Créer, modifier, activer, désactiver ou supprimer des journaux de flux de réseau virtuel

• Un compte Azure avec un abonnement actif. Créez gratuitement un compte.

• Fournisseur d’insights. Pour plus d’informations, consultez Inscrire un fournisseur Insights.

• Un réseau virtuel. Si vous devez créer un réseau virtuel, consultez Créer un réseau virtuel à l’aide du portail Azure.

• Un compte de stockage Azure. Si vous devez créer un compte de stockage, consultez Créer un compte de stockage à l’aide du portail Azure.

• Un compte Azure avec un abonnement actif. Créez gratuitement un compte.

• Fournisseur d’insights. Pour plus d’informations, consultez Inscrire un fournisseur Insights.

• Un réseau virtuel. Si vous devez créer un réseau virtuel, consultez Créer un réseau virtuel à l’aide de PowerShell.

• Un compte de stockage Azure. Si vous devez créer un compte de stockage, consultez Créer un compte de stockage à l’aide de PowerShell.

• Azure Cloud Shell ou Azure PowerShell.

  Les étapes décrites dans cet article exécutent les applets de commande Azure PowerShell de manière interactive dans Azure Cloud Shell. Pour exécuter les applets de commande dans Cloud Shell, sélectionnez Ouvrir Cloud Shell en haut à droite d’un bloc de code. Sélectionnez Copier pour copier le code, puis collez-le dans Cloud Shell pour l’exécuter. Vous pouvez également exécuter le Cloud Shell à partir du Portail Azure.

  Vous pouvez également installer Azure PowerShell localement pour exécuter les applets de commande. Cet article nécessite Azure PowerShell version 7.4.0 ou ultérieure. Exécutez Get-Module -ListAvailable Az pour rechercher la version installée. Si vous exécutez PowerShell localement, connectez-vous à Azure à l’aide de l’applet de commande Connect-AzAccount .

• Un compte Azure avec un abonnement actif. Créez gratuitement un compte.

• Fournisseur d’insights. Pour plus d’informations, consultez Inscrire un fournisseur Insights.

• Un réseau virtuel. Si vous devez créer un réseau virtuel, consultez Créer un réseau virtuel à l’aide d’Azure CLI.

• Un compte de stockage Azure. Si vous devez créer un compte de stockage, consultez Créer un compte de stockage à l’aide d’Azure CLI.

• Azure Cloud Shell ou Azure CLI.

  Les étapes décrites dans cet article exécutent les commandes Azure CLI de manière interactive dans Azure Cloud Shell. Pour exécuter les commandes dans Cloud Shell, sélectionnez Ouvrir Cloud Shell en haut à droite d’un bloc de code. Sélectionnez Copier pour copier le code et collez-le dans Cloud Shell pour l’exécuter. Vous pouvez également exécuter le Cloud Shell à partir du Portail Azure.

  Vous pouvez également installer Azure CLI localement pour exécuter les commandes. Cet article nécessite la version 2.39.0 ou ultérieure d’Azure CLI. Exécutez la commande az --version pour rechercher la version installée. Si vous exécutez Azure CLI localement, connectez-vous à Azure à l’aide de la commande az login .

Le fournisseur Microsoft.Insights doit être inscrit pour journaliser le trafic qui transite par un réseau virtuel. Si vous ne savez pas si le fournisseur Microsoft.Insights est inscrit, vérifiez son état dans le portail Azure en procédant comme suit :

1. Dans la zone de recherche située en haut du portail, entrez les abonnements. Sélectionnez Abonnements dans les résultats de la recherche.

   

2. Sélectionnez l’abonnement Azure pour lequel vous souhaitez activer le fournisseur dans Abonnements.

3. Sous Paramètres, sélectionnez Fournisseurs de ressources.

4. Entrez insight dans la zone de filtre.

5. Vérifiez que l’état du fournisseur affiché est Inscrit. Si l’état n’est pas Inscrit, sélectionnez le fournisseur Microsoft.Insights , puis Inscrivez-vous.

   

Le fournisseur Microsoft.Insights doit être inscrit pour journaliser le trafic dans un réseau virtuel. Si vous ne savez pas si le fournisseur Microsoft.Insights est inscrit, utilisez Register-AzResourceProvider pour l’inscrire.

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace Microsoft.Insights

Le fournisseur Microsoft.Insights doit être inscrit pour journaliser le trafic dans un réseau virtuel. Si vous ne savez pas si le fournisseur Microsoft.Insights est inscrit, utilisez az provider register pour l’inscrire.

# Register Microsoft.Insights provider.
az provider register --namespace Microsoft.Insights

1. Dans la zone de recherche située en haut du portail, entrez network watcher. Sélectionnez Network Watcher dans les résultats de la recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, sélectionnez + Bouton Créer ou créer un journal de flux bleu.

   

4. Sous l’onglet Informations de base de Créer un journal de flux, entrez ou sélectionnez les valeurs suivantes :

   Réglage	Valeur
   Détails du projet
   Abonnement	Sélectionnez l’abonnement Azure qui contient votre réseau virtuel.
   Type du journal de flux	Sélectionnez Réseau virtuel, puis sélectionnez + Sélectionner une ressource cible. Les options disponibles sont les suivantes : réseau virtuel, sous-réseau et interface réseau. Sélectionnez les ressources que vous souhaitez journaliser, puis sélectionnez Confirmer la sélection.
   Nom du journal de flux	Entrez un nom pour le journal des flux ou laissez le nom par défaut. Le portail Azure utilise {ResourceName}-{ResourceGroupName}-flowlog comme nom par défaut.
   Détails de l’instance
   Abonnement	Sélectionnez l’abonnement Azure qui contient le compte de stockage.
   Comptes de stockage	Sélectionnez le compte de stockage dans lequel vous souhaitez enregistrer les journaux de flux. Pour créer un compte de stockage, sélectionnez Créer un compte de stockage.
   Rétention (en jours)	Entrez une période de rétention pour la journalisation exprimée en jours. Cette option est disponible uniquement avec les comptes de stockage standard v2 à usage général . Entrez 0 pour conserver indéfiniment les données du journal de flux (jusqu’à ce que vous le supprimiez manuellement). Pour plus d’informations sur la tarification, consultez la tarification stockage Azure.

   Important

   Aujourd’hui, un compte de stockage prend en charge 100 règles et chaque règle peut prendre en charge 10 préfixes d’objet blob. Pour découvrir plus d’informations, consultez Combien de règles de stratégie de rétention un compte de stockage peut-il avoir ?

   

   Important

   Si vous configurez les journaux de flux de réseau virtuel au niveau de la carte réseau, du sous-réseau et du réseau virtuel, la préférence d’activation suit cet ordre : carte réseau > sous-réseau > réseau virtuel.

   Avertissement

   Les journaux de flux de réseau virtuel sont ingérés dans un objet blob de blocs à une minute d’intervalle par ajout de blocs. Pendant que l’ingestion est en cours, n’effectuez pas d’opérations qui modifient la structure de bloc de l’objet blob, comme la modification, l’écriture ou la suppression du contenu d’objet blob. Ces opérations peuvent entraîner l’échec de toutes les opérations d’écriture du journal de flux suivantes pour l’objet blob de cette heure précise.

5. Pour activer l’analytique du trafic, sélectionnez Suivant : Bouton Analytique ou sélectionnez l’onglet Analytique . Entrez ou sélectionnez les valeurs suivantes :

   Réglage	Valeur
   Activer Traffic Analytics	Cochez la case pour activer l’analyse du trafic pour votre journal de flux.
   Intervalle de traitement de l’analytique du trafic	Sélectionnez l’intervalle de traitement que vous préférez, les options disponibles sont les suivantes : toutes les 1 heure et toutes les 10 minutes. L’intervalle de traitement par défaut est toutes les heures. Pour plus d’informations, consultez Traffic Analytics.
   Abonnement	Sélectionnez l’abonnement Azure pour votre espace de travail Log Analytics.
   Espace de travail Log Analytics	Sélectionnez votre espace de travail Log Analytics. Par défaut, le portail Azure crée un espace de travail DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics dans le groupe de ressources defaultresourcegroup-{Region} .

   

   Remarque

   Pour créer et sélectionner un espace de travail Log Analytics autre que celui par défaut, consultez Créer un espace de travail Log Analytics

6. Sélectionnez Vérifier + créer.

7. Passez en revue les paramètres, puis sélectionnez Créer.

Utilisez l’applet de commande New-AzNetworkWatcherFlowLog pour créer un journal de flux de réseau virtuel.

• Activer les journaux de flux de réseau virtuel sans analyse du trafic

  # Place the virtual network configuration into a variable.
  $vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'
  
  # Place the storage account configuration into a variable.
  $storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'
  
  # Create a VNet flow log.
  New-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id -FormatVersion 2
  

• Activer les journaux de flux de réseau virtuel et l’analyse du trafic

  # Place the virtual network configuration into a variable.
  $vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'
  
  # Place the storage account configuration into a variable.
  $storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'
  
  # Create a traffic analytics workspace and place its configuration into a variable.
  $workspace = New-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup' -Location 'EastUS'
  
  # Create a VNet flow log.
  New-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id -FormatVersion 2 -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -TrafficAnalyticsInterval 10
  

Utilisez la commande az network watcher flow-log create pour créer un journal de flux de réseau virtuel.

• Activer les journaux de flux de réseau virtuel sans analyse du trafic

  # Create a VNet flow log.
  az network watcher flow-log create --location 'eastus' --resource-group 'myResourceGroup' --name 'myVNetFlowLog' --vnet 'myVNet' --storage-account 'myStorageAccount'
  

  # Create a VNet flow log (storage account is in a different resource group from the virtual network).
  az network watcher flow-log create --location 'eastus' --resource-group 'myResourceGroup' --name 'myVNetFlowLog' --vnet 'myVNet' --storage-account '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/StorageRG/providers/Microsoft.Storage/storageAccounts/myStorageAccount'
  

• Activer les journaux de flux de réseau virtuel et l’analyse du trafic

  # Create a traffic analytics workspace.
  az monitor log-analytics workspace create --name 'myWorkspace' --resource-group 'myResourceGroup' --location 'eastus'
  
  # Create a VNet flow log.
  az network watcher flow-log create --location 'eastus' --name 'myVNetFlowLog' --resource-group 'myResourceGroup' --vnet 'myVNet' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --interval 10
  

  # Create a traffic analytics workspace.
  az monitor log-analytics workspace create --name 'myWorkspace' --resource-group 'myResourceGroup' --location 'eastus'
  
  # Create a VNet flow log (storage account and traffic analytics workspace are in different resource groups from the virtual network).
  az network watcher flow-log create --location 'eastus' --name 'myVNetFlowLog' --resource-group 'myResourceGroup' --vnet 'myVNet' --storage-account '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/StorageRG/providers/Microsoft.Storage/storageAccounts/myStorageAccount' --traffic-analytics true --workspace '/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/WorkspaceRG/providers/Microsoft.OperationalInsights/workspaces/myWorkspace' --interval 10
  

Pour activer l’analytique du trafic d’un journal de flux, procédez comme suit :

1. Dans la zone de recherche située en haut du portail, entrez network watcher. Sélectionnez Network Watcher dans les résultats de la recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, sélectionnez le journal de flux pour lequel vous souhaitez activer l’analytique du trafic.

4. Dans les paramètres des journaux de flux, sous Analyse du trafic, cochez la case Activer l’analytique du trafic .

   

5. Entrez ou sélectionnez les valeurs suivantes :

   Réglage	Valeur
   Abonnement	Sélectionnez l’abonnement Azure pour votre espace de travail Log Analytics.
   Espace de travail Log Analytics	Sélectionnez votre espace de travail Log Analytics. Par défaut, le portail Azure crée un espace de travail DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics dans le groupe de ressources defaultresourcegroup-{Region} .
   Intervalle de journalisation du trafic	Sélectionnez l’intervalle de traitement que vous préférez, les options disponibles sont les suivantes : toutes les 1 heure et toutes les 10 minutes. L’intervalle de traitement par défaut est toutes les heures. Pour plus d’informations, consultez Traffic Analytics.

   

6. Sélectionnez Enregistrer pour appliquer les modifications.

Pour désactiver l’analytique du trafic pour un journal de flux, effectuez les étapes précédentes 1 à 3, puis décochez la case Activer l’analytique du trafic , puis sélectionnez Enregistrer.

Pour activer Traffic Analytics sur une ressource de journal de flux, utilisez l’applet de commande Set-AzNetworkWatcherFlowLog .

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the VNet flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id -FormatVersion 2 -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -TrafficAnalyticsInterval 10

Pour désactiver l'analyse du trafic sur la ressource de journal de flux et continuer à générer et enregistrer des journaux de flux de réseau virtuel dans un compte de stockage, utilisez l’applet de commande Set-AzNetworkWatcherFlowLog.

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the VNet flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id -FormatVersion 2

Pour activer Traffic Analytics sur une ressource de journal de flux, utilisez la commande az network watcher flow-log update.

# Update the VNet flow log.
az network watcher flow-log update --location 'eastus' --name 'myVNetFlowLog' --resource-group 'myResourceGroup' --vnet 'myVNet' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --interval 10

Pour désactiver l’analyse du trafic sur la ressource de journaux de flux et continuer à générer et enregistrer les journaux de flux de réseau virtuel dans un compte de stockage, utilisez la commande az network watcher flow-log update.

# Update the VNet flow log.
az network watcher flow-log update --location 'eastus' --name 'myVNetFlowLog' --resource-group 'myResourceGroup' --vnet 'myVNet' --storage-account 'myStorageAccount' --traffic-analytics false

1. Dans la zone de recherche située en haut du portail, entrez network watcher. Sélectionnez Network Watcher dans les résultats de la recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Sélectionnez le filtre Abonnement égal pour choisir un ou plusieurs de vos abonnements. Vous pouvez appliquer d’autres filtres, comme Emplacement égal, pour lister tous les journaux de flux dans une région.

   

Utilisez l’applet de commande Get-AzNetworkWatcherFlowLog pour répertorier toutes les ressources de journal de flux dans une région particulière de votre abonnement.

# Get all flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table

Utilisez la commande az network watcher flow-log list pour répertorier toutes les ressources de journal de flux dans une région particulière de votre abonnement.

# Get all flow logs in East US region.
az network watcher flow-log list --location 'eastus' --out table

1. Dans la zone de recherche située en haut du portail, entrez network watcher. Sélectionnez Network Watcher dans les résultats de la recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, sélectionnez le journal de flux que vous souhaitez voir.

4. Dans les paramètres des journaux de flux, vous pouvez afficher les paramètres de la ressource de journal de flux.

   

5. Sélectionnez Annuler pour fermer la page des paramètres sans apporter de modifications.

Utilisez l’applet de commande Get-AzNetworkWatcherFlowLog pour afficher les détails d’une ressource de journal de flux.

# Get the flow log details.
Get-AzNetworkWatcherFlowLog -NetworkWatcherName 'NetworkWatcher_eastus' -ResourceGroupName 'NetworkWatcherRG' -Name 'myVNetFlowLog'

Utilisez az network watcher flow-log show pour afficher les détails d’une ressource de journal de flux.

# Get the flow log details.
az network watcher flow-log show --name 'myVNetFlowLog' --resource-group 'NetworkWatcherRG' --location 'eastus'

1. Dans la zone de recherche située en haut du portail, entrez comptes de stockage. Sélectionnez les comptes de stockage dans les résultats de la recherche.

2. Sélectionnez le compte de stockage que vous avez utilisé pour stocker les journaux.

3. Sous Stockage de données, sélectionnez Conteneurs.

4. Sélectionnez le conteneur insights-logs-flowlogflowevent.

5. Dans insights-logs-flowlogflowevent, accédez à la hiérarchie des dossiers jusqu’à ce que vous accédiez au PT1H.json fichier que vous souhaitez télécharger. Les fichiers journaux de flux du réseau virtuel suivent le chemin suivant :

   https://{storageAccountName}.blob.core.windows.net/insights-logs-flowlogflowevent/flowLogResourceID=/{subscriptionID}_NETWORKWATCHERRG/NETWORKWATCHER_{Region}_{ResourceName}-{ResourceGroupName}-FLOWLOGS/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
   

6. Sélectionnez les points de suspension ... à droite du PT1H.json fichier, puis sélectionnez Télécharger.

   

Pour télécharger les journaux de flux de réseau virtuel depuis votre compte de stockage, utilisez la cmdlet Get-AzStorageBlobContent. Pour plus d’informations, consultez Télécharger un blob.

Les fichiers journaux de flux de réseau virtuel sont enregistrés sur le compte de stockage au chemin suivant :

https://{storageAccountName}.blob.core.windows.net/insights-logs-flowlogflowevent/flowLogResourceID=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/NETWORKWATCHERRG/PROVIDERS/MICROSOFT.NETWORK/NETWORKWATCHERS/NETWORKWATCHER_{Region}/FLOWLOGS/{FlowlogResourceName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Pour télécharger les journaux de flux de réseau virtuel à partir de votre compte de stockage, utilisez la commande az storage blob download . Pour plus d’informations, consultez Télécharger un blob.

Les fichiers journaux de flux de réseau virtuel sont enregistrés sur le compte de stockage au chemin suivant :

https://{storageAccountName}.blob.core.windows.net/insights-logs-flowlogflowevent/flowLogResourceID=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/NETWORKWATCHERRG/PROVIDERS/MICROSOFT.NETWORK/NETWORKWATCHERS/NETWORKWATCHER_{Region}/FLOWLOGS/{FlowlogResourceName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

1. Dans la zone de recherche située en haut du portail, entrez network watcher. Sélectionnez Network Watcher dans les résultats de la recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, cochez la case du journal de flux que vous souhaitez désactiver.

4. Sélectionnez Désactiver.

   

Utilisez l’applet de commande Set-AzNetworkWatcherFlowLog pour désactiver un journal de flux.

# Place the virtual network configuration into a variable.
$vnet = Get-AzVirtualNetwork -Name 'myVNet' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$storageAccount = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Disable the VNet flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myVNetFlowLog' -NetworkWatcherName 'NetworkWatcher_eastus' -ResourceGroupName 'NetworkWatcherRG' -StorageId $storageAccount.Id -TargetResourceId $vnet.Id

Utilisez la commande az network watcher flow-log update pour désactiver un journal de flux.

# Update the VNet flow log.
az network watcher flow-log update --enabled false --location 'eastus' --name 'myVNetFlowLog' --resource-group 'myResourceGroup' --vnet 'myVNet' --storage-account 'myStorageAccount'

1. Dans la zone de recherche située en haut du portail, entrez network watcher. Sélectionnez Network Watcher dans les résultats de la recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, cochez la case du journal de flux que vous souhaitez supprimer.

4. Sélectionnez Supprimer.

   

Pour supprimer une ressource de journal de flux de réseau virtuel, utilisez l’applet de commande Remove-AzNetworkWatcherFlowLog .

# Delete the VNet flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myVNetFlowLog' -Location 'eastus'

Pour supprimer une ressource de journal de flux de réseau virtuel, utilisez la commande az network watcher flow-log delete .

# Delete the VNet flow log.
az network watcher flow-log delete --name 'myVNetFlowLog' --location 'eastus'