【正解: A】の理由

複数リージョンに分散した 50 台の VM、複数の App Service、AKS クラスターのログとメトリックを一元的に収集し、KQL でクロスリソースのクエリを行いつつ管理工数を最小化するには、単一の Log Analytics ワークスペースに集約するのが最適です。各リソースの診断設定で、プラットフォーム ログとメトリックの送信先を同一ワークスペースに指定すれば、テーブルをまたいだ相関分析や、複数リソースを横断するアラート ルールを一箇所で構成できます。ワークスペースを分割すると横断クエリでは複数ワークスペースを明示的に指定する必要が生じ、アクセス制御やコスト管理も煩雑になります。データ主権など特別な要件がない限り、Microsoft も集約を推奨しています。

【他選択肢が違う理由】

• B: リソース グループごとにワークスペースを分けると横断的な KQL クエリやアクセス管理が複雑化し、管理工数がかえって増大します。
• C: ローカルにログを保存して定期的に Storage へコピーする方式は KQL でクエリできず、リアルタイム分析やアラートに適しません。
• D: すべてのメトリックを Event Hubs にのみ送る構成は外部 SIEM への転送用ストリームで、それ自体は KQL のクエリ先になりません。

【参考】

Microsoft Learn: Log Analytics ワークスペース