用途：用于设计或重构支撑 Microsoft Sentinel 及更广泛安全遥测的 Log Analytics 工作区，聚焦安全侧决策，包括分层、保留期、数据收集规则（DCR）、RBAC 和成本。不适用于 Sentinel 检测规则编写、App Insights 插桩或非安全可观测性。
主要能力：按表选择日志层级——Analytics（亚秒查询、交互式保留最长 730 天，用于检测、狩猎、仪表板）、Basic（秒级查询且有 KQL 限制、30 天交互加归档，用于高吞吐的按需搜索日志）、Auxiliary（较慢/异步、12 个月交互，用于低接触合规归档）以及 Archive（任意层级、搜索作业召回、最长 12 年，用于长期取证与合规保留）；Microsoft 曾调整这些命名，提交前需在所在区域核实当前名称与价格。工作区拓扑：默认每租户一个 Sentinel 工作区以便关联，主权/区域要求时拆分，多工作区仅在并购边界或 MSSP 模式等业务原因下使用，勿按团队拆分。代理使用 Azure Monitor Agent（AMA）；MMA/Log Analytics 代理已退役。每个数据源族定义一份 DCR，可用 transformKql 在摄取时丢弃噪声列或事件 ID。保留与归档：交互式默认 90 天，应按检测回溯窗口延长至 180–730 天；归档用搜索作业按需回注。成本控制：工作区承诺层级（100 GB/天至 5000 GB/天）可降单价约 15–30%；识别并限制 DNS、NSG 流日志、Linux Syslog 等主要来源；设置每日上限作为护栏并告警；按月审查。RBAC：工作区级 Log Analytics Reader/Contributor，支持表级 RBAC，Sentinel 另有 Reader/Responder/Contributor 角色，勿给 SOC 分析师 Owner。多工作区/多租户：可用 Sentinel 工作区管理器与 union 跨工作区查询。
限制与注意：默认 90 天保留通常不足以安全调查，APT 驻留时间中位数更长，主检测源建议 180–730 天；勿为保险全部用 Analytics 层；列丢弃会破坏检测，DCR 应纳入源码管理并审查；每日上限会丢数据包括安全数据，须配告警且不低于安全表峰值；2025 年后勿部署 MMA；工作区 CMK 需专用群集且承诺 ≥500 GB/天；多工作区 Sentinel 狩猎更难；归档召回依赖搜索作业而非原生查询；诊断设置按资源配置，应按订阅用 Azure Policy 扩展。常见反模式包括按团队拆工作区、全量 Analytics、NSG 流日志全保真长期送 Sentinel、30 天保留、上限低于正常量、手工编辑 DCR、Sentinel 与 Defender XDR 分属不同工作区、无用量依据即上专用群集。示例提示涵盖多区域主权部署工作区策略、MMA 到 AMA 迁移、编写 DCR 降噪、分层与保留计划、成本优化、表级 RBAC、CMK 上线与每日上限告警策略。相关官方文档链接已在资料中给出。