更改、启用、禁用或删除 NSG 流日志

• 具有活动订阅的 Azure 帐户。 免费创建帐户。

• 洞见提供者 有关更多信息，请参阅注册 Insights 服务提供商。

• 一个网络安全组。 如果需要创建网络安全组，请参阅创建、更改或删除网络安全组。

• 一个 Azure 存储帐户。 如果需要创建存储帐户，请参阅使用 Azure 门户创建存储帐户。

• 具有活动订阅的 Azure 帐户。 免费创建帐户。

• 洞见提供者 有关更多信息，请参阅注册 Insights 服务提供商。

• 一个网络安全组。 如果需要创建网络安全组，请参阅创建、更改或删除网络安全组。

• 一个 Azure 存储帐户。 如果需要创建存储帐户，请参阅使用 PowerShell 创建存储帐户。

• Azure Cloud Shell 或 Azure PowerShell。

  本文中的步骤在 Azure Cloud Shell 中以交互方式运行 Azure PowerShell cmdlet 命令。 若要在 Cloud Shell 中运行 cmdlet，请选择代码块右上角的“打开 Cloud Shell”。 选择“复制”以复制代码，并将其粘贴到 Cloud Shell 以运行。 也可以从 Azure 门户中运行 Cloud Shell。

  也可以在本地安装 Azure PowerShell 以运行 cmdlet。 本文需要 Azure PowerShell 模块。 如果在本地运行 PowerShell，请使用 Connect-AzAccount cmdlet 登录到 Azure。

• 具有活动订阅的 Azure 帐户。 免费创建帐户。

• 洞见提供者 有关更多信息，请参阅注册 Insights 服务提供商。

• 一个网络安全组。 如果需要创建网络安全组，请参阅创建、更改或删除网络安全组。

• 一个 Azure 存储帐户。 如果需要创建存储帐户，请参阅使用 Azure CLI 创建存储帐户。

• Azure Cloud Shell 或 Azure CLI。

  本文中的步骤在 Azure Cloud Shell 中以交互方式运行 Azure CLI 命令。 要在 Cloud Shell 中运行命令，请选择代码块右上角的“打开 Cloud Shell”。 选择“复制”以复制代码，并将其粘贴到 Cloud Shell 以运行。 也可以从 Azure 门户中运行 Cloud Shell。

  还可以 在本地安装 Azure CLI 以运行命令。 如果在本地运行 Azure CLI，请使用 az login 命令登录到 Azure。

要记录通过网络安全组流经的流量，您必须注册Microsoft。洞察提供商。 如果你不确定Microsoft是否......Insights 提供商已注册，请在 Azure 门户中按照以下步骤查看其状态：

1. 在门户顶部的搜索框中，输入“订阅”。 从搜索结果中选择“订阅”。

   

2. 在“订阅”中，选择要为其启用提供程序的 Azure 订阅。

3. 在“设置”下，选择“资源提供程序”。

4. 在筛选器框中输入见解。

5. 确认显示的提供程序状态为“已注册”。 如果状态是未注册，选择Microsoft。Insights提供者，然后选择注册。

   

要记录通过网络安全组流经的流量，您必须注册Microsoft。洞察提供商。 如果你不确定Microsoft。Insights 提供者已注册，使用 Register-AzResourceProvider cmdlet 注册它。

# Register Microsoft.Insights provider.
Register-AzResourceProvider -ProviderNamespace 'Microsoft.Insights'

要记录通过网络安全组流经的流量，您必须注册Microsoft。洞察提供商。 如果你不确定Microsoft是否......Insights provider 已注册，使用 az provider register 命令注册它。

# Register Microsoft.Insights provider.
az provider register --namespace 'Microsoft.Insights'

若要为流日志启用流量分析，请执行以下步骤：

1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中，选择“网络观察程序”。

2. 在“日志”下，选择“流日志”。

3. 在“网络观察程序 | 流日志”中，选择要启用流量分析的流日志。

4. 在“流日志设置”的“流量分析”下，选中“启用流量分析”复选框。

   

5. 输入或选择下列值：

   设置	价值
   订阅	选择您的 Log Analytics 工作区对应的 Azure 订阅。
   Log Analytics 工作区	选择 Log Analytics 工作区。 默认情况下，Azure 门户会在 defaultresourcegroup-{Region} 资源组中创建 DefaultWorkspace-{SubscriptionID}-{Region} Log Analytics 工作区。
   流量日志记录间隔	选择所需的处理间隔，可用选项包括：每小时和每 10 分钟。 默认处理间隔为每小时。 有关详细信息，请参阅流量分析。

   

6. 选择保存以应用更改。

若要为流日志禁用流量分析，请执行前面的步骤 1-3，然后取消选中“启用流量分析”复选框，并选择“保存”。

要启用流量日志资源的流量分析，可以使用 Set-AzNetworkWatcherFlowLog cmdlet。

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Place the workspace configuration into a variable.
$workspace = Get-AzOperationalInsightsWorkspace -Name 'myWorkspace' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -EnableTrafficAnalytics -TrafficAnalyticsWorkspaceId $workspace.ResourceId -FormatVersion 2

要禁用流量日志资源的流量分析，并继续生成并保存流日志到存储账户，请使用 Set-AzNetworkWatcherFlowLog cmdlet。

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account configuration into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $true -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id -FormatVersion 2

要启用流量日志资源的流量分析，请使用 az network watcher flow-log update 命令。

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics true --workspace 'myWorkspace' --log-version '2'

要禁用流量日志资源的流量分析，并继续生成并保存流量日志到存储账户，请使用 az network watcher flow-log update 命令。

# Update the NSG flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --traffic-analytics false --log-version '2'

1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中，选择“网络观察程序”。

2. 在“日志”下，选择“流日志”。

3. 选择“ 订阅等值 ”筛选功能，选择一个或多个订阅。 可以应用其他筛选器，例如 Location 等于 列出区域中的所有流日志。

   

使用 Get-AzNetworkWatcherFlowLog cmdlet 在订阅中列出特定区域内的所有流量日志资源。

# Get all flow logs in East US region.
Get-AzNetworkWatcherFlowLog -Location 'eastus' | format-table Name

使用 az network watcher flow-log list 命令，列出订阅中特定区域内的所有流量日志资源。

# Get all flow logs in East US region.
az network watcher flow-log list --location 'eastus' --out table

1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中，选择“网络观察程序”。

2. 在“日志”下，选择“流日志”。

3. 在“网络观察程序|流日志”中选择要查看的流日志。

4. 在 流量日志设置中，查看流量日志资源的设置。

   

5. 选择“取消”关闭设置页，无需进行更改。

使用 Get-AzNetworkWatcherFlowLog cmdlet 查看流量日志资源的详细信息。

# Get the details of a flow log.
Get-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

使用 az network watcher flow-log show 命令查看流量日志资源的详细信息。

# Get the details of a flow log.
az network watcher flow-log show --name 'myFlowLog' --resource-group 'NetworkWatcherRG' --location 'eastus'

1. 在门户顶部的搜索框中，输入“存储帐户”。 从搜索结果中选择“存储帐户”。

2. 选择用于存储日志的存储帐户。

3. 在“数据存储”下，选择“容器”。

4. 选择 insights-logs-networksecuritygroupflowevent 容器。

5. 在 insights-logs-networksecuritygroupflowevent 中，依次浏览文件夹层次结构，直到找到你想下载的 PT1H.json 文件。 NSG 流日志文件遵循以下路径：

   https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json
   

6. 选择文件右侧PT1H.json的省略号......然后选择下载。

要从你的存储账户下载NSG流程日志，请使用 Get-AzStorageBlobContent cmdlet。 有关详细信息，请参阅下载 blob。

NSG 流日志文件保存到存储账户的路径为：

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

要从你的存储账户下载NSG流程日志，可以使用 az storage blob download 命令。 有关详细信息，请参阅下载 blob。

NSG 流日志文件保存到存储账户的路径为：

https://{storageAccountName}.blob.core.windows.net/insights-logs-networksecuritygroupflowevent/resourceId=/SUBSCRIPTIONS/{subscriptionID}/RESOURCEGROUPS/{resourceGroupName}/PROVIDERS/MICROSOFT.NETWORK/NETWORKSECURITYGROUPS/{NetworkSecurityGroupName}/y={year}/m={month}/d={day}/h={hour}/m=00/macAddress={macAddress}/PT1H.json

1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中，选择“网络观察程序”。

2. 在“日志”下，选择“流日志”。

3. 在“网络观察程序|流日志”中，选择要禁用的流日志的复选框。

4. 选择禁用。

   

使用 Set-AzNetworkWatcherFlowLog cmdlet 禁用流日志。

# Place the network security group properties into a variable.
$nsg = Get-AzNetworkSecurityGroup -Name 'myNSG' -ResourceGroupName 'myResourceGroup'

# Place the storage account properties into a variable.
$sa = Get-AzStorageAccount -Name 'myStorageAccount' -ResourceGroupName 'myResourceGroup'

# Update the NSG flow log.
Set-AzNetworkWatcherFlowLog -Enabled $false -Name 'myFlowLog' -Location 'eastus' -TargetResourceId $nsg.Id -StorageId $sa.Id

使用 az network watcher flow-log update 命令禁用流日志。

# Disable the flow log.
az network watcher flow-log update --name 'myFlowLog' --nsg 'myNSG' --resource-group 'myResourceGroup' --storage-account 'myStorageAccount' --enabled false

1. 在门户顶部的搜索框中，输入“网络观察程序”。 在搜索结果中，选择“网络观察程序”。

2. 在“日志”下，选择“流日志”。

3. 在“网络观察程序|流日志”中，选择要删除的流日志的复选框。

4. 选择 删除。

   

要删除流日志资源，可以使用 Remove-AzNetworkWatcherFlowLog cmdlet。

# Delete the flow log.
Remove-AzNetworkWatcherFlowLog -Name 'myFlowLog' -Location 'eastus'

要删除流日志资源，可以使用 az network watcher flow-log delete 命令。

# Delete the flow log.
az network watcher flow-log delete --name 'myFlowLog' --location 'eastus' --no-wait 'true'