快速入门：加入 Microsoft Sentinel

项目
08/15/2024

在本快速入门中，你将启用 Microsoft Sentinel 并从内容中心安装解决方案。然后，设置数据连接器以开始将数据引入 Microsoft Sentinel。

Microsoft Sentinel 附带许多适用于 Microsoft 产品的数据连接器，例如，Office 365 服务到服务连接器。还可以启用面向非 Microsoft 产品（例如 Syslog 或通用事件格式 [CEF]）的内置连接器。对于本快速入门，你将使用 Microsoft Sentinel 的 Azure 活动解决方案中提供的 Azure 活动数据连接器。

若要使用 API 载入到 Microsoft Sentinel，请参阅 Sentinel Onboarding States 阅最新支持的版本。

先决条件

有效的 Azure 订阅。如果没有订阅，请在开始之前创建一个试用帐户。
Log Analytics 工作区。了解如何创建 Log Analytics 工作区。有关 Log Analytics 工作区的详细信息，请参阅设计 Azure 监视日志部署。

在用于 Microsoft Sentinel 的 Log Analytics 工作区中，你可能有默认 30 天的保留期。若要确保你可以使用所有 Microsoft Sentinel 功能和特性，请将保留期提高到 90 天。在 Azure Monitor 日志中配置数据保留和存档策略。
权限：
- 若要启用 Microsoft Sentinel，需要获取 Microsoft Sentinel 工作区所在订阅的参与者权限。
- 若要使用 Microsoft Sentinel，需要获取工作区所属资源组的 Microsoft Sentinel 参与者或 Microsoft Sentinel 读者权限。
- 要在内容中心安装或管理解决方案，需要在工作区所属的资源组上具有 Microsoft Sentinel 参与者角色。
Microsoft Sentinel 是付费服务。查看 Microsoft Sentinel 定价页
在将 Microsoft Sentinel 部署到生产环境之前，请查看部署 Microsoft Sentinel 的预部署活动和先决条件。

启用 Microsoft Sentinel

如果要开始，请将 Microsoft Sentinel 添加到现有工作区或创建新工作区。

登录 Azure 门户。
搜索“Microsoft Sentinel”并将其选中。
选择创建。
选择要使用的工作区，或创建新工作区。可在多个工作区上运行 Microsoft Sentinel，但将数据隔离到单个工作区。
- 列表中未显示由 Microsoft Defender for Cloud 创建的默认工作区。你无法在这些工作区上安装 Microsoft Sentinel。
- 部署在工作区上后，Microsoft Sentinel 不支持将该工作区移至其他资源组或订阅。
选择添加。