ネットワーク セキュリティ境界の診断ログ

この記事では、ネットワーク セキュリティ境界の診断ログと、ログ記録を有効にする方法について学習します。 使用されるアクセス ログ カテゴリについて学習します。 その後、診断ログを格納するためのオプションと、Azure portal を介してログ記録を有効にする方法を確認します。

アクセス ログのカテゴリ

ネットワーク セキュリティ境界のアクセス ログ カテゴリは、アクセス規則評価の結果に基づいています。 診断設定で選択されたログ カテゴリは、お客様が選択したストレージの場所に送信されます。 適用可能なモードを含む各アクセス ログ カテゴリの説明を以下に示します。

アクセス ログ スキーマ

ネットワーク セキュリティ境界に関連付けられているすべての PaaS リソースは、有効にすると統合ログ スキーマを含むアクセス ログを生成します。

ネットワーク セキュリティ境界固有のプロパティ

このセクションでは、ログ スキーマのネットワーク セキュリティ境界固有のプロパティについて説明します。

ソースのプロパティ

受信接続のソースを記述するプロパティ。

宛先のプロパティ

送信接続の宛先を記述するプロパティ。

受信カテゴリのサンプル ログ エントリ

{
  "time" : "{timestamp}",
  "timeGeneratedEndTime" : "{timestamp}",
  "count" : "{countOfAggregatedLogs}",
  "resourceId" : "/SUBSCRIPTIONS/{subsId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYPERIMETERS/{perimeterName}",
  "operationName" : "{PaaSOperationName}" ,
  "operationVersion" : "{api-version}",
  "category" : "{inboundCategory}",
  "location" : "{networksecurityperimeterRegion}",
  "properties" : {
    "serviceResourceId" : "/subscriptions/{paasSubsId}/resourceGroups/{paasResourceGroupName}/providers/{provider}/{resourceType}/{resourceName}",
    "serviceFqdn": "{PaaSResourceFQDN}",
    "accessRulesVersion" : "{accessRulesVersion}",
    "profile" : "{networksecurityperimeterProfileName}",
    "appId" : "{resourceAppId}",
    "parameters" : "{ {ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    "matchedRule" : {
      "accessRule" : "{matchedRuleName}",
      },
    "source" : {
      "resourceId" : "/subscriptions/{sourceSubscriptionId}/resourceGroups/{sourceResourceGroupName}/providers/{sourceProvider}/{sourceResourceType}/{sourceResourceName}",
      "ipAddress": "{sourceIPAddress}",
      "perimeterGuids" : ["{sourcePerimeterGuid}"], // Only included if request comes from perimeter
      "appId" : "{sourceAppId}",
      "port" : "{Port}",
      "protocol" : "{Protocol}",
      "parameters" : "{ {ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    },
  },
  "resultDescription" : "The static text description of this operation on the PaaS resource. For example, \"Get storage file.\""
}

送信カテゴリのサンプル ログ エントリ

{
  "time" : "{timestamp}",
  "timeGeneratedEndTime" : "{timestamp}",
  "count" : "{countOfAggregatedLogs}",
  "resourceId" : "/SUBSCRIPTIONS/{subsId}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYPERIMETERS/{perimeterName}",
  "operationName" : "{PaaSOperationName}" ,
  "operationVersion" : "{api-version}",
  "category" : "{outboundCategory}",
  "location" : "{networksecurityperimeterRegion}",
  "properties" : {
    "serviceResourceId" : "/subscriptions/{paasSubsId}/resourceGroups/{paasResourceGroupName}/providers/{provider}/{resourceType}/{resourceName}",
    "serviceFqdn": "{PaaSResourceFQDN}",
    "accessRulesVersion" : "{accessRulesVersion}",
    "profile" : "{networksecurityperimeterProfileName}",
    "appId" : "{resourceAppId}",
    "parameters" : "{{ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    "matchedRule" : {
      "accessRule" : "{matchedRuleName}",
      },
    "destination" : {
      "resourceId" : "/subscriptions/{destSubsId}/resourceGroups/{destResourceGroupName}/providers/{destProvider}/{destResourceType}/{destResourceName}",
      "fullyQualifiedDomainName" : "{destFQDN}",
      "appId" : "{destAppId}",
      "port" : "{Port}",
      "protocol" : "{Protocol}",
      "parameters" : "{ {ParameterType1}: {value1}, {ParameterType2}: {value2}, ...}", // Parsable JSON 
    },
  },
  "resultDescription" : "The static text description of this operation on the PaaS resource. For example, \"Get storage file.\""
}

アクセス ログのログ出力先オプション

ネットワーク セキュリティ境界の診断ログを格納する宛先には、Log Analytic ワークスペース (テーブル名: NSPAccessLogs)、Azure Storage アカウント、Azure Event Hubs などのサービスが含まれます。 サポートされている宛先の完全なリストと詳細については、診断ログのサポートされている宛先に関するページを参照してください。

Azure portal を使用したログの有効化

ネットワーク セキュリティ境界の診断ログは、Azure portal の [診断設定] を使って有効にすることができます。 診断設定を追加するときに、収集するログ カテゴリと、ログを配信する宛先を選ぶことができます。

次のステップ