Insights: Kosten, Netzwerk, Security und Compliance¶

Das Portal hat vier Insight-Bereiche. Alle beginnen bei einer Catalog-Entity (workload, Team, Domäne, Organisation oder subscription) und zeigen die Daten der damit verknüpften Azure-subscriptions. Vier Dinge gelten für alle.

Daten werden im Hintergrund synchronisiert und in der Datenbank des Portals gespeichert, außer den Netzwerk-Logzeilen, die bei Bedarf abgefragt werden. Eine Seite kann daher hinter Azure zurückliegen. Erkennt das Portal veraltete Daten, zeigt es ein Warnpanel, und Ergebnisse können bis zum nächsten erfolgreichen Sync unvollständig sein.
Aggregationen folgen der Hierarchie Organisation, Domäne, Team, workload, subscription (Catalog und Entity-Modell).
Zusammenfassungen sind offen, Details sind geschützt. Kosten, der Secure Score und der Compliance-Prozentsatz sind standardmäßig für jeden angemeldeten Benutzer sichtbar. Empfehlungen, Policy-Details und Firewall- oder WAF-Logs sind nur für Owner des workloads sichtbar (Authentifizierung und Zugriff).
Alles hat ein MCP-Tool, sodass die Agenten und dein Editor dieselben Fragen stellen können (MCP-Server).

Bereich	Quelle in Azure	Sync	Detail sichtbar für
Kosten	Azure-Cost-Management-Exporte (FOCUS, Parquet), mit Azure Data Factory in Azure SQL geladen	Export durch Azure, Ingestion einmal täglich	Alle angemeldeten Benutzer (Standard)
Netzwerk	Azure-Firewall- und Application-Gateway-Diagnose in Log Analytics	Inventar alle 10 Minuten (Standard). Logs bei Bedarf	Owner des workloads
Security	Microsoft Defender for Cloud (Secure Score, Assessments) über Azure Resource Graph	Stündlich (Standard)	Owner, für Empfehlungen. Score für alle.
Compliance	Azure-Policy-Regulatory-Compliance-Initiativen über Azure Resource Graph	Stündlich (Standard)	Owner, für Policy-Details. Prozentsätze für alle.

Die Sync-Intervalle sind Standardwerte der gemeinsamen Konfiguration. Das Plattform-Team kann sie ändern (Konfiguration).

Kosten¶

Cost Insights zeigt die Azure-Ausgaben pro Monat, mit Verlauf, für subscriptions, workloads, Teams und Domänen.

Ansichten¶

Entity	Was die Seite zeigt
Workload	Alle subscriptions des workloads, jede als eigener Eintrag. Nützlich, um Umgebungen wie Entwicklung, Test und Produktion zu vergleichen.
Team (Gruppe)	Die workloads, die das Team besitzt (über die Beziehung `ownerOf`), jeder als Summe seiner subscriptions
Domäne	Die workloads der Domäne (über `hasPart`) und pro Team, das darin workloads besitzt

Die Diagramme lassen sich nach subscription, workload oder Gruppe (Team) gruppieren. Kosten, die keinem Owner zugeordnet werden können, werden als UNKNOWN gezeigt, zuletzt gezeichnet und mit Streifenmuster. Die Farben werden aus dem aktiven Theme der Umgebung abgeleitet, es gibt also keine kundenspezifische Farbliste zu pflegen.

Datenfluss¶

flowchart LR
    azure["Azure Cost Management"] -->|"scheduled FOCUS export<br/>Parquet, Snappy"| lake["Storage account<br/>billingdata container"]
    lake --> adf["Azure Data Factory<br/>daily pipeline"]
    adf --> sql["Azure SQL database<br/>billing table and views"]
    portal["Portal backend"] -->|"queries"| sql
    portal -->|"creates exports<br/>through the managed identity"| azure

Das Portal erstellt und pflegt die Exporte selbst: Ein geplanter Task erkennt die subscriptions im Scope und erstellt pro subscription einen Month-to-date-Export, in Batches, innerhalb eines Zeitfensters außerhalb der Geschäftszeiten. Siehe Cost-Insights-Einrichtung.
Exporte verwenden das FOCUS-Schema, in Parquet mit Snappy-Kompression. So gibt es tatsächliche und amortisierte Kosten in einem Export auf Basis eines offenen Standards.
Die Data-Factory-pipeline läuft täglich (04:00, Zeit W. Europe im Referenzcode) und lädt die Daten inkrementell in SQL.

Was du erwarten kannst¶

Nach einem neuen Setup erstellt Azure den ersten Export meist innerhalb von 24 Stunden, danach folgt die nächtliche Ingestion. Kostendaten können ein bis zwei Tage brauchen, bis sie erscheinen. Ein Plattform-Engineer kann Exporte und Ingestion manuell starten.
Eine subscription, deren Resource Provider Microsoft.CostManagement nicht registriert ist, wird übersprungen und beim nächsten Lauf erneut versucht.
Der Standard-Scope ist jede subscription, die die Managed Identity des Portals sehen kann. Er lässt sich auf management groups eingrenzen.

Kostendaten sind standardmäßig nicht geschützt. Ein Kunde kann eine strengere Einstellung verlangen. Das Zugriffsmodell unterstützt das (Authentifizierung und Zugriff).

Netzwerk¶

Die Netzwerkansicht ist eine Karte auf dem Tab Network eines workloads. Sie zeigt für einen wählbaren Zeitraum (Standard ein Tag):

Blockierte Firewall-Anfragen: Anfragen, die Azure Firewall abgelehnt hat. Die Log-Tabellen für Network, Application, NAT, Threat Intelligence und IDPS werden gelesen. Sowohl die ressourcenspezifischen Tabellen als auch das alte AzureDiagnostics-Format werden unterstützt.
Application-Gateway-Logs: WAF-Ereignisse und Zugriffslogs.

Status einer WAF-Anfrage¶

Status	Bedeutung
`Blocked`	Die WAF hat die Anfrage blockiert
`Matched`	Die Anfrage hat zum Anomaly Score beigetragen, wurde aber nicht blockiert
`Detected`	Die WAF lief im Detection-Modus und hätte die Anfrage im Prevention-Modus blockiert
`Allowed`	Die WAF hat die Anfrage ohne Regeltreffer durchgelassen

Der Schalter „Show blocked and flagged only“ blendet Allowed-Anfragen aus.

Wie Anfragen einem workload zugeordnet werden¶

Log	Eine Anfrage gehört zum workload, wenn
Azure Firewall	ihre Quell- oder Ziel-IP in einem Adresspräfix eines virtuellen Netzwerks in den subscriptions des workloads liegt. Es werden nur abgelehnte Anfragen gezeigt.
Application Gateway	ihre Quell-IP in einem solchen Präfix liegt, oder ihr Host-Name (und optionales Pfadpräfix) zu einer externen URI des workloads passt

Datenverkehr aus dem Internet zu einer WAF-geschützten Anwendung kommt selten aus dem eigenen Netzwerk des workloads, deshalb legt der tag external-uris den Scope für internetseitigen Verkehr fest. Host-Namen werden ohne Beachtung der Groß- und Kleinschreibung verglichen. Eine URI ohne Pfad passt auf jeden Pfad dieses Hosts. Eine URI mit Pfad passt auf Anfragen, deren Request-URI mit diesem Pfad beginnt.

Aktualität der Daten¶

Das Inventar von Firewalls, Application Gateways und virtuellen Netzwerken wird im Hintergrund aktualisiert (Standard alle zehn Minuten). Die Logzeilen selbst werden beim Öffnen der Seite aus dem Log-Analytics-workspace abgefragt. Die Identität des Portals braucht deshalb Reader und Monitoring Reader auf den Scopes, in denen die Firewalls und Gateways liegen (Voraussetzungen).

Wie du die Gateway-Logs selbst mit KQL abfragst, steht unter Application-Gateway-Logs.

Security¶

Security Insights zeigt den Microsoft Defender for Cloud Secure Score der gewählten Entity und die Empfehlungen dahinter.

Der Score einer subscription kommt direkt aus Defender for Cloud.
Der Score eines workloads, Teams oder einer Domäne ist der Durchschnitt der Secure Scores seiner subscriptions. Es ist kein Alles-oder-nichts- Status.
Die Seite kann nach workload, Domäne, Team oder subscription gruppieren.
Empfehlungen sind die nicht gesunden Assessments, auf der Seite nach Empfehlung oder nach Ressource gruppiert, mit einem Link zum Azure-Portal zur Behebung. Container-Image-Assessments werden weggelassen, weil sie dasselbe Finding für jede Ressource wiederholen, auf der das Image läuft. Empfehlungen sind nur für Owner des workloads sichtbar.

Die subscription braucht Defender for Cloud mit einem Secure Score. Eine subscription ohne Score zeigt den Wert null.

Compliance¶

Compliance Insights zeigt den Status von Regulatory-Compliance-Standards: Policy-Initiativen der Kategorie Regulatory Compliance und den Microsoft Cloud Security Benchmark. Jede Zelle der Matrix ist ein Standard für einen Scope und zeigt bestandene gegenüber der Gesamtzahl der Policy-Details.

Regel	Bedeutung
Ein Scope ist nur bei 100 % konform	Schlägt ein erforderliches Policy-Detail in einem Scope fehl, ist der Scope für diesen Standard nicht konform
Die Regel wird aggregiert	Ist ein untergeordneter Scope nicht konform, ist auch der übergeordnete Scope nicht konform
Drill-down	Die Liste der Policy-Details ist pro subscription verfügbar und nur für Owner des workloads

Die Daten stammen aus Azure-Policy-Zuständen: den Zuweisungen der Standards und dem Compliance-Zustand jeder Ressource pro Policy-Definition. Ein Standard, der der subscription nicht zugewiesen ist, erscheint nicht. Wie Policies und Ausnahmen auf der Plattform funktionieren, steht unter Policies und Ausnahmen.

Voraussetzungen pro Bereich¶

Bereich	Braucht
Kosten	Cost-Insights-Ressourcen, `Cost Management Contributor` für die Portal-Identität, `Microsoft.CostManagement` pro subscription registriert
Netzwerk	Diagnose von Azure Firewall und Application Gateway an einen Log-Analytics-workspace, `Reader` und `Monitoring Reader` für die Portal-Identität, virtuelle Netzwerke in den workload-subscriptions, `external-uris`-tags für internetseitigen Verkehr
Security	Microsoft Defender for Cloud auf den subscriptions, `Reader` für die Portal-Identität
Compliance	Mit Azure Policy zugewiesene Regulatory-Compliance-Initiativen, `Reader` für die Portal-Identität

Die Rollenzuweisungen stehen unter Voraussetzungen.