将日志发送到多个 Azure 日志分析工作区

Question

I have a scenario at my work where i need to send logs from multiple resources on azure to single log analytics workspace for compliance purpose and then ingest the same logs to Azure Sentinel workspace for SIEM services, i however cannot enable Azure Sentinel on the first workspace ，请提供任何线索或解决方案。

Answer 1

首先，我认为您最好的选择是将所有内容放入一个保留期较长的日志分析工作区，但可以说这根本不可能。

我可以在这里看到 2 个选项：最简单的可能是在每个资源上设置 2 个诊断设置，这些设置指向单独的日志分析工作空间。

一个更难的选择是使用持续导出到 Azure 存储（这可能是您需要做的所有事情）或事件中心，然后使用 Azure ZC1C425268E68385D1AB5074F147 将其处理回日志分析。

最后的评论是，无论在这里做什么，您都将为数据摄取支付两次费用，这至少会使您的成本增加一倍，从而缩短保留时间。