你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

使用 Azure 门户创建、更改、启用、禁用或删除虚拟网络流日志

  • 项目

虚拟网络安全组流日志记录是 Azure 网络观察程序的一项功能，可用于记录有关流经 Azure 虚拟网络的 IP 流量的信息。 有关虚拟网络流日志记录的详细信息，请参阅虚拟网络流日志概述。

在本文中，你将了解如何使用 Azure 门户创建、更改、启用、禁用或删除虚拟网络流日志。 还可以了解如何使用 PowerShell 或 Azure CLI 管理虚拟网络流日志。

先决条件

注册 Insights 提供程序

必须注册 Microsoft.Insights 提供程序才能成功记录流经虚拟网络的流量。 如果不确定是否已注册 Microsoft.Insights 提供程序，请按照以下步骤在 Azure 门户中检查其状态：

  1. 在门户顶部的搜索框中，输入“订阅”。 从搜索结果中选择“订阅”。

    屏幕截图显示了如何在 Azure 门户中搜索“订阅”。

  2. 在“订阅”中，选择要为其启用提供程序的 Azure 订阅。

  3. 在“设置”下，选择“资源提供程序”。

  4. 在筛选器框中输入“见解”。

  5. 确认显示的提供程序状态为“已注册”。 如果状态为“NotRegistered”，请选择“Microsoft.Insights”提供程序，然后选择“注册”。

    屏幕截图显示了如何在 Azure 门户中注册 Microsoft Insights 提供程序。

创建流日志

为虚拟网络、子网或网络接口创建流日志。 此流日志保存在 Azure 存储帐户中。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序 | 流日志”，选择“+ 创建”或“创建流日志”蓝色按钮。

    屏幕截图显示了 Azure 门户中网络观察程序流日志。

  4. 在“创建流日志”的“基本信息”选项卡上，输入或选择以下值：

    设置 值
    项目详细信息
    订阅 选择要记录的虚拟网络的 Azure 订阅。
    流日志类型 选择“虚拟网络”，然后选择“ + 选择目标资源”（可用选项包括：虚拟网络、子网和网络接口）。
    选择要记录流日志的资源，然后选择“确认选择”。
    流日志名称 输入流日志的名称或保留默认名称。 Azure 门户使用 {ResourceName}-{ResourceGroupName}-flowlog 作为流日志的默认名称。
    实例详细信息
    订阅 为存储帐户选择 Azure 订阅。
    存储帐户 选择要在其中保存流日志的存储帐户。 如果要创建新的存储帐户，可选择“新建存储帐户”。
    保持期（天） 输入日志的保留时间（此选项仅适用于标准常规用途 v2 存储帐户）。 如果要永久保留存储帐户中的流日志数据（直到手动将其从存储帐户中删除），请输入 0。 有关定价的详细信息，请参阅 Azure 存储定价。

    屏幕截图显示了 Azure 门户中创建虚拟网络流日志的“基本信息”选项卡。

    注意

    如果存储帐户位于其他订阅中，则记录的资源（虚拟网络、子网或网络接口）和存储帐户必须与同一 Microsoft Entra 租户相关联。 用于每个订阅的帐户必须有必要的权限。

  5. 若要启用流量分析，请选择“下一步: 分析”按钮，或选择“分析”选项卡。输入或选择下列值：

    设置 “值”
    启用流量分析 选中复选框，以为流日志启用流量分析。
    流量分析处理间隔 选择所需的处理间隔，可用选项包括：每小时和每 10 分钟。 默认处理间隔为每小时。 有关详细信息，请参阅流量分析。
    订阅 选择 Log Analytics 工作区的 Azure 订阅。
    Log Analytics 工作区 选择 Log Analytics 工作区。 默认情况下，Azure 门户会在 defaultresourcegroup-{Region} 资源组中创建 DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics 工作区。

    屏幕截图显示了如何在 Azure 门户中为新流日志启用流量分析。

    注意

    若要创建并选择除默认工作区以外的 Log Analytics 工作区，请参阅创建 Log Analytics 工作区

  6. 选择“查看 + 创建”。

  7. 检查设置，然后选择创建。

启用或禁用流量分析

为流日志启用流量分析以分析流日志数据。 流量分析提供对虚拟网络流量模式的见解。 可以随时为流日志启用或禁用流量分析。

若要为流日志启用流量分析，请执行以下步骤：

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序 | 流日志”中，选择要启用流量分析的流日志。

  4. 在“流日志设置”中，选中“启用流量分析”复选框。

    屏幕截图显示了如何在 Azure 门户中为现有流日志启用流量分析。

  5. 输入或选择下列值：

    设置 “值”
    流量分析处理间隔 选择所需的处理间隔，可用选项包括：每小时和每 10 分钟。 默认处理间隔为每小时。 有关详细信息，请参阅流量分析。
    订阅 选择 Log Analytics 工作区的 Azure 订阅。
    Log Analytics 工作区 选择 Log Analytics 工作区。 默认情况下，Azure 门户会在 defaultresourcegroup-{Region} 资源组中创建 DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics 工作区。

    屏幕截图显示了在 Azure 门户中为现有流日志配置流量分析。

  6. 选择“保存”应用所做的更改。

若要为流日志禁用流量分析，请执行前面的步骤 1-3，然后取消选中“启用流量分析”复选框，并选择“保存”。

屏幕截图显示了如何在 Azure 门户中为现有流日志禁用流量分析。

更改流日志

创建流日志后，可以对其进行配置和更改。 例如，可以更改存储帐户或 Log Analytics 工作区。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序|流日志”中选择要更改的流日志。

  4. 在“流日志设置”中，可以更改以下任何设置：

    • 存储帐户：更改要保存流日志的存储帐户。 如果要创建新的存储帐户，可选择“新建存储帐户”。 还可以从其他订阅中选择存储帐户。 如果存储帐户位于其他订阅中，则记录的资源（虚拟网络、子网或网络接口）和存储帐户必须与同一 Microsoft Entra 租户相关联。
    • 保留期(天)：更改存储帐户中的保留时间（此选项仅适用于标准常规用途 v2 存储帐户）。 如果要永久保留存储帐户中的流日志数据（直到手动将数据从存储帐户中删除），请输入 0。
    • 流量分析：为流日志启用或禁用流量分析。 有关详细信息，请参阅流量分析。
    • 流量分析处理间隔：更改流量分析的处理间隔（如果已启用流量分析）。 可用选项包括：1 小时和 10 分钟。 默认处理间隔为每小时。 有关详细信息，请参阅流量分析。
    • Log Analytics 工作区：更改要保存流日志的 Log Analytics 工作区（如果已启用流量分析）。 有关详细信息，请参阅 Log Analytics 工作区概述。 还可以从其他订阅中选择 Log Analytics 工作区。

    屏幕截图显示了如何在 Azure 门户中编辑流日志设置（可在其中更改一些虚拟网络流日志设置）。

  5. 选择“保存”应用所做的更改。

列出所有流日志

可以列出一个订阅或一组订阅中的所有流日志。 还可以列出某个区域中的所有流日志。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 选择“订阅等于”筛选器，以选择一个或多个订阅。 可以应用“位置等于”等其他筛选器来列出某个区域的所有流日志。

    屏幕截图显示了如何在 Azure 门户中列出现有流日志。

查看流日志资源的详细信息

可以查看订阅或一组订阅中的流日志详细信息。 还可以列出某个区域中的所有流日志。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序|流日志”中选择要查看的流日志。

  4. 在“流日志设置”中，可以查看流日志资源的设置。

    Azure 门户中“流日志设置”页的屏幕截图。

  5. 选择“放弃”关闭设置页，无需进行更改。

下载流日志

可以从要保存流日志的存储帐户下载流日志数据。

  1. 在门户顶部的搜索框中，输入“存储帐户”。 在搜索结果中选择“存储帐户”。

  2. 选择用于存储日志的存储帐户。

  3. 在“数据存储”下，选择“容器”。

  4. 选择“insights-logs-flowlogflowevent”容器。

  5. 在“insights-logs-flowlogflowevent”中，浏览文件夹层次结构，直到找到要下载的 文件PT1H.json。 虚拟网络流日志文件遵循以下路径：

    https://{storageAccountName}.blob.core.windows.net/insights-logs-flowlogflowevent/flowLogResourceID=/{subscriptionID}_NETWORKWATCHERRG/NETWORKWATCHER_{Region}_{ResourceName}-{ResourceGroupName}-FLOWLOGS/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

  6. 选择 PT1H.json 文件右侧的省略号“...”，然后选择“下载”。

    屏幕截图显示了如何从 Azure 门户中的存储帐户容器下载虚拟网络流日志数据文件。

注意

从存储帐户访问并下载流日志还有另一种方法，可以使用 Azure 存储资源管理器。 有关详细信息，请参阅存储资源管理器入门。

有关流日志结构的信息，请参阅虚拟网络流日志的日志格式。

禁用流日志

可以暂时禁用虚拟网络流日志，而无需删除它。 禁用流日志会停止关联虚拟网络的流日志记录。 但是，流日志资源会保留其所有设置和关联。 可以随时重新启用它，以恢复对配置的虚拟网络进行流日志记录。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序|流日志”中，选择要禁用的流日志的复选框。

  4. 选择“禁用”。

    屏幕截图显示了如何在 Azure 门户中禁用流日志。

注意

如果为流日志启用了流量分析，则必须先禁用流量分析，然后才能禁用流日志。 若要禁用流量分析，请参阅启用或禁用流量分析。

启用流日志

可以启用以前禁用的虚拟网络流日志，以继续使用以前选择的相同设置进行流日志记录。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序 | 流日志”中，选中要启用的流日志复选框。

  4. 选择启用。

    屏幕截图显示了如何在 Azure 门户中启用流日志。

删除流日志

可以永久删除虚拟网络流日志。 删除流日志会删除其所有设置和关联。 若要再次为同一虚拟网络开始流日志记录，必须为其创建新的流日志。

  1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中选择“网络观察程序”。

  2. 在“日志”下，选择“流日志”。

  3. 在“网络观察程序|流日志”中，选择要删除的流日志的复选框。

  4. 选择“删除”。

    屏幕截图显示了如何在 Azure 门户中删除流日志。

注意

删除流日志不会删除存储帐户中的流日志数据。 存储在存储帐户中的流日志数据遵循配置的保留策略，或在手动删除前一直存储在存储帐户中。

相关内容