Verwalten von Datenaufbewahrung in einem Log Analytics-Arbeitsbereich

Ein Log Analytics-Arbeitsbereich speichert Daten in zwei Zuständen:

• Interaktive Aufbewahrung: In diesem Zustand stehen Daten für Überwachung, Problembehandlung und nahezu Echtzeitanalyse zur Verfügung.
• Langzeitaufbewahrung: In diesem kostengünstigen Zustand sind Daten für Tabellenplanfeatures nicht verfügbar, können aber über Suchaufträge aufgerufen werden.

In diesem Artikel wird erläutert, wie Log Analytics-Arbeitsbereiche Daten aufbewahren und die Datenaufbewahrung von Tabellen in Ihrem Arbeitsbereich verwalten.

Interaktive, langfristige und vollständige Aufbewahrung

Standardmäßig behalten alle Tabellen in einem Log Analytics-Arbeitsbereich Daten 30 Tage lang bei, mit Ausnahme von Protokolltabellen mit einer Standardaufbewahrung von 90 Tagen. Während des interaktiven Aufbewahrungszeitraums können Sie die Daten aus der Tabelle über Abfragen abrufen, und die Daten sind basierend auf dem Tabellenplan für Visualisierungen, Warnungen und andere Features und Dienste verfügbar.

Sie können den interaktiven Aufbewahrungszeitraum von Tabellen mit dem Analytics-Plan auf bis zu zwei Jahre verlängern. Die Basic- und Hilfspläne haben einen festen interaktiven Aufbewahrungszeitraum von 30 Tagen.

Hinweis

Sie können den Zeitraum für die interaktive Aufbewahrung von Analytics-Tabellen über die API oder CLI auf bis zu vier Tage verkürzen. Da jedoch im Preis für die Erfassung 31 Tage interaktive Aufbewahrung inbegriffen sind, führt eine Senkung des Aufbewahrungszeitraums unter 31 Tage nicht zu einer Kostensenkung.

Um Daten in derselben Tabelle außerhalb des interaktiven Aufbewahrungszeitraums aufzubewahren, verlängern Sie die gesamte Aufbewahrung der Tabelle auf bis zu 12 Jahre. Am Ende des interaktiven Aufbewahrungszeitraums verbleiben die Daten für den Rest des von Ihnen konfigurierten gesamten Aufbewahrungszeitraums in der Tabelle. Führen Sie während des Langzeitaufbewahrungszeitraums einen Suchauftrag aus, um die spezifischen, aus der Tabelle benötigten Daten abzurufen, und stellen Sie ihn für interaktive Abfragen in einer Suchergebnistabelle zur Verfügung.

Funktionsweise von Aufbewahrungsänderungen

Wenn Sie die gesamte Aufbewahrung einer Tabelle verkürzen, wartet Azure Monitor Logs 30 Tage, bevor die Daten entfernt werden. Auf diese Weise können Sie die Änderung rückgängig machen und einen Datenverlust im Falle eines Konfigurationsfehlers vermeiden.

Wenn Sie die gesamte Aufbewahrung erhöhen, gilt der neue Aufbewahrungszeitraum für alle Daten, die bereits in der Tabelle erfasst und noch nicht entfernt wurden.

Wenn Sie die Einstellungen für die Langzeitaufbewahrung einer Tabelle mit vorhandenen Daten ändern, wird die Änderung sofort wirksam.

Beispiel:

• Sie können eine Tabelle mit einem interaktiven Aufbewahrungszeitraum von 180 Tagen ohne Langzeitaufbewahrung haben.
• Sie ändern die interaktive Aufbewahrung auf 90 Tage, ohne den Gesamtaufbewahrungszeitraum von 180 Tagen zu ändern.
• Azure Monitor behandelt die verbleibenden 90 Tage der gesamten Aufbewahrung automatisch als kostengünstige Langzeitaufbewahrung, sodass Daten, die 90 bis 180 Tage alt sind, nicht verloren gehen.

Erforderliche Berechtigungen

Aktion	Erforderliche Berechtigungen
Konfigurieren der standardmäßigen interaktiven Aufbewahrung für Analytics-Tabellen in einem Log Analytics-Arbeitsbereich	Microsoft.OperationalInsights/workspaces/write- und microsoft.operationalinsights/workspaces/tables/write-Berechtigungen für den Log Analytics-Arbeitsbereich, wie sie beispielsweise von der integrierten Rolle „Log Analytics-Mitwirkender“ bereitgestellt werden
Abrufen von Aufbewahrungseinstellungen für einen Log Analytics-Arbeitsbereich	Microsoft.OperationalInsights/workspaces/tables/read-Berechtigungen für den Log Analytics-Arbeitsbereich, wie sie z. B. von der integrierten Rolle „Log Analytics-Leser“ bereitgestellt werden

Konfigurieren des standardmäßigen interaktiven Aufbewahrungszeitraums von Analytics-Tabellen

Der standardmäßige interaktive Aufbewahrungszeitraum aller Tabellen in einem Log Analytics-Arbeitsbereich beträgt 30 Tage. Sie können den standardmäßigen interaktiven Zeitraum von Analytics-Tabellen auf bis zu zwei Jahre einstellen, indem Sie die Einstellung für die Datenaufbewahrung auf Arbeitsbereichsebene ändern. Basic- und Hilfstabellen haben einen festen interaktiven Aufbewahrungszeitraum von 30 Tagen.

Das Ändern der Standardeinstellung für die Datenaufbewahrung auf Arbeitsbereichsebene wirkt sich automatisch auf alle Analytics-Tabellen aus, für die die Standardeinstellung weiterhin in Ihrem Arbeitsbereich gilt. Wenn Sie die interaktive Aufbewahrung einer bestimmten Tabelle bereits geändert haben, wirkt sich die Änderung der Standardeinstellung für die Datenaufbewahrung des Arbeitsbereichs nicht auf diese Tabelle aus.

Wichtig

Arbeitsbereiche mit einer Aufbewahrung von 30 Tagen können Daten 31 Tage lang aufbewahren. Wenn Sie Daten zur Einhaltung einer Datenschutzrichtlinie nur für 30 Tage aufbewahren müssen, konfigurieren Sie die Standardarbeitsbereichsaufbewahrung mithilfe der API auf 30 Tage und aktualisieren Sie die immediatePurgeDataOn30Days Arbeitsbereichseigenschaft auf true. Dieser Vorgang wird derzeit über die Arbeitsbereiche – Update-API unterstützt.

Portal

So legen Sie den standardmäßigen interaktiven Aufbewahrungszeitraum von Analytics-Tabellen in einem Log Analytics-Arbeitsbereich fest:

1. Wählen Sie im Azure-Portal im Menü Logs Analytics-Arbeitsbereiche Ihren Arbeitsbereich aus.

2. Wählen Sie im linken Bereich Nutzung und geschätzte Kosten aus.

3. Wählen Sie oben auf der Seite die Option Datenaufbewahrung aus.

   

4. Passen Sie mithilfe des Schiebereglers die Anzahl von Tagen an, und wählen Sie anschließend OK aus.

API

Um den standardmäßigen interaktiven Aufbewahrungszeitraum von Analytics-Tabellen in einem Log Analytics-Arbeitsbereich festzulegen, rufen Sie die Arbeitsbereiche – Erstellen- oder Aktualisieren-API auf:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Anforderungstext

Der Anforderungstext enthält die Werte in der folgenden Tabelle.

Name	Typ	Beschreibung
properties.retentionInDays	integer	Die Aufbewahrung von Arbeitsbereichsdaten in Tagen. Zulässige Werte sind pro Preisplan. Ausführliche Informationen finden Sie in der Dokumentation zum Tarif.
location	Zeichenfolge	Der geografische Standort der Ressource.
immediatePurgeDataOn30Days	boolean	Flag, das angibt, ob Daten nach 30 Tagen sofort entfernt werden und nicht wiederherstellbar sind. Gilt nur, wenn die Arbeitsbereichsaufbewahrung auf 30 Tage festgelegt ist.

Beispiel

In diesem Beispiel wird die Aufbewahrung des Arbeitsbereichs auf die Standardeinstellung des Arbeitsbereichs von 30 Tagen festgelegt und sichergestellt, dass Daten nach 30 Tagen sofort entfernt und nicht wiederhergestellt werden können.

Anforderung

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Um den standardmäßigen interaktiven Aufbewahrungszeitraum von Analytics-Tabellen in einem Log Analytics-Arbeitsbereich festzulegen, führen Sie den Befehl az monitor log-analytics workspace update aus, und übergeben Sie den --retention-time-Parameter.

In diesem Beispiel wird die interaktive Aufbewahrung der Tabelle auf 30 Tage festgelegt:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

PowerShell

Verwenden Sie das Cmdlet Set-AzOperationalInsightsWorkspace, um den standardmäßigen interaktiven Aufbewahrungszeitraum von Analytics-Tabellen in einem Log Analytics-Arbeitsbereich festzulegen. In diesem Beispiel wird der standardmäßige interaktive Aufbewahrungszeitraum auf 30 Tage festgelegt:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Konfigurieren der Aufbewahrung auf Tabellenebene

Standardmäßig erben alle Tabellen mit dem Analytics-Datenplan die standardmäßige interaktive Aufbewahrungseinstellung des Log Analytics-Arbeitsbereichs und haben keine Langzeitaufbewahrung. Sie können den interaktiven Aufbewahrungszeitraum von Analytics-Tabellen gegen Aufpreis auf bis zu 730 Tage erhöhen.

Wenn Sie einer Tabelle mit einem beliebigen Datenplan eine langfristige Aufbewahrung hinzufügen möchten, legen Sie Gesamtaufbewahrung auf bis zu 12 Jahre (4.383 Tage) fest. Der Hilfstabellenplan befindet sich derzeit in der öffentlichen Vorschau, während der die gesamte Aufbewahrung des Plans auf 365 Tage festgelegt ist.

Hinweis

Derzeit können Sie die Gesamtaufbewahrung auf bis zu 12 Jahre über das Azure-Portal und die API festlegen. CLI und PowerShell sind auf sieben Jahre begrenzt; Unterstützung für 12 Jahre wird folgen.

Portal

So ändern Sie die Aufbewahrungseinstellung für eine Tabelle im Azure-Portal:

1. Wählen Sie im Menü Log Analytics-Arbeitsbereiche die Option Tabellen aus.

   Auf dem Bildschirm Tabellen werden alle Tabellen im Arbeitsbereich aufgelistet.

2. Wählen Sie das Kontextmenü für die Tabelle, die Sie konfigurieren möchten, und dann Tabelle verwalten aus.

   

3. Konfigurieren Sie die Einstellungen für interaktive Aufbewahrung und Gesamtaufbewahrung im Abschnitt Einstellungen für Datenaufbewahrung des Tabellenkonfigurationsbildschirms.

   

API

Rufen Sie zum Ändern der Aufbewahrungseinstellung für eine Tabelle die Tables – Update-API (Tabellen – Update) auf:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Sie können entweder PUT oder PATCH verwenden. Der Unterschied ist der folgende:

• Die PUT-API legt retentionInDays und totalRetentionInDays auf den Standardwert fest, wenn Sie keine Werte festlegen, die nicht NULL sind.
• Die PATCH-API ändert die Werte von retentionInDays oder totalRetentionInDays nicht, wenn Sie keine Werte angeben.

Anforderungstext

Der Anforderungstext enthält die Werte in der folgenden Tabelle.

Name	Typ	BESCHREIBUNG
properties.retentionInDays	integer	Die Datenaufbewahrung der Tabelle in Tagen. Dieser Wert kann zwischen 4 und 730 liegen. Wenn Sie diese Eigenschaft auf NULL festlegen, wird standardmäßig der Aufbewahrungszeitraum des Arbeitsbereichs verwendet. Für eine Tabelle mit grundlegenden Protokollen ist der Wert immer 8.
properties.totalRetentionInDays	integer	Die gesamte Datenaufbewahrung der Tabelle, einschließlich Langzeitaufbewahrungen. Dieser Wert kann zwischen 4 und 730 oder bei 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 oder 4383 liegen. Legen Sie diese Eigenschaft auf NULL fest, wenn Sie keine Langzeitaufbewahrung möchten.

Beispiel

In diesem Beispiel wird die interaktive Aufbewahrungsdauer der Tabelle auf den für Arbeitsbereiche geltenden Standardwert von 30 Tagen festgelegt, und die Gesamtaufbewahrungsdauer wird auf zwei Jahre festgelegt, d. h., der Langzeitaufbewahrungszeitraum beträgt 23 Monate.

Anforderung

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Anforderungstext

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Antwort

Statuscode: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Führen Sie zum Ändern der Aufbewahrungseinstellungen einer Tabelle den Befehl az monitor log-analytics workspace table update aus, und übergeben Sie die Parameter --retention-time und --total-retention-time.

In diesem Beispiel wird die interaktive Aufbewahrungsdauer der Tabelle auf 30 Tage festgelegt, und die Gesamtaufbewahrungsdauer wird auf zwei Jahre festgelegt, d. h., der Langzeitaufbewahrungszeitraum beträgt 23 Monate:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Wenn Sie den interaktiven Standardaufbewahrungswert des Arbeitsbereichs erneut auf die Tabelle anwenden und die Gesamtaufbewahrungsdauer auf „0“ zurücksetzen möchten, führen Sie den Befehl az monitor log-analytics workspace table update aus, und legen Sie dabei die Parameter --retention-time und --total-retention-time auf -1 fest.

Zum Beispiel:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

PowerShell

Verwenden Sie das Cmdlet Update-AzOperationalInsightsTable, um die Aufbewahrungseinstellungen der Tabelle zu ändern: In diesem Beispiel wird die interaktive Aufbewahrungsdauer der Tabelle auf 30 Tage festgelegt, und die Gesamtaufbewahrungsdauer wird auf zwei Jahre festgelegt, d. h., der Langzeitaufbewahrungszeitraum beträgt 23 Monate:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Wenn Sie den interaktiven Standardaufbewahrungswert des Arbeitsbereichs erneut auf die Tabelle anwenden und die Gesamtaufbewahrungsdauer auf „0“ zurücksetzen möchten, führen Sie das Cmdlet Update-AzOperationalInsightsTable aus, und legen Sie dabei die Parameter -RetentionInDays und -TotalRetentionInDays auf -1 fest.

Zum Beispiel:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Abrufen von Aufbewahrungseinstellungen nach Tabelle

Portal

Zum Anzeigen der Aufbewahrungseinstellungen für eine Tabelle im Azure-Portal wählen Sie im Menü Log Analytics-Arbeitsbereiche die Option Tabellen aus.

Der Bildschirm Tabellen zeigt die interaktiven Aufbewahrungs- und Gesamtaufbewahrungszeiträume für alle Tabellen im Arbeitsbereich an.

API

Um die Aufbewahrungseinstellung einer bestimmten Tabelle (in diesem Beispiel SecurityEvent) zu erhalten, rufen Sie die Tables – Get-API auf:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Um alle Aufbewahrungseinstellungen auf Tabellenebene in Ihrem Arbeitsbereich abzurufen, legen Sie keinen Tabellennamen fest.

Beispiel:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

BEFEHLSZEILENSCHNITTSTELLE (CLI)

Um die Aufbewahrungseinstellung einer bestimmten Tabelle abzurufen, führen Sie den Befehl az monitor log-analytics workspace table show aus.

Beispiel:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

PowerShell

Wenn Sie die Aufbewahrungseinstellung einer bestimmten Tabelle abrufen möchten, führen Sie das Cmdlet Get-AzOperationalInsightsTable aus.

Zum Beispiel:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Was geschieht mit Daten, wenn Sie eine Tabelle in einem Log Analytics-Arbeitsbereich löschen?

Der Log Analytics-Arbeitsbereich kann die mehrere Tabellentypen enthalten. Was beim Löschen der Tabelle geschieht, ist jeweils unterschiedlich:

Tabellentyp	Datenaufbewahrung	Empfehlungen
Azure-Tabelle	Eine Azure-Tabelle enthält Protokolle aus einer Azure-Ressource oder Daten, die von einem Azure-Dienst oder einer Azure-Lösung benötigt werden und nicht gelöscht werden können. Wenn Sie das Streaming von Daten aus der Ressource, dem Dienst oder der Lösung beenden, verbleiben die Daten bis zum Ende des Aufbewahrungszeitraums, der für die Tabelle definiert ist, im Arbeitsbereich.	Für geringere Gebühren, sollten Sie die Aufbewahrung auf Tabellenebene auf vier Tage festlegen, bevor Sie das Streaming von Protokollen an die Tabelle beenden.
Benutzerdefinierte Protokolltabelle (table_CL)	Löscht die Tabelle vorläufig bis zum Ende der Aufbewahrungsdauer auf Tabellenebene oder des standardmäßigen Aufbewahrungszeitraums für Arbeitsbereiche. Im Zeitraum des vorläufigen Löschens zahlen Sie weiterhin für die Datenaufbewahrung und können die Tabelle neu erstellen und auf die Daten zugreifen, indem Sie eine Tabelle mit demselben Namen und Schema einrichten. Vierzehn Tage nach dem Löschen einer benutzerdefinierten Tabelle entfernt Azure Monitor die Aufbewahrungskonfiguration auf Tabellenebene und wendet die Standardarbeitsbereichsaufbewahrung an.	Für geringere Gebühren, sollten Sie die Aufbewahrung auf Tabellenebene auf vier Tage festlegen, bevor Sie die Tabelle löschen.
Suchergebnistabelle (table_SRCH)	Löscht die Tabelle und die Daten sofort und dauerhaft.
Wiederhergestellte Tabelle (table_RST)	Löscht den für die Wiederherstellung bereitgestellten Hot Cache, die Quelltabellendaten werden jedoch nicht gelöscht.

Protokolltabellen mit standardmäßiger Aufbewahrung von 90 Tagen

Standardmäßig bewahren die Tabellen Usage und AzureActivity Daten mindestens 90 Tage lang kostenlos auf. Wenn Sie die Aufbewahrung des Arbeitsbereichs auf mehr als 90 Tage verlängern, verlängern Sie auch die Aufbewahrung dieser Tabellen. Für diese Tabellen werden auch keine Gebühren für die Datenerfassung erhoben.

Tabellen, die zu Application Insights-Ressourcen gehören, bewahren Daten ebenfalls kostenlos 90 Tage lang auf. Sie können die Aufbewahrungsdauer für jede dieser Tabellen einzeln anpassen:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Preismodell

Die Gebühr für das Hinzufügen von interaktiver Aufbewahrung und Langzeitaufbewahrung wird basierend auf dem Umfang der Daten, die Sie aufbewahren, in GB und der Anzahl oder Tage, für die Sie die Daten aufbewahren, berechnet. Protokolldaten, die über _IsBillable == false verfügen, unterliegen nicht der Datenerfassung und es fallen keine Aufbewahrungsgebühren an.

Weitere Informationen finden Sie unter Azure Monitor-Preise.

Nächste Schritte

Weitere Informationen:

• Verwalten personenbezogener Daten in Azure Monitor-Protokollen
• Erstellen eines Suchauftrags, um Hilfsdaten abzurufen, die bestimmten Kriterien entsprechen
• Wiederherstellen von Daten aus der Hilfsebene für einen bestimmten Zeitraum