Lernprogramm: Konfigurieren von Event Hubs für Azure Cloud HSM

Wenn Sie die Ereignisprotokollierung für Azure Cloud HSM konfiguriert haben, verfügen Sie bereits über eine funktionierende Diagnoseeinstellung auf Ihrem Cloud HSM-Cluster, die HsmServiceOperations Protokolle an Speicher und Log Analytics weiterleiten. Um Event Hubs als Ziel hinzuzufügen, fügen Sie dieser Diagnoseeinstellung ein drittes Ziel hinzu, oder erstellen Sie eine neue, die auf Event Hubs ausgerichtet ist.

Azure Monitor Diagnoseeinstellungen unterstützen mehrere Ziele gleichzeitig. Da Ihre Log Analytics-Pipeline bereits beweist, dass die Protokollemissionen von Cloud HSM funktionieren, wird Event Hubs zu einem weiteren Ziel, das dieselbe HsmServiceOperations Kategorie empfängt.

In diesem Tutorial lernen Sie Folgendes:

Erstellen Sie einen Event Hub-Namespace und einen Event Hub für Cloud HSM-Protokolle.
Konfigurieren Sie Autorisierungsregeln mit den geringsten Rechten.
Aktualisieren Sie Diagnoseeinstellungen, um Protokolle an Event Hubs zu streamen.
Stellen Sie sicher, dass Event Hubs Cloud HSM-Vorgangsereignisse empfängt.

Voraussetzungen

Eine bereitgestellte und aktivierte Azure Cloud HSM-Ressource. Weitere Informationen finden Sie im Azure Cloud HSM-Onboardinghandbuch.
Diagnoseeinstellungen, die Vorgangsereignisprotokolle an Speicher und Log Analytics senden. Weitere Informationen finden Sie unter Konfiguration und Abfrage von Ereignisprotokollen für Azure Cloud HSM.
Contributor- oder Monitoring Contributor-Rolle in der Ressourcengruppe für Cloud HSM.

Überprüfen, ob die Protokollressourcengruppe vorhanden ist

Event Hubs sollten in derselben Ressourcengruppe bereitgestellt werden, die Ihr Speicherkonto und Ihren Log Analytics-Arbeitsbereich zur Betriebsereignisprotokollierung enthält. Wenn Sie die Betriebsereignisprotokollierung nicht eingerichtet haben, folgen Sie zuerst den Anweisungen in Konfigurieren und Abfragen der Protokollierung von Betriebsvorgangsereignissen für Azure Cloud HSM.

Überprüfen Sie, ob Ihre zielorientierte Ressourcengruppe vorhanden ist:

Azure CLI
Azure PowerShell

az group show --name "<resource-group>" --query "{name:name, location:location}" --output table

Get-AzResourceGroup -Name "<resource-group>" | Select-Object ResourceGroupName, Location

Erstellen eines Event Hubs-Namespaces

Der Namespace ist der Container, der einen oder mehrere Event Hubs enthält. Verwenden Sie die Standardebene , die für die Integration von Diagnoseeinstellungen erforderlich ist.

Azure CLI
Azure PowerShell

az eventhubs namespace create \
  --name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --location "<location>" \
  --sku Standard \
  --capacity 1 \
  --enable-auto-inflate false

New-AzEventHubNamespace `
  -Name "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>" `
  -Location "<location>" `
  -SkuName Standard `
  -SkuCapacity 1 `
  -EnableAutoInflate:$false

Schlüsseloptionen:

Standard-SKU: Die Basisebene unterstützt keine Diagnoseeinstellungen als Ziel.
Kapazität 1: Eine Durchsatzeinheit (1-MB/s-Eingang, 2-MB/s-Ausgang) reicht für HSM-Überwachungsprotokolle aus.
Autoinflate deaktiviert: Das HSM-Log-Volumen ist niedrig, daher ist Autoinflate nicht erforderlich.

Erstellen eines Event Hubs im Namespace

Um die Cloud HSM-Protokolle zu empfangen, erstellen Sie einen Event Hub im Namespace.

Azure CLI
Azure PowerShell

az eventhubs eventhub create \
  --name "cloudhsm-logs" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --partition-count 2 \
  --retention-time-in-hours 168 \
  --cleanup-policy Delete

New-AzEventHub `
  -Name "cloudhsm-logs" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>" `
  -PartitionCount 2 `
  -RetentionTimeInHour 168 `
  -CleanupPolicy Delete

Schlüsseloptionen:

Partitionsanzahl 2: Zwei Partitionen sind für den HSM-Überwachungsprotokolldurchsatz ausreichend.
Aufbewahrungszeit von 168 Stunden: Nachrichten sieben Tage lang aufbewahren (das Maximum für die Standardebene).
Bereinigungsrichtlinie Löschen: Löschen von Nachrichten nach Ablauf des Aufbewahrungszeitraums.

Erstellen einer Consumergruppe

Erstellen Sie eine dedizierte Verbrauchergruppe für die nachgeschaltete Verarbeitung. Reservieren Sie die Standardgruppe $Default für andere Verwendungen.

Azure CLI
Azure PowerShell

az eventhubs eventhub consumer-group create \
  --name "azure-cloud-hsm" \
  --namespace-name "<eventhub-namespace>" \
  --eventhub-name "cloudhsm-logs" \
  --resource-group "<resource-group>"

New-AzEventHubConsumerGroup `
  -Name "azure-cloud-hsm" `
  -NamespaceName "<eventhub-namespace>" `
  -EventHubName "cloudhsm-logs" `
  -ResourceGroupName "<resource-group>"

Erstellen einer Autorisierungsregel

Diagnoseeinstellungen benötigen "Senden" -Berechtigung zum Senden von Protokollen an den Event Hub. Erstellen Sie eine Zugriffsrichtlinie mit nur den erforderlichen Berechtigungen.

Azure CLI
Azure PowerShell

az eventhubs namespace authorization-rule create \
  --name "DiagnosticSettingsSendRule" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --rights Send

New-AzEventHubAuthorizationRule `
  -Name "DiagnosticSettingsSendRule" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>" `
  -Rights @("Send")

Hinweis

Diese Regel gewährt nur Send Berechtigungen, nicht Listenoder Manage. Befolgen Sie das Prinzip der geringsten Rechte. Ihre nachgeschalteten Verbraucher (z. B. Azure Functions oder Stream Analytics) sollten eine separate Regel mit Listen-Berechtigung verwenden.

Rufen Sie die Ressourcen-ID der Autorisierungsregel ab

Rufen Sie die Ressourcen-ID der Autorisierungsregel zur Verwendung in der Diagnoseeinstellung ab.

Azure CLI
Azure PowerShell

authRuleId=$(az eventhubs namespace authorization-rule show \
  --name "DiagnosticSettingsSendRule" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --query id --output tsv)

echo "Auth Rule ID: $authRuleId"

$authRule = Get-AzEventHubAuthorizationRule `
  -Name "DiagnosticSettingsSendRule" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>"

$authRuleId = $authRule.Id
Write-Host "Auth Rule ID: $authRuleId"

Speichern Sie diesen Wert für die Verwendung im nächsten Schritt.

Aktualisieren der Diagnoseeinstellung zum Hinzufügen von Event Hubs

Sie haben zwei Optionen zum Hinzufügen von Event Hubs als Ziel:

Option A: Aktualisieren der vorhandenen Diagnoseeinstellung (empfohlen)

Mit diesem Ansatz wird Ihre vorhandene Diagnoseeinstellung aktualisiert, um Event Hubs hinzuzufügen, während Speicher und Log Analytics beibehalten werden.

Azure CLI
Azure PowerShell

# Set your resource group variables
hsmResourceGroup="<resource-group>"
logsResourceGroup="<resource-group>"

# Find the HSM cluster name (auto-generated during deployment)
hsmClusterName=$(az resource list \
  --resource-group $hsmResourceGroup \
  --resource-type Microsoft.HardwareSecurityModules/cloudHsmClusters \
  --query "[0].name" --output tsv)
echo "HSM Cluster: $hsmClusterName"

# Get the HSM cluster resource ID
hsmResourceId=$(az resource show \
  --resource-group $hsmResourceGroup \
  --resource-type Microsoft.HardwareSecurityModules/cloudHsmClusters \
  --name $hsmClusterName \
  --query id --output tsv)

# Get your existing storage account ID
storageAccountId=$(az storage account list \
  --resource-group $logsResourceGroup \
  --query "[0].id" --output tsv)

# Get your existing Log Analytics workspace ID
workspaceId=$(az monitor log-analytics workspace list \
  --resource-group $logsResourceGroup \
  --query "[0].id" --output tsv)

# Get the Event Hub auth rule ID
authRuleId=$(az eventhubs namespace authorization-rule show \
  --name "DiagnosticSettingsSendRule" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group $logsResourceGroup \
  --query id --output tsv)

# Update the diagnostic setting with all three destinations
az monitor diagnostic-settings create \
  --name "<diagnostic-setting-name>" \
  --resource $hsmResourceId \
  --storage-account $storageAccountId \
  --workspace $workspaceId \
  --event-hub "cloudhsm-logs" \
  --event-hub-rule $authRuleId \
  --logs '[{"category":"HsmServiceOperations","enabled":true}]'

# Set your resource group variables
$hsmResourceGroup = "<resource-group>"
$logsResourceGroup = "<resource-group>"

# Find the HSM cluster
$hsmCluster = Get-AzResource `
  -ResourceGroupName $hsmResourceGroup `
  -ResourceType Microsoft.HardwareSecurityModules/cloudHsmClusters
$hsmClusterName = $hsmCluster.Name
Write-Host "HSM Cluster: $hsmClusterName"

# Get your existing storage account
$storageAccount = Get-AzStorageAccount -ResourceGroupName $logsResourceGroup | Select-Object -First 1

# Get your existing Log Analytics workspace
$workspace = Get-AzOperationalInsightsWorkspace -ResourceGroupName $logsResourceGroup | Select-Object -First 1

# Get the Event Hub auth rule ID
$authRule = Get-AzEventHubAuthorizationRule `
  -Name "DiagnosticSettingsSendRule" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName $logsResourceGroup

# Create the diagnostic setting with all three destinations
$log = New-AzDiagnosticSettingLogSettingsObject -Category HsmServiceOperations -Enabled $true

New-AzDiagnosticSetting `
  -Name "<diagnostic-setting-name>" `
  -ResourceId $hsmCluster.ResourceId `
  -StorageAccountId $storageAccount.Id `
  -WorkspaceId $workspace.ResourceId `
  -EventHubName "cloudhsm-logs" `
  -EventHubAuthorizationRuleId $authRule.Id `
  -Log $log

Von Bedeutung

Sowohl CLI- als auch PowerShell-Befehle ersetzen die gesamte Diagnoseeinstellung, wenn der Name einem vorhandenen entspricht. Sie müssen das Speicherkonto und den Arbeitsbereich erneut einschließen, oder diese Zielorte werden entfernt.

Option B: Erstellen einer separaten Diagnoseeinstellung nur für Event Hubs

Wenn Sie ihre vorhandene Einstellung lieber unverändert beibehalten und eine zweite hinzufügen möchten,

Azure CLI
Azure PowerShell

# Find the HSM cluster name
hsmClusterName=$(az resource list \
  --resource-group "<resource-group>" \
  --resource-type Microsoft.HardwareSecurityModules/cloudHsmClusters \
  --query "[0].name" --output tsv)

hsmResourceId=$(az resource show \
  --resource-group "<resource-group>" \
  --resource-type Microsoft.HardwareSecurityModules/cloudHsmClusters \
  --name $hsmClusterName \
  --query id --output tsv)

authRuleId=$(az eventhubs namespace authorization-rule show \
  --name "DiagnosticSettingsSendRule" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --query id --output tsv)

az monitor diagnostic-settings create \
  --name "chsm-eventhub-diagnostic-setting" \
  --resource $hsmResourceId \
  --event-hub "cloudhsm-logs" \
  --event-hub-rule $authRuleId \
  --logs '[{"category":"HsmServiceOperations","enabled":true}]'

# Find the HSM cluster
$hsmCluster = Get-AzResource `
  -ResourceGroupName "<resource-group>" `
  -ResourceType Microsoft.HardwareSecurityModules/cloudHsmClusters

# Get the Event Hub auth rule ID
$authRule = Get-AzEventHubAuthorizationRule `
  -Name "DiagnosticSettingsSendRule" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>"

# Create the diagnostic setting for Event Hub only
$log = New-AzDiagnosticSettingLogSettingsObject -Category HsmServiceOperations -Enabled $true

New-AzDiagnosticSetting `
  -Name "chsm-eventhub-diagnostic-setting" `
  -ResourceId $hsmCluster.ResourceId `
  -EventHubName "cloudhsm-logs" `
  -EventHubAuthorizationRuleId $authRule.Id `
  -Log $log

Hinweis

Azure unterstützt bis zu fünf Diagnoseeinstellungen pro Ressource. Eine zweite Einstellung ist sinnvoll und ermöglicht eine klare Trennung der Bedenken.

Überprüfen, ob Event Hubs Nachrichten empfängt

Überprüfen Sie nach der Konfiguration der Diagnoseeinstellung, ob Event Hubs Cloud HSM-Protokolle empfängt.

Überprüfen der Diagnoseeinstellung im Portal

Wechseln Sie im Azure-Portal zu Ihrem Cloud HSM-Cluster.
Wählen Sie unter Überwachung die Option Diagnoseeinstellungen aus.
Vergewissern Sie sich, dass Event Hubs als Ziel aufgeführt ist.

Überprüfen von Event Hubs-Metriken

Führen Sie den folgenden Befehl aus, um eingehende Nachrichten über die letzte Stunde zu überprüfen:

Azure CLI
Azure PowerShell

# Get your subscription ID
subId=$(az account show --query id --output tsv)

# Check incoming messages (last 1 hour)
az monitor metrics list \
  --resource "/subscriptions/$subId/resourceGroups/<resource-group>/providers/Microsoft.EventHub/namespaces/<eventhub-namespace>" \
  --metric "SuccessfulRequests" \
  --interval PT1H \
  --output table

# Get the Event Hub namespace
$namespace = Get-AzEventHubNamespace `
  -ResourceGroupName "<resource-group>" `
  -NamespaceName "<eventhub-namespace>"

# Check incoming messages (last 1 hour)
Get-AzMetric `
  -ResourceId $namespace.Id `
  -MetricName "SuccessfulRequests" `
  -TimeGrain 01:00:00 `
  -StartTime (Get-Date).AddHours(-1)

Anzeigen von Nachrichten (optional)

Wenn Sie einige Nachrichten lesen möchten, um Inhalte zu bestätigen, erstellen Sie eine Listenregel :

Azure CLI
Azure PowerShell

# Create a Listen rule for your consumer
az eventhubs namespace authorization-rule create \
  --name "ConsumerListenRule" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --rights Listen

# Get the connection string
az eventhubs namespace authorization-rule keys list \
  --name "ConsumerListenRule" \
  --namespace-name "<eventhub-namespace>" \
  --resource-group "<resource-group>" \
  --query primaryConnectionString --output tsv

# Create a Listen rule for your consumer
New-AzEventHubAuthorizationRule `
  -Name "ConsumerListenRule" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>" `
  -Rights @("Listen")

# Get the connection string
$keys = Get-AzEventHubKey `
  -Name "ConsumerListenRule" `
  -NamespaceName "<eventhub-namespace>" `
  -ResourceGroupName "<resource-group>"

$keys.PrimaryConnectionString

Sie können diese Verbindungszeichenfolge mit Azure Event Hubs Explorer, der Visual Studio Code Event Hubs-Erweiterung oder einem Python Skript verwenden, um Nachrichten anzuzeigen.

Feedback

War diese Seite hilfreich?

Last updated on 2026-04-09