通过Bicep跨区域配置防火墙诊断设置至Event Hub是否可行？

结论 #

这种跨区域配置不可行，这是Azure平台的硬性限制，和虚拟网络对等互联无关。

原因说明 #

• Azure诊断设置要求目标Event Hub命名空间必须与源资源（此处为ukwest区域的Azure防火墙）处于同一Azure区域，跨区域的Event Hub无法作为诊断日志的接收目标，即便两个区域的虚拟网络已经对等也不例外。
• 你收到的错误信息已明确指出区域不匹配问题：

  资源'/subscriptions/123/resourceGroups/ukw-rg/providers/Microsoft.Network/azureFirewalls/ukw-fw'位于区域'ukwest'，而资源'/subscriptions/123/resourcegroups/uks-rg/providers/microsoft.eventhub/namespaces/uks-evhns'位于区域'uksouth'

可行方案 #

• 在ukwest区域新建Event Hub命名空间，将防火墙的诊断日志发送至这个同区域的目标。
• 如果必须将日志汇总到uksouth区域，可在ukwest的Event Hub之后，通过Azure Logic Apps或Azure Functions将日志二次转发到uksouth的Event Hub。

内容的提问来源于stack exchange，提问作者Raymondo