Mitarbeitermandanten erstellt haben. Zum Beispiel: ExtIDMonitor.

   Im folgenden Beispiel wird ein Autorisierungs-Array mit einer Sicherheitsgruppe veranschaulicht.

   [
     {
       "principalId": "<Replace with group's OBJECT ID>",
       "principalIdDisplayName": "external tenant administrators",
       "roleDefinitionId": "b24988ac-6180-42a0-ab88-20f7382dd24c"
     }
   ]
   

Nach der Bereitstellung der Vorlage kann es einige Minuten (in der Regel nicht länger als fünf Minuten) dauern, bis die Ressourcenprojektion abgeschlossen ist. Sie können die Bereitstellung in Ihrem =Mitarbeitermandanten überprüfen und die Details der Ressourcenprojektion abrufen. Weitere Informationen finden Sie unter Anzeigen und Verwalten von Dienstanbietern.

Schritt 4: Konfiguration des externen Mandanten – Auswählen Ihres Abonnements

Nachdem Sie die Vorlage bereitgestellt und einige Minuten auf den Abschluss der Ressourcenprojektion gewartet haben, können Sie mit den folgenden Schritten Ihr Abonnement Ihrem externen Mandanten zuordnen.

Hinweis

Vergewissern Sie sich auf der Seite Portaleinstellungen | Verzeichnisse + Abonnements, dass unter Aktuelle + delegierte Verzeichnisse Ihre externen und Mitarbeitermandanten ausgewählt sind.

Wählen Sie Ihr Abonnement aus

1. Melden Sie sich vom Azure-Portal ab und anschließend mit Ihrem Administratorkonto des externen Mandanten wieder an. Dieses Konto muss Mitglied der zuvor angegebenen Sicherheitsgruppe sein. Wenn Sie sich ab- und wieder anmelden, können Ihre Sitzungsanmeldedaten im nächsten Schritt aktualisiert werden.
2. Wählen Sie auf der Portalsymbolleiste das Symbol Einstellungen aus.
3. Suchen Sie auf der Seite Portaleinstellungen | Verzeichnisse und Abonnements in der Liste Verzeichnisname Ihr Verzeichnis des Mitarbeitermandanten, das das Azure-Abonnement und die von Ihnen erstellte Ressourcengruppe ExtIDMonitor enthält, und wählen Sie Wechseln.
4. Vergewissern Sie sich, dass Sie das richtige Verzeichnis ausgewählt haben und dass Ihr Azure-Abonnement im Standardabonnementfilter aufgeführt und ausgewählt ist.

Konfigurieren von Diagnoseeinstellungen

Diagnoseeinstellungen definieren, wohin Protokolle und Metriken für eine Ressource gesendet werden sollen. Mögliche Ziele:

• Azure-Speicherkonto
• Event Hubs-Lösungen
• Log Analytics-Arbeitsbereich

In diesem Beispiel verwenden Sie den Log Analytics-Arbeitsbereich, um ein Dashboard zu erstellen. Führen Sie die Schritte aus, um Überwachungseinstellungen für die Aktivitätsprotokolle des externen Mandanten zu konfigurieren:

1. Melden Sie sich beim Microsoft Entra Admin Center an.

2. Wenn Sie Zugriff auf mehrere Mandanten haben, verwenden Sie das Einstellungen-Symbol im oberen Menü und wechseln Sie über das Menü Verzeichnisse + Abonnements zu Ihrem externen Mandanten. Dieses Konto muss Mitglied der zuvor angegebenen Sicherheitsgruppe sein.

3. Navigieren Sie zu den Diagnoseeinstellungen, indem Sie zu Identität>Überwachung & Integrität navigieren.

4. Wenn Einstellungen für die Ressource vorhanden sind, wird eine Liste der bereits konfigurierten Einstellungen angezeigt. Wählen Sie entweder Diagnoseeinstellung hinzufügen aus, um eine neue Einstellung hinzuzufügen, oder wählen Sie Einstellungen bearbeiten aus, um eine vorhandene Einstellung zu bearbeiten. Jede Einstellung kann höchstens einen der Zieltypen aufweisen.

   

5. Wenn noch kein Name für die Einstellung vorhanden ist, geben Sie ihr einen Namen.

6. Wählen Sie AuditLogs und SignInLogs aus.

7. Wählen Sie An Log Analytics-Arbeitsbereich senden aus, und wählen Sie dann Folgendes aus:

   1. Wählen Sie unter Abonnement Ihr Abonnement aus.
   2. Wählen Sie unter Log Analytics-Arbeitsbereich den Namen des Arbeitsbereichs aus, den Sie zuvor erstellt haben, z. B. ExtIDLogAnalytics.

8. Wählen Sie Speichern.

Hinweis

Es kann bis zu 15 Minuten dauern, bis ein Ereignis ausgegeben und in einem Log Analytics-Arbeitsbereich angezeigt wird. Während Sie warten, kann es hilfreich sein, einige Aktionen zum Generieren von Protokollen auszuführen. Sie können z. B. dem Leitfaden „Erste Schritte“ folgen, um einige Konfigurationen zu erstellen und einen Benutzer zu registrieren.

Schritt 5: Konfiguration des Mitarbeitermandanten – Visualisieren Ihrer Daten

Nun können Sie Ihren Log Analytics-Arbeitsbereich zum Visualisieren Ihrer Daten und zum Einrichten von Warnungen konfigurieren. Sie können diese Konfigurationen sowohl in Ihrem Arbeitsbereich als auch im externen Mandanten vornehmen.

Erstellen Sie eine Abfrage

Mithilfe von Protokollabfragen können Sie die Daten, die in Azure Monitor-Protokollen erfasst werden, in vollem Umfang nutzen. Eine leistungsstarke Abfragesprache ermöglicht es Ihnen, Daten aus mehreren Tabellen zusammenzufügen, größere Mengen an Daten zu aggregieren und komplexe Vorgänge mit möglichst wenig Code auszuführen. Beinahe jede Frage kann beantwortet und jede Analyse durchgeführt werden, solange unterstützende Daten erfasst wurden und Sie wissen, wie die richtige Abfrage erstellt werden muss. Weitere Informationen finden Sie unter Erste Schritte mit Protokollabfragen in Azure Monitor.

1. Melden Sie sich beim Azure-Portal an.

2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben, um über das Menü Verzeichnisse + Abonnements zu Ihrem Mitarbeitermandanten zu wechseln.

3. Wählen Sie im Log Analytics-Arbeitsbereich die Option Protokolle aus

4. Fügen Sie im Abfrage-Editor die folgende Abfrage in der Kusto-Abfragesprache ein. Mit dieser Abfrage wird die Richtlinienverwendung in den letzten x Tagen nach Vorgang angezeigt. Der Standardzeitraum ist auf 90 Tage (90T) festgelegt. Beachten Sie, dass die Abfrage nur auf den Vorgang fokussiert ist, bei dem von der Richtlinie ein Token bzw. ein Code ausgegeben wird.

   AuditLogs
   | where TimeGenerated  > ago(90d)
   | where OperationName contains "issue"
   | extend  UserId=extractjson("$.[0].id",tostring(TargetResources))
   | extend Policy=extractjson("$.[1].value",tostring(AdditionalDetails))
   | summarize SignInCount = count() by Policy, OperationName
   | order by SignInCount desc  nulls last
   

5. Klicken Sie auf Run (Ausführen). Die Abfrageergebnisse werden unten im Bildschirm angezeigt.

6. Wenn Sie die Abfrage zur späteren Verwendung speichern möchten, wählen Sie Speichern aus.

7. Geben Sie die folgenden Details an:

   • Name: Geben Sie den Namen Ihrer Abfrage ein.
   • Speichern unter: Wählen Sie query aus.
   • Kategorie: Wählen Sie Log aus.

8. Wählen Sie Speichern aus.

Sie können die Abfrage auch ändern, um die Daten mithilfe des Render-Operators zu visualisieren.

AuditLogs
| where TimeGenerated  > ago(90d)
| where OperationName contains "issue"
| extend  UserId=extractjson("$.[0].id",tostring(TargetResources))
| extend Policy=extractjson("$.[1].value",tostring(AdditionalDetails))
| summarize SignInCount = count() by Policy
| order by SignInCount desc  nulls last
| render  piechart

Ändern des Datenaufbewahrungszeitraums

Azure Monitor-Protokolle sind für die Skalierung und Unterstützung der täglichen Sammlung, Indizierung und Speicherung enormer Datenmengen aus beliebigen Quellen in Ihrem Unternehmen oder aus in Azure bereitgestellten Quellen konzipiert. Standardmäßig werden Protokolle 30 Tage lang aufbewahrt. Die Aufbewahrungsdauer kann jedoch auf bis zu zwei Jahre verlängert werden. Erfahren Sie mehr über das Verwalten von Nutzung und Kosten mit Azure Monitor-Protokollen. Nachdem Sie den Tarif ausgewählt haben, können Sie den Datenaufbewahrungszeitraum ändern.

Deaktivieren der Überwachung der Datensammlung

Um die Erfassung von Protokollen für Ihren Log Analytics-Arbeitsbereich zu beenden, löschen Sie die von Ihnen erstellten Diagnoseeinstellungen. Für die Aufbewahrung der Protokolldaten, die Sie bereits in Ihrem Arbeitsbereich gesammelt haben, fallen weiterhin Gebühren an. Wenn Sie die gesammelten Überwachungsdaten nicht mehr benötigen, können Sie Ihren Log Analytics-Arbeitsbereich und die Ressourcengruppe, die Sie für Azure Monitor erstellt haben, löschen. Durch das Löschen des Log Analytics-Arbeitsbereichs werden alle Daten im Arbeitsbereich gelöscht und verhindert, dass zusätzliche Gebühren für die Datenaufbewahrung anfallen.

Löschen des Log Analytics-Arbeitsbereichs und der Ressourcengruppe

1. Melden Sie sich beim Azure-Portal an.
2. Wenn Sie Zugriff auf mehrere Mandanten haben, wählen Sie das Symbol Einstellungen im Menü oben, um über das Menü Verzeichnisse + Abonnements zu Ihrem Mitarbeitermandanten zu wechseln.
3. Wählen Sie die Ressourcengruppe aus, die den Log Analytics-Arbeitsbereich enthält. In diesem Beispiel wird eine Ressourcengruppe namens ExtIDMonitor und ein Log Analytics Arbeitsbereich namens ExtIDLogAnalytics verwendet.
4. Löschen Sie den Logs Analytics-Arbeitsbereich.
5. Wählen Sie die Schaltfläche Löschen aus, um die Ressourcengruppe zu löschen.

Zugehöriger Inhalt

• Verwenden von Überwachungsprotokollen und Zugriffsüberprüfungen