Log Analytics Workspace

Définition

Un Log Analytics Workspace est l'environnement de stockage et d'analyse des logs dans Azure Monitor et Microsoft Sentinel. Il constitue une base de données de logs cloud hautement scalable, interrogeable via le langage KQL (Kusto Query Language), et représente le cœur technique de la stratégie de journalisation et de détection dans les environnements Azure. Un workspace est caractérisé par sa région Azure (toutes les données sont stockées dans la région), son tier de tarification (Pay-As-You-Go ou Commitment Tiers pour les volumes élevés), sa rétention des données (30 jours par défaut, extensible jusqu'à 730 jours payants ou 2 ans en archive), et ses paramètres de contrôle d'accès (workspace-context ou resource-context RBAC). La conception de l'architecture des workspaces est un choix architectural important. Un workspace unique centralisé simplifie la gestion et facilite la corrélation cross-ressources, idéal pour les organisations de taille moyenne. Des workspaces multiples par région, par équipe, ou par sensibilité des données permettent une séparation des accès et le respect des exigences de souveraineté des données, au prix d'une corrélation plus complexe. Microsoft Sentinel peut agréger plusieurs workspaces. La gestion des accès aux workspaces utilise Azure RBAC : Log Analytics Reader (lecture seule des logs), Log Analytics Contributor (lecture + écriture des données de configuration), et les rôles Microsoft Sentinel dédiés (Sentinel Reader, Responder, Contributor). La fonctionnalité Table-level RBAC permet de restreindre l'accès à des tables spécifiques (ex: les analystes Tier-1 voient tous les logs sauf les tables contenant des données RH ou financières). Les Diagnostic Settings de chaque ressource Azure définissent les tables Log Analytics vers lesquelles les logs sont envoyés. La Table Transformation permet de filtrer et transformer les logs à l'ingestion pour réduire les coûts et améliorer la pertinence des données stockées.