問1. 8つのAzureサブスクリプションを4事業部が運用しており、サブスクリプションは事業部単位に対応していない。各事業部のログ量には大きな差があり、中央SOCは全事業部を横断したKQL相関分析と共通アラートを必要とする。一方、各事業部の運用担当者には自部門のログだけを閲覧させ、監査基準上も事業部間のアクセス境界をワークスペース単位で分離する必要がある。運用負荷を抑えながら最小権限と横断分析を両立するLog Analyticsワークスペース設計はどれか。
- 全サブスクリプションのログを単一ワークスペースへ集約し、各事業部にはクエリやダッシュボードを限定して提供して、横断分析の運用効率を優先する
- サブスクリプションごとにワークスペースを分け、各管理者には自分の範囲だけを許可し、中央SOCは必要なワークスペースを個別に検索して分析する
- 事業部単位でワークスペースを分割し、各運用チームは自部門だけ、中央SOCは全ワークスペースを読み取り可能にして、クロスワークスペースKQLと横断ログアラートを利用する
- ログ量が特に多いリソースだけ専用ワークスペースに分け、残りを中央へ集約し、各事業部へ中央ワークスペースの閲覧権限を付与する
問2. ある企業は同一のAzureテナントで本番環境と非本番環境を運用している。本番ログは機密性が高く長期保持が必要で、本番運用者とSOCの許可された担当者だけが閲覧できるようにしたい。一方、非本番では詳細ログを大量に出力し、開発者が自由に分析する。SOCは両環境を横断したインシデント相関分析を行うが、開発者による本番アラートやクエリの誤操作は避けたい。横断分析、アクセス分離、ログ量、運用ミス防止を満たすワークスペース構成はどれか。
- 本番用と非本番用にワークスペースを分離し、環境ごとに保持期間とRBACを設定する。SOCには両方への読み取り権限を与え、本番のアラート管理は本番運用者に限定して横断KQLを実行する
- 両環境を単一ワークスペースへ集約し、環境タグとクエリ条件で論理的に分離する。横断分析は容易になるが、保持期間とアクセス範囲は同じ基盤で管理する
- 本番と非本番をさらにアプリケーションやリソース単位へ細かく分割し、各ワークスペースを個別に管理する。境界は明確になるが、横断相関と運用標準化が複雑になる
- 環境別ワークスペースを作成した上で、SOC向けに全ログを第三の共有ワークスペースへ複製する。SOCと開発者に同じ共有権限を与えて横断分析する
問3. 東日本リージョンと西日本リージョンに同一サービスの本番基盤がある。各リージョンで発生するリソースログはデータ所在地要件により発生元リージョン内に保存し、片方のリージョン障害時も健全なリージョンの監視運用を継続したい。一方、平常時は運用チームが両リージョンを横断してKQL検索できる必要がある。Log Analyticsワークスペースの構成として最も適切なものはどれか。
- 各リージョンに1つずつLog Analyticsワークスペースを配置し、各地域のログを同地域のワークスペースへ送り、通常時はクロスワークスペースクエリで横断分析する
- 東日本に単一のLog Analyticsワークスペースを配置し、両リージョンのログを集約して、単一のワークスペース上で横断検索とアラート管理を行う
- 両リージョンに同じ構成のワークスペースを配置し、両地域のログを双方へ複製して、片方のリージョン障害時も全ログを検索できるようにする
- サブスクリプションごとにLog Analyticsワークスペースを1つ配置し、リージョンをまたぐリソースのログを各サブスクリプション内で集約して検索する