Verbinden eines Azure Log Analytics Workspace

Übersicht

RealmJoin Portal kann mögliche Probleme mit Windows-Updates anzeigen wie Windows Update SafeGuard Holds durch Integration mit Windows Update for Business Reports.

Außerdem verwendet RealmJoin Portal Log Analytics, um Audit-Log-Informationen zu speichern und Runbook-Ausführungsdaten über die Standardgrenzen von Azure Automation (derzeit 30 Tage) hinaus zu archivieren.

Komponenten

Azure App-Registrierung

RealmJoin wird mit beiden Log Analytics-Arbeitsbereichen über eine Entra ID-Anwendungsregistrierung.

Sie können die App-Registrierung "RealmJoin Runbook Management" wiederverwenden, die beim Erstellen von Onboarding-Runbooks.

Diese App wird mit einer ClientId und einem ClientSecret authentifiziert. Die Verwendung eines Zertifikats oder einer verwalteten Identität wird derzeit nicht unterstützt.

Bitte gewähren Sie der App "Monitoring Reader"-Berechtigungen für die für Windows Update for Business Reports Integration und "Monitoring Contributor" für die RealmJoin Audit-Logs Log Analytics-Konto.

RealmJoin wird außerdem den Customer Workspace Key verwenden, um Daten direkt in RealmJoin Audit Logs.

Windows Update for Business Reports Integration

Windows Update for Business Reports zu schreiben. Dies muss in Ihrer Umgebung konfiguriert sein, um diese Funktion zu nutzen. Es wird updatebezogene Ereignisse in einen Azure Log Analytics Workspace. RealmJoin kann die Ereignisse aus diesem Log Analytics-Arbeitsbereich lesen und sie auf der Gerätedetailseite.

Sie können denselben Log Analytics-Arbeitsbereich sowohl für Windows Update for Business Reports als auch für RealmJoin Audit Logs. Bitte weisen Sie in diesem Fall "Monitoring Contributor"-Berechtigungen zu.

RealmJoin Audit Logs

RealmJoin kann einen Log Analytics-Arbeitsbereich verwenden, um seine eigenen Audit-Protokolle zu speichern sowie Runbook-Protokolle nach der maximalen Aufbewahrungsfrist in Azure Automation (derzeit 30 Tage) zu archivieren.

Bitte beachten Sie, dass Sie, um Protokolle länger als 30 Tage zu speichern, die Standardaufbewahrung der Arbeitsbereichsdaten, die standardmäßig ebenfalls auf 30 Tage gesetzt ist, ändern müssen.

Einrichtung

Teil 1 - Authentifizierung mittels Azure App-Registrierung

1. Öffnen Sie im Azure-Portal Microsoft Entra ID > Verwalten > App-Registrierungen.

2. Wählen Sie die Registerkarte Alle Anwendungen.

3. Wählen Sie Ihren nächsten Schritt.

Bestehende Runbook-Integration

Wenn Sie bereits mit Azure Runbooks integriert sind, können Sie Ihre vorhandene App-Registrierung wiederverwenden.

1. Wählen Sie die App-Registrierung "RealmJoin Runbooks Management" aus.

2. Navigieren Sie zu Verwalten > Zertifikate & Geheimnisse.

3. Wählen Sie die Registerkarte "Clientgeheimnisse".

4. Erstellen Sie ein neues Clientgeheimnis.

   • Legen Sie Beschreibung und Ablauf gemäß Ihren internen Namens- und Sicherheitsrichtlinien fest.

Neue App-Registrierung

1. Notieren Sie den geheimen Wert sicher, um ihn in Teil 5.

Das Verlassen der Seite Zertifikate & Geheimnisse führt dazu, dass Azure das Geheimnis verschleiert. Das Geheimnis kann dann nicht mehr abgerufen werden und es muss ein neues Geheimnis erstellt werden.

Teil 2 - Erstellen eines Log Analytics-Arbeitsbereichs

1. Öffnen Sie im Azure-Portal Log Analytics-Arbeitsbereich

2. Wählen Sie Erstellen

3. Geben Sie eine Ressourcengruppe, einen Namen und eine Region nach Bedarf an

4. Navigieren Sie zur Registerkarte "Übersicht"

5. Beachten Sie Folgendes für Teil 5

   1. Name der Ressourcengruppe

   2. Arbeitsbereichsname

   3. Arbeitsbereichs-ID

Teil 3 - Aktivieren von Windows Update for Business Reports

1. Öffnen Sie im Azure-Portal Überwachen > Arbeitsmappen

2. Suchen Sie nach "Windows Update for Business reports"

   
3. Setzen Sie Ihr Abonnement und den zuvor erstellten Arbeitsbereich. Wenn ein separater Arbeitsbereich für RealmJoin-Protokolle und Windows Update for Business-Berichte bevorzugt wird, erstellen Sie einen separaten Arbeitsbereich und verknüpfen Sie ihn stattdessen.

4. Einstellungen speichern

Windows Update for Business-Berichte können bis zu 24 Stunden benötigen, um angewendet zu werden

Teil 4 - Azure-Berechtigungen

1. Navigieren Sie zu dem Abonnement, in dem sich Ihr Log Analytics-Arbeitsbereich befindet

2. Wählen Sie Zugriffskontrolle (IAM)

3. Fügen Sie eine Rollenzuweisung hinzu

4. Gewähren Sie Ihrer App-Registrierung die Berechtigung Monitoring Contributor

   
5. Überprüfen Sie die Rollenzuweisung und speichern Sie sie

Teil 5 - Verbinden von RealmJoin und Azure Log Analytics-Arbeitsbereich

Log Analytics-Einstellungsseite

1. Öffnen Sie im RealmJoin Portal Einstellungen > Log Analytics

2. Füllen Sie die Felder aus: Mandanten-Details

   • Mandanten-ID: Bitte geben Sie die Mandanten-ID Ihrer Entra ID an. Sie finden diese auf der Übersichtsseite der Entra ID

     

   Azure App-Registrierungsdetails

   • ClientId: RealmJoin wird über eine Azure App-Registrierung. Bitte geben Sie die ClientId/AppId und das Secret der App an, damit RealmJoin sich authentifizieren kann.

     
   • ClientSecret: Wird zusammen mit der ClientId verwendet, um RealmJoin Zugriff zu gewähren. Dies ist das Geheimnis, das in Teil 1.

     

   Windows Update for Business Arbeitsbereichsdetails

   • Update Compliance Arbeitsbereichs-ID: Bitte geben Sie die Windows Update for Business Reports Log Analytics-Arbeitsbereichs-ID an, von der die Daten gesammelt werden sollen.

   Arbeitsbereichsdetails

   • Abonnement-ID: Bitte geben Sie die Abonnement-ID des RealmJoin Audit Logs Log Analytics-Kontos an. Die Abonnement-ID ist auf der Übersichtsseite des Abonnements einsehbar.

   • Ressourcengruppe: Bitte geben Sie den Namen der Ressourcengruppe des RealmJoin Audit Logs Log Analytics-Konto.

   • Arbeitsbereichsname: Bitte geben Sie den Arbeitsbereichsnamen des RealmJoin Audit Logs Log Analytics-Konto.

   • Kunden-Arbeitsbereichs-ID: Bitte geben Sie eine Log Analytics-Arbeitsbereichs-ID an / erstellen Sie einen Log Analytics-Arbeitsbereich, um RealmJoin-Audit-Protokolle und Runbook-Protokolldaten zu speichern.

     
   • Kunden-Arbeitsbereichsschlüssel: RealmJoin fungiert als Agent für Log Analytics. Bitte geben Sie den "Primary Key" für diesen Arbeitsbereich an, damit das Schreiben von Daten in den Arbeitsbereich möglich ist.

     • "Der Primary Key" kann auf verschiedenen Wegen erhalten werden:

       • Azure CLI: az monitor log-analytics workspace get-shared-keys --resource-group MyResourceGroup --workspace-name MyWorkspace

       • PowerShell: Get-AzOperationalInsightsWorkspaceSharedKey -ResourceGroupName "MyResourceGroup" -Name "MyWorkspace"

       • RestAPI: POST https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/sharedKeys?api-version=2025-07-01

3. Drücken Sie Speichern nachdem Sie alle Felder ausgefüllt haben. Das System gibt Ihnen Rückmeldung, ob alles funktioniert hat.