Изменить, включить, отключить или удалить журналы потоков NSG

• Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .

• Поставщик аналитики. Дополнительные сведения см. в разделе Register Insights Provider.

• Группа безопасности сети. Если необходимо создать группу безопасности сети, см. статью "Создание, изменение" или удаление группы безопасности сети.

• Учетная запись хранения Azure. Если вам нужно создать учетную запись хранения, см. статью "Создание учетной записи хранения с помощью портал Azure".

• Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .

• Поставщик аналитики. Дополнительные сведения см. в разделе Register Insights Provider.

• Группа безопасности сети. Если необходимо создать группу безопасности сети, см. статью "Создание, изменение" или удаление группы безопасности сети.

• Учетная запись хранения Azure. Если вам нужно создать учетную запись хранения, см. статью "Создание учетной записи хранения с помощью PowerShell".

• Azure Cloud Shell или Azure PowerShell.

  Шаги, описанные в этой статье, позволяют выполнять командлеты Azure PowerShell в интерактивном режиме в Azure Cloud Shell. Чтобы запустить командлеты в Cloud Shell, выберите Open Cloud Shell в правом верхнем углу блока кода. Выберите "Копировать", чтобы скопировать код, а затем вставьте его в Cloud Shell, чтобы запустить его. Вы также можете запустить Cloud Shell из портала Azure.

  Вы также можете установить Azure PowerShell локально для выполнения командлетов. Для этой статьи требуется модуль Azure PowerShell. При локальном запуске PowerShell войдите в Azure с помощью командлета Connect-AzAccount .

• Учетная запись Azure с активной подпиской. Создайте учетную запись бесплатно .

• Поставщик аналитики. Дополнительные сведения см. в разделе Register Insights Provider.

• Группа безопасности сети. Если необходимо создать группу безопасности сети, см. статью "Создание, изменение" или удаление группы безопасности сети.

• Учетная запись хранения Azure. Если вам нужно создать учетную запись хранения, см. статью "Создание учетной записи хранения с помощью Azure CLI".

• Azure Cloud Shell или Azure CLI

  Действия, описанные в этой статье, выполняют команды Azure CLI интерактивно в Azure Cloud Shell. Чтобы выполнить команды в Cloud Shell, выберите Open Cloud Shell в правом верхнем углу блока кода. Выберите "Копировать ", чтобы скопировать код и вставить его в Cloud Shell, чтобы запустить его. Вы также можете запустить Cloud Shell из портала Azure.

  Вы также можете установить Azure CLI локально для выполнения команд. При локальном запуске Azure CLI войдите в Azure с помощью команды az login .

Чтобы регистрировать трафик, проходящий через группу сетевой безопасности, необходимо зарегистрировать Microsoft. Поставщик аналитики. Если вы не уверены, что это Microsoft. Провайдер Insights зарегистрирован, проверьте его статус в портале Azure, следуя следующим шагам:

1. В поле поиска в верхней части портала введите подписки. Выберите подписки из результатов поиска.

   

2. Выберите подписку Azure, для которой нужно включить поставщика в подписках.

3. В разделе Параметры выберите Поставщики ресурсов.

4. Введите аналитические сведения в поле фильтра.

5. Подтвердите, что статус поставщика — Зарегистрировано. Если статус — NotRegistered, выберите Microsoft. Поставщик аналитики, а затем выберите «Зарегистрироваться».

   

Чтобы регистрировать трафик, проходящий через группу сетевой безопасности, необходимо зарегистрировать Microsoft. Поставщик аналитики. Если вы не уверены, что это Microsoft. Провайдер Insights зарегистрирован, используйте cmdlet Register-AzResourceProvider для регистрации.

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Insights'

Чтобы регистрировать трафик, проходящий через группу сетевой безопасности, необходимо зарегистрировать Microsoft. Поставщик аналитики. Если вы не уверены, что это Microsoft. Insights provider зарегистрирован, используйте команду az provider register для регистрации.

# Register Microsoft.Insights provider.
az provider register --namespace 'Microsoft.Insights'

Чтобы включить аналитику трафика для журнала потоков, выполните следующие действия.

1. В поле поиска в верхней части портала введите Network Watcher. Выберите Наблюдатель за сетями из результатов поиска.

2. В разделе Журналы выберите журналы потоков.

3. В Наблюдатель за сетями | Журналы потоков выберите журнал потока, для которого требуется включить аналитику трафика.

4. В настройках журнала потока, в разделе Аналитика трафика, установите флажок Включить аналитику трафика.

   

5. Введите или выберите следующие значения:

   Настройки	Ценность
   Подписка	Выберите подписку Azure для вашей рабочей области Log Analytics.
   Рабочая область Log Analytics	Выберите рабочую область Log Analytics. По умолчанию портал Azure создает DefaultWorkspace-{SubscriptionID}-{Region} рабочую область Log Analytics в группе ресурсов defaultresourcegroup-{Region}.
   Интервал ведения журнала трафика	Выберите нужный интервал обработки: каждые 1 час и каждые 10 минут. Интервал обработки по умолчанию — каждые час. Дополнительные сведения см. в разделе "Аналитика трафика".

   

6. Выберите Сохранить, чтобы применить изменения.

Чтобы отключить аналитику трафика для журнала потоков, выполните предыдущие действия 1–3, а затем снимите флажок "Включить аналитику трафика" и нажмите кнопку "Сохранить".

Чтобы включить аналитику трафика на ресурсе журнала потока, используйте cmdlet Set-AzNetworkWatcherFlowLog .

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -FormatVersion 2

Чтобы отключить аналитику трафика на ресурсе журнала потока и продолжать генерировать и сохранять журналы потока в учетную запись хранения, используйте cmdlet Set-AzNetworkWatcherFlowLog .

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -FormatVersion 2

Чтобы включить аналитику трафика на ресурсе журнала потока, используйте команду az network watcher flow-log update .

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --log-version '2'

Чтобы отключить аналитику трафика на ресурсе журнала потока и продолжать генерировать и сохранять журналы потока в учетную запись хранения, используйте команду обновления потока az network watcher flow-log .

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics false --log-version '2'

1. В поле поиска в верхней части портала введите Network Watcher. Выберите Наблюдатель за сетями из результатов поиска.

2. В разделе Журналы выберите журналы потоков.

3. Выберите фильтр «Подписка равна », чтобы выбрать одну или несколько ваших подписок. Вы можете применять другие фильтры, например Расположение равно, чтобы перечислить все логи потока в регионе.

   

Используйте cmdlet Get-AzNetworkWatcherFlowLog , чтобы перечислить все ресурсы журнала потоков в определённом регионе вашей подписки.

# Get all flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table Name

Используйте команду Az Network Watcher flow-log list, чтобы перечислить все ресурсы логов потока в определённом регионе вашей подписки.

# Get all flow logs in East US region.
az network watcher flow-log list --location 'eastus' --out table

1. В поле поиска в верхней части портала введите Network Watcher. Выберите Наблюдатель за сетями из результатов поиска.

2. В разделе Журналы выберите журналы потоков.

3. В Наблюдатель за сетями | Журналы потоков выберите журнал потока, который вы хотите просмотреть.

4. В настройках логов потока просмотрите настройки ресурса журнала потока.

   

5. Нажмите кнопку "Отмена" , чтобы закрыть страницу параметров без внесения изменений.

Используйте cmdlet Get-AzNetworkWatcherFlowLog , чтобы увидеть детали ресурса журнала потока.

# Get the details of a flow log.
Get-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Используйте команду Az Network Watcher flow-log show, чтобы увидеть детали ресурса потокового журнала.

# Get the details of a flow log.
az network watcher flow-log show --name 'myFlowLog' --resource-group 'NetworkWatcherRG' --location 'eastus'

1. В поле поиска в верхней части портала введите учетные записи хранилища. Выберите учетные записи хранилища из результатов поиска.

2. Выберите учетную запись хранения, используемую для хранения журналов.

3. В разделе Хранилище данных выберите Контейнеры.

4. Выберите контейнер insights-logs-networksecuritygroupflowevent.

5. В insights-logs-networksecuritygroupflowevent перейдите по иерархии папок, пока не найдете PT1H.json файл, который требуется скачать. Файлы журнала потоков NSG следуют следующему пути:

   https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
   

6. Выберите многоточие... справа от PT1H.json файла, затем выберите «Скачать».

Чтобы скачать журналы потока NSG из вашей записи хранения, используйте cmdlet Get-AzStorageBlobContent . Дополнительные сведения см. в разделе «Загрузка Blob».

Файлы журнала потоков NSG, сохраненные в учетной записи хранения, соответствуют этому пути:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Чтобы скачать журналы потока NSG с вашей записи хранения, используйте команду загрузки az storage blob . Дополнительные сведения см. в разделе «Загрузка Blob».

Файлы журнала потоков NSG, сохраненные в учетной записи хранения, соответствуют этому пути:

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

1. В поле поиска в верхней части портала введите Network Watcher. Выберите Наблюдатель за сетями из результатов поиска.

2. В разделе Журналы выберите журналы потоков.

3. В Наблюдатель за сетями | Журналы потоков установите флажок журнала потока, который требуется отключить.

4. Выберите Отключить.

   

Используйте cmdlet Set-AzNetworkWatcherFlowLog для отключения flow log.

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id

Используйте команду обновления потока в az network watcher , чтобы отключить журнал потока.

# Disable the flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --enabled false

1. В поле поиска в верхней части портала введите Network Watcher. Выберите Наблюдатель за сетями из результатов поиска.

2. В разделе Журналы выберите журналы потоков.

3. В Наблюдатель за сетями | Журналы потоков установите флажок журнала потока, который требуется удалить.

4. Выберите команду Удалить.

   

Чтобы удалить ресурс потокового журнала, используйте cmdlet Remove-AzNetworkWatcherFlowLog .

# Delete the flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Чтобы удалить ресурс журнала потока, используйте команду az network watcher flow-log delete .

# Delete the flow log.
az network watcher flow-log delete --name 'myFlowLog' --location 'eastus' --no-wait 'true'