用途：将安全运营中心（SOC）标准化到 Microsoft Defender 门户，把 SIEM（Microsoft Sentinel）、XDR（Microsoft Defender XDR）、Microsoft Security Copilot、Microsoft Defender Threat Intelligence 和 Microsoft Security Exposure Management 汇聚为单一体验，统一 SIEM 与 XDR 的事件队列并减少分析师上下文切换。
主要能力与做法：先确认前置条件——需有 Sentinel 工作区、已载入至少一个 Defender 产品的 Defender XDR、相应的 Entra 与 Sentinel RBAC 角色，且工作区与 Defender XDR 在同一租户，管理员具备 Microsoft Sentinel Contributor 加一个 Defender XDR 安全角色。每租户只能有一个 Sentinel 工作区作为统一门户的主工作区，多工作区需明确主工作区并制定迁移计划。在 Defender 门户连接 Log Analytics 工作区以载入 Sentinel，此过程不破坏现有 Sentinel 内容（分析规则、狩猎查询、Playbook），但改变分析师的作业界面。载入后验证统一事件队列：Sentinel 与 Defender XDR 的事件和警报合并为共享实体的一条队列，可用端到端模拟攻击验证是否生成一条关联事件而非两条。统一高级狩猎可在 Defender 门户用 KQL 同时查询 Sentinel 与 XDR 表。随后按 SOC 痛点依次叠加 Security Copilot 内嵌 AI 协助、威胁情报 IOC 管理与暴露面管理。最后端到端验证 RBAC，把现有 Sentinel 与 Defender 角色映射到统一模型，检查是否出现权限提升或非预期访问。
限制与注意：部分 Sentinel 功能在载入 Defender 门户后行为不同，迁移前应查阅“变更内容”指南（分析规则 UX、工作簿呈现、事件富化）。统一 RBAC 可能与原生 RBAC 授予或限制不同，需谨慎验证。载入不等于迁移，规则、Playbook、工作簿仍留在 Sentinel，改变的只是门户界面。成本并未消失：Sentinel 摄取仍按 Log Analytics 计费，Copilot 按 SCU 计费，暴露面管理可能单独授权。过渡期保留 Azure Sentinel 门户，部分管理任务仍在该处。避免一次全部载入、把 Defender 门户当作 Sentinel 内容的替代、跳过 RBAC 验证、多工作区无主工作区决策，以及在统一队列稳定前就启用 Copilot 或暴露面管理。
参考：Unified SecOps 概览 https://learn.microsoft.com/unified-secops-platform/overview-unified-security ；连接 Sentinel 到 Defender 门户 https://learn.microsoft.com/azure/sentinel/microsoft-sentinel-defender-portal 。