Modifier, activer, désactiver ou supprimer les journaux de flux NSG

• Un compte Azure avec un abonnement actif. Créez un compte gratuitement.

• Fournisseur d’insights. Pour plus d’informations, consultez Inscrire le fournisseur d’Insights.

• Un groupe de sécurité réseau. Si vous devez créer un groupe de sécurité réseau, consultez Créer, modifier ou supprimer un groupe de sécurité réseau.

• Un compte de stockage Azure. Pour créer un compte de stockage, consultez Créer un compte de stockage avec le portail Azure.

• Un compte Azure avec un abonnement actif. Créez un compte gratuitement.

• Fournisseur d’insights. Pour plus d’informations, consultez Inscrire le fournisseur d’Insights.

• Un groupe de sécurité réseau. Si vous devez créer un groupe de sécurité réseau, consultez Créer, modifier ou supprimer un groupe de sécurité réseau.

• Un compte de stockage Azure. Si vous devez créer un compte de stockage, consultez Créer un compte de stockage à l’aide de PowerShell.

• Azure Cloud Shell ou Azure PowerShell.

  Les étapes décrites dans cet article exécutent les applets de commande Azure PowerShell de manière interactive dans Azure Cloud Shell. Pour exécuter les cmdlets dans le Cloud Shell, sélectionnez Ouvrir Cloud Shell dans le coin supérieur droit d’un bloc de code. Sélectionnez Copier pour copier le code, puis collez-le dans Cloud Shell pour l’exécuter. Vous pouvez également exécuter le Cloud Shell à partir du Portail Azure.

  Vous pouvez également installer Azure PowerShell localement pour exécuter les applets de commande. Cet article nécessite le module Azure PowerShell. Si vous exécutez PowerShell localement, connectez-vous à Azure avec la cmdlet Connect-AzAccount.

• Un compte Azure avec un abonnement actif. Créez un compte gratuitement.

• Fournisseur d’insights. Pour plus d’informations, consultez Inscrire le fournisseur d’Insights.

• Un groupe de sécurité réseau. Si vous devez créer un groupe de sécurité réseau, consultez Créer, modifier ou supprimer un groupe de sécurité réseau.

• Un compte de stockage Azure. Si vous devez créer un compte de stockage, consultez Créer un compte de stockage à l’aide d’Azure CLI.

• Azure Cloud Shell ou Azure CLI.

  Les étapes décrites dans cet article exécutent les commandes Azure CLI de manière interactive dans Azure Cloud Shell. Pour exécuter les commandes dans le Cloud Shell, sélectionnez Ouvrir Cloud Shell dans le coin supérieur droit d’un bloc de code. Sélectionnez Copier pour copier le code, puis collez-le dans Cloud Shell afin de l’exécuter. Vous pouvez également exécuter le Cloud Shell à partir du Portail Azure.

  Vous pouvez également installer Azure CLI localement afin d’exécuter les commandes. Si vous exécutez Azure CLI localement, connectez-vous à Azure à l’aide de la commande az login.

Pour enregistrer le trafic circulant via un groupe de sécurité réseau, vous devez enregistrer le Microsoft. Fournisseur d’insights. Si vous n'êtes pas sûr que Microsoft. Le fournisseur Insights est enregistré, vérifiez son statut sur le portail Azure en suivant ces étapes :

1. Dans la zone de recherche située en haut du portail, entrez abonnements. Sélectionnez Abonnements dans les résultats de recherche.

   

2. Sélectionnez l’abonnement Azure pour lequel vous souhaitez activer le fournisseur dans Abonnements.

3. Sous Paramètres, sélectionnez Fournisseurs de ressources.

4. Entrez insight dans la zone de filtre.

5. Confirmez que l’état du fournisseur affiché est Inscrit. Si le statut est NotRegistered, sélectionnez Microsoft. Fournisseur d’informations, puis sélectionnez Inscrire.

   

Pour enregistrer le trafic circulant via un groupe de sécurité réseau, vous devez enregistrer le Microsoft. Fournisseur d’insights. Si vous n'êtes pas sûr que Microsoft. Insights provider est enregistré, utilisez le cmdlet Register-AzResourceProvider pour l’enregistrer.

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Insights'

Pour enregistrer le trafic circulant via un groupe de sécurité réseau, vous devez enregistrer le Microsoft. Fournisseur d’insights. Si vous n'êtes pas sûr que Microsoft. Le fournisseur Insights est enregistré, utilisez la commande registre du fournisseur AZ pour l’enregistrer.

# Register Microsoft.Insights provider.
az provider register --namespace 'Microsoft.Insights'

Pour activer l’analytique du trafic d’un journal de flux, procédez comme suit :

1. Dans la zone de recherche située en haut du portail, entrez Network Watcher. Sélectionnez Network Watcher dans les résultats de recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, cochez la case du journal de flux pour lequel activer l’analytique du trafic.

4. Dans Paramètres des journaux de flux, sous Analyse de trafic, cochez la case Activer l’analytique du trafic.

   

5. Entrez ou sélectionnez les valeurs suivantes :

   Réglage	Valeur
   Abonnement	Sélectionnez l’abonnement Azure pour votre espace de travail Log Analytics.
   Espace de travail Log Analytics	Sélectionnez votre espace de travail Log Analytics. Par défaut, le portail Azure crée l’espace de travail Log Analytics DefaultWorkspace-{id-abonnement}-{région} dans le groupe de ressources defaultresourcegroup-{Région}.
   Intervalle de journalisation du trafic	Sélectionnez l’intervalle de traitement que vous préférez. Les options disponibles sont : Toutes les heures et Toutes les 10 minutes. L’intervalle de traitement par défaut est toutes les heures. Pour plus d’informations, consultez Analytique du trafic.

   

6. Sélectionnez Enregistrer pour appliquer la modification.

Pour désactiver l’analytique du trafic d’un journal de flux, répétez les étapes 1 à 3 ci-dessus, décochez la case Activer l’analytique du trafic, puis cliquez sur Enregistrer.

Pour permettre l’analyse du trafic sur une ressource de journal de flux, utilisez le cmdlet Set-AzNetworkWatcherFlowLog .

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -FormatVersion 2

Pour désactiver l’analyse du trafic sur la ressource de journal de flux et continuer à générer et sauvegarder les journaux de flux sur le compte de stockage, utilisez le cmdlet Set-AzNetworkWatcherFlowLog .

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -FormatVersion 2

Pour permettre l’analyse du trafic sur une ressource de journal de flux, utilisez la commande de mise à jour du journal de flux d’AZ Network Watcher .

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --log-version '2'

Pour désactiver l’analyse du trafic sur la ressource du journal de flux et continuer à générer et sauvegarder les journaux de flux sur le compte de stockage, utilisez la commande d’actualisation du journal de flux d’AZ Network Watcher .

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics false --log-version '2'

1. Dans la zone de recherche située en haut du portail, entrez Network Watcher. Sélectionnez Network Watcher dans les résultats de recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Sélectionnez le filtre Abonnement égal pour choisir un ou plusieurs de vos abonnements. Pour répertorier tous les journaux de flux d’une région, vous pouvez appliquer d’autres filtres, comme Emplacement égal à.

   

Utilisez le cmdlet Get-AzNetworkWatcherFlowLog pour lister toutes les ressources du journal de flux dans une région particulière dans votre abonnement.

# Get all flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table Name

Utilisez la commande az-network watcher flow-log list pour lister toutes les ressources du flow log dans une région particulière dans votre abonnement.

# Get all flow logs in East US region.
az network watcher flow-log list --location 'eastus' --out table

1. Dans la zone de recherche située en haut du portail, entrez Network Watcher. Sélectionnez Network Watcher dans les résultats de recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, sélectionnez le journal de flux que vous souhaitez voir.

4. Dans les paramètres des journaux de débit, consultez les paramètres de la ressource du journal de flux.

   

5. Sélectionnez Annuler pour fermer la page des paramètres sans apporter de modification.

Utilisez le cmdlet Get-AzNetworkWatcherFlowLog pour voir les détails d’une ressource de journal de flux.

# Get the details of a flow log.
Get-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Utilisez la commande az-network watcher flow-log show pour voir les détails d’une ressource de flow log.

# Get the details of a flow log.
az network watcher flow-log show --name 'myFlowLog' --resource-group 'NetworkWatcherRG' --location 'eastus'

1. Dans la zone de recherche située en haut du portail, entrez comptes de stockage. Dans les résultats de la recherche, sélectionnez Comptes de stockage.

2. Sélectionnez le compte de stockage que vous avez utilisé pour stocker les journaux.

3. Sous Stockage de données, sélectionnez Conteneurs.

4. Sélectionnez le conteneur insights-logs-networksecuritygroupflowevent.

5. Dans insights-logs-networksecuritygroupflowevent, accédez à la hiérarchie des dossiers jusqu’à ce que vous accédiez au PT1H.json fichier que vous souhaitez télécharger. Les fichiers journaux de flux de groupe de sécurité suivent le chemin d’accès suivant :

   https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
   

6. Sélectionnez l’ellipse ... à droite du PT1H.json fichier, puis sélectionnez Télécharger.

Pour télécharger les journaux de flux NSG depuis votre compte de stockage, utilisez le cmdlet Get-AzStorageBlobContent . Pour plus d'informations, consultez Télécharger un blob.

Les fichiers journal de flux NSG enregistrés dans un compte de stockage suivent le chemin d’accès suivant :

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

Pour télécharger les journaux de flux NSG depuis votre compte de stockage, utilisez la commande de téléchargement de blob de stockage d’Arizona . Pour plus d'informations, consultez Télécharger un blob.

Les fichiers journal de flux NSG enregistrés dans un compte de stockage suivent le chemin d’accès suivant :

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

1. Dans la zone de recherche située en haut du portail, entrez Network Watcher. Sélectionnez Network Watcher dans les résultats de recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, cochez la case du journal de flux que vous souhaitez désactiver.

4. Sélectionnez Désactiver.

   

Utilisez le cmdlet Set-AzNetworkWatcherFlowLog pour désactiver un journal de flux.

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id

Utilisez la commande az-network watcher flow-log update pour désactiver un flow log.

# Disable the flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --enabled false

1. Dans la zone de recherche située en haut du portail, entrez Network Watcher. Sélectionnez Network Watcher dans les résultats de recherche.

2. Sous Journaux, sélectionnez Journaux de flux.

3. Dans Network Watcher | Journaux de flux, cochez la case du journal de flux que vous souhaitez supprimer.

4. Sélectionnez Supprimer.

   

Pour supprimer une ressource de journal de flux, utilisez le cmdlet Remove-AzNetworkWatcherFlowLog .

# Delete the flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

Pour supprimer une ressource de journal de flux, utilisez la commande de suppression du journal de flux d’AZ Network Watcher.

# Delete the flow log.
az network watcher flow-log delete --name 'myFlowLog' --location 'eastus' --no-wait 'true'