Registros de recursos y el plano de datos

Los registros de recursos capturan operaciones del plano de datos: leer un secreto de un almacén de claves, hacer una petición a una base de datos, pedir un archivo a una cuenta de almacenamiento. A diferencia del registro de actividad, no se recogen por defecto: hay que crear una configuración de diagnóstico en cada recurso que diga qué categorías de registros enviar y adónde, por ejemplo a un espacio de trabajo de Log Analytics.

Esto cambia lo que se puede responder. Con el registro de actividad se sabe quién creó un almacén de claves; con el registro de recursos, quién leyó lo que había dentro. Si la configuración nunca se hizo, esa segunda pregunta no tiene respuesta.

La tabla configuracion_diagnostico resume, por recurso, si hay configuración que envíe sus registros de recurso a un espacio de trabajo. Es el primer control de cobertura que hace un analista: si un recurso que guarda datos no los envía, no hay manera de reconstruir quién los tocó.

Prueba configuracion_diagnostico | where registros_de_recurso == "no"; salen dos recursos y solo uno es un lugar donde se guardan archivos.

El almacén de claves kv-siachoque sí envía sus registros. Cada fila dice qué operación se hizo (SecretGet lee un secreto, SecretList solo lista sus nombres), quién la hizo, desde qué dirección y cómo terminó. El secreto clave-bd-pedidos lo lee de forma habitual la identidad del equipo del panel, durante el día.

Hay una lectura a las 03:12 UTC, de madrugada.

El resultado de una operación importa: Success es que se entregó el secreto y Forbidden es que el sistema lo negó. Un fallo no entregó nada, pero tampoco se ignora: alguien o algo lo intentó. Para medir lo habitual hay que contar solo las lecturas exitosas de un secreto concreto.

Una consulta a los registros de recursos de un recurso sin configuración de diagnóstico vuelve vacía. Una consulta a uno que sí envía registros, en un día sin actividad, también vuelve vacía. Son vacíos que se ven iguales y no significan lo mismo.