Créer et gérer un cluster dédié dans les journaux Azure Monitor

  • Article

La liaison d’un espace de travail Log Analytics à un cluster dédié dans Azure Monitor offre des fonctionnalités avancées et une utilisation plus élevées des requêtes. Les clusters nécessitent un engagement d’ingestion minimal de 100 Go par jour. Vous pouvez créer une liaison entre des espaces de travail à partir d’un cluster dédié, puis supprimer cette liaison sans perte de données ni interruption de service.

Fonctionnalités avancées

Fonctionnalités nécessitant des clusters dédiés :

  • Clés gérées par le client : chiffrez les données de cluster en utilisant des clés que vous fournissez et que vous contrôlez.
  • Lockbox : contrôlez les demandes d’accès des ingénieurs du support technique Microsoft à vos données.
  • Chiffrement double : protège d’un scénario impliquant une possible compromission des algorithmes ou des clé des chiffrement. Dans ce cas, la couche de chiffrement supplémentaire continue de protéger vos données.
  • Optimisation inter-requêtes : les requêtes entre espaces de travail s’exécutent plus rapidement si les espaces de travail se trouvent sur le même cluster.
  • Optimisation des coûts : liez vos espaces de travail dans la même région au cluster pour bénéficier d’une remise de niveau de l’engagement pour tous les espaces de travail, même pour ceux avec une faible ingestion qui ne sont pas éligibles à la remise du niveau de l’engagement.
  • Zones de disponibilité : protègent vos données contre les défaillances du centre de données en s’appuyant sur des centres de données situés dans des emplacements physiques différents, équipés d’une alimentation, d’un refroidissement et d’un réseau indépendants. La séparation physique des zones et l’infrastructure indépendante réduisent la probabilité qu’un incident survienne, puisque l’espace de travail peut reposer sur les ressources de l’une des zones. Les zones de disponibilité Azure Monitor couvrent des parties plus larges du service et, quand elles sont disponibles dans votre région, étendent votre résilience Azure Monitor automatiquement. Azure Monitor crée par défaut des clusters dédiés comme étant activés pour les zones de disponibilité (isAvailabilityZonesEnabled : « true ») dans les régions prises en charge. Les zones de disponibilité des clusters dédiés ne sont pas actuellement prises en charge dans toutes les régions.
  • Ingérer à partir d’Azure Event Hubs : vous permet d’ingérer des données directement à partir d’un hub d’événements dans un espace de travail Log Analytics. Le cluster dédié vous permet d’utiliser la capacité lorsque l’ingestion à partir de tous les espaces de travail liés combinés répond au niveau d’engagement.

Modèle de tarification des clusters

Les clusters dédiés Log Analytics utilisent un modèle de tarification de niveau d’engagement d’au moins 100 Go/jour. Toute utilisation au-dessus du niveau entraîne des frais basés sur le débit par Go de ce niveau d’engagement. Pour plus d’informations sur la tarification des clusters dédiés, consultez les Détails de la tarification d’Azure Monitor. Les niveaux d’engagement ont une période d’engagement de 31 jours à partir du moment de leur sélection.

Prérequis

  • Les clusters dédiés nécessitent un engagement d’ingestion des données d’au moins 100 Go par jour.
  • Lorsque vous créez un cluster dédié, vous ne pouvez pas le nommer avec le même nom qu’un cluster qui a été supprimé au cours des deux dernières semaines.

Autorisations requises

Pour effectuer des actions liées au cluster, vous avez besoin de ces autorisations :

Action Autorisations ou rôle nécessaires
Créer un cluster dédié Autorisations Microsoft.Resources/deployments/* et Microsoft.OperationalInsights/clusters/write, fournies par le rôle intégré contributeur Log Analytics, par exemple
Modifier les propriétés du cluster Autorisations Microsoft.OperationalInsights/clusters/write, fournies par le rôle intégré contributeur Log Analytics, par exemple
Lier des espaces de travail à un cluster Autorisations Microsoft.OperationalInsights/clusters/write, Microsoft.OperationalInsights/workspaces/write et Microsoft.OperationalInsights/workspaces/linkedservices/write, fournies par le rôle intégré contributeur Log Analytics, par exemple
Vérifier l’état d’association de l’espace de travail Autorisations Microsoft.OperationalInsights/workspaces/read sur l’espace de travail, telles que fournies par le rôle intégré Lecteur Log Analytics, par exemple
Obtenir des clusters ou vérifier l’état d’approvisionnement d’un cluster Autorisations Microsoft.OperationalInsights/clusters/read, fournies par le rôle intégré Lecteur Log Analytics, par exemple
Mettre à jour le niveau d’engagement ou billingType dans un cluster Autorisations Microsoft.OperationalInsights/clusters/write, fournies par le rôle intégré contributeur Log Analytics, par exemple
Accorder les autorisations nécessaires Rôle Propriétaire ou Contributeur disposant d’autorisations */write, ou rôle intégré Contributeur Log Analytics, disposant d’autorisations Microsoft.OperationalInsights/*
Dissocier un espace de travail d’un cluster Autorisations Microsoft.OperationalInsights/workspaces/linkedServices/delete, fournies par le rôle intégré contributeur Log Analytics, par exemple
Supprimer un cluster dédié Autorisations Microsoft.OperationalInsights/clusters/delete, fournies par le rôle intégré contributeur Log Analytics, par exemple

Pour plus d’informations sur les autorisations de Log Analytics, consultez Gérer l’accès aux données de journal et aux espaces de travail dans Azure Monitor.

Créer un cluster dédié

Fournissez les propriétés suivantes lors de la création d’un cluster dédié :

  • ClusterName : doit être unique pour le groupe de ressources.
  • ResourceGroupName : utilisez un groupe de ressources informatiques centrales, car de nombreuses équipes dans l’organisation partagent en général les clusters. Pour plus d’informations sur la conception, passez en revue Concevoir une configuration d’un espace de travail Log Analytics.
  • Lieu
  • SkuCapacity : vous pouvez définir le niveau d’engagement sur 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000, 50000 Go par jour. Le niveau d’engagement minimal pris en charge dans l’interface CLI est actuellement de 500. Utilisez REST pour configurer des niveaux d’engagement inférieurs avec un minimum de 100. Pour plus d’informations sur les coûts des clusters, consultez Clusters dédiés.
  • Identité managée : les clusters prennent en charge deux types d’identités managées :

    • Identité managée affectée par le système : générée automatiquement lors de la création du cluster quand le type d’identité est défini sur « SystemAssigned ». Cette identité peut être utilisée ultérieurement pour autoriser l’accès au stockage à votre coffre de clés pour les opérations d’enveloppage et désenveloppage.

      Identité dans l’appel REST du cluster

      {
  "identity": {
    "type": "SystemAssigned"
    }
}

    • Identité managée affectée par l’utilisateur : vous permet de configurer la clé gérée par le client lors de la création du cluster, quand vous lui accordez des autorisations dans votre coffre de clés avant la création du cluster.

      Identité dans l’appel REST du cluster

      {
"identity": {
  "type": "UserAssigned",
    "userAssignedIdentities": {
      "subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/UserAssignedIdentities/<cluster-assigned-managed-identity>"
    }
  }  
}

Après avoir créé votre ressource de cluster, vous pouvez modifier des propriétés comme sku, *keyVaultProperties ou billingType. Pour plus d’informations, voir ci-dessous.

La suppression complète des clusters prend deux semaines. Vous pouvez avoir jusqu’à sept clusters par abonnement et région, cinq actifs et deux supprimés au cours des deux dernières semaines.

Notes

La création du cluster déclenche l’allocation et l’approvisionnement de la ressource. L’exécution de cette opération peut prendre quelques heures. Le cluster dédié est facturé une fois approvisionné indépendamment de l’ingestion des données, et il est recommandé de préparer le déploiement pour envoyer le lien d’approvisionnement et d’espaces de travail vers le cluster. Vérifiez les éléments suivants :

  • Une liste d’espaces de travail initiaux à lier au cluster est identifiée
  • Vous disposez des autorisations pour l’abonnement destiné au cluster et de tout espace de travail à lier

N/A

Vérifier l’état de l’approvisionnement du cluster

L’approvisionnement du cluster Log Analytics prend un certain temps. Utilisez l’une des méthodes suivantes pour vérifier la propriété ProvisioningState. La valeur indique ProvisioningAccount pendant l’approvisionnement et Succeeded une fois celui-ci terminé.

S/O

Remarque

  • La liaison d’un espace de travail ne peut être accomplie qu’une fois l’approvisionnement du cluster Log Analytics terminé.
  • La liaison d’un espace de travail à un cluster implique la synchronisation de plusieurs composants back-end et l’hydratation du cache, ce qui peut prendre jusqu’à deux heures.
  • Lors de la liaison d’un espace de travail Log Analytics, le plan de facturation de l’espace de travail est remplacé par LACluster, et vous devez supprimer la référence SKU dans le modèle d’espace de travail pour empêcher le conflit pendant le déploiement de l’espace de travail.
  • Outre les aspects de facturation régis par le plan de cluster, toutes les configurations d’espaces de travail et les aspects de requête restent inchangés pendant et après la liaison.

Pour l’opération de liaison de l’espace de travail, vous devez disposer des autorisations « d’écriture » à la fois pour l’espace de travail et pour la ressource de cluster :

  • Dans l’espace de travail : Microsoft.OperationalInsights/workspaces/write
  • Dans la ressource de cluster : Microsoft.OperationalInsights/clusters/write

Une fois l’espace de travail Log Analytics lié à un cluster dédié, les nouvelles données envoyées à l’espace de travail sont ingérées sur votre cluster dédié, tandis que les données précédemment ingérées restent dans le cluster Log Analytics. La liaison d’un espace de travail n’a aucun effet sur l’opération de l’espace de travail, y compris les expériences d’ingestion et de requête. Le moteur de requête Log Analytics assemble automatiquement les données d’anciens et de nouveaux clusters. Les résultats des requêtes sont complets.

Lorsque le cluster dédié est configuré avec une clé gérée par le client (CMK), les nouvelles données ingérées sont chiffrées avec votre clé, tandis que les données plus anciennes restent chiffrées avec une clé gérée par Microsoft (MMK). La configuration de clé est abstraite par Log Analytics et la requête sur les chiffrements de données anciens et nouveaux s’effectue en toute transparence.

Un cluster peut être lié à jusqu’à 1000 espaces de travail situés dans la même région que celui-ci. Un espace de travail ne peut pas être lié à un cluster plus de deux fois par mois, pour éviter la fragmentation des données.

L’espace de travail et le cluster peuvent se trouver dans des abonnements différents. L’espace de travail et le cluster peuvent se trouver dans différents locataires si Azure Lighthouse est utilisé pour les mapper à un seul locataire.

Utilisez les commandes suivantes pour lier un espace de travail à un cluster. Vous pouvez utiliser l’automatisation pour lier plusieurs espaces de travail :

N/A

Lorsqu’un cluster est configuré avec des clés gérées par le client, les données ingérées dans les espaces de travail après la fin de l’opération de liaison sont stockées en étant chiffrées avec votre clé gérée. L’opération de liaison d’espace de travail peut prendre jusqu’à 90 minutes, et vous pouvez vérifier l’état en envoyant une requête Get à l’espace de travail et observer si la propriété clusterResourceId est présente dans la réponse sous features.

  1. Ouvrez le menu Espaces de travail Log Analytics, puis sélectionnez votre espace de travail.
  2. Dans la page Vue d’ensemble, sélectionnez Vue JSON.

Modifier les propriétés du cluster

Une fois que vous avez créé votre ressource de cluster et qu’elle est entièrement provisionnée, vous pouvez modifier des propriétés du cluster en utilisant l’interface CLI, PowerShell ou l’API REST. Les propriétés que vous pouvez définir après le provisionnement du cluster sont les suivantes :

  • keyVaultProperties : contient la clé dans Azure Key Vault avec les paramètres suivants : KeyVaultUri, KeyName, KeyVersion. Consultez Mettre à jour le cluster avec les détails de l’identificateur de clé.
  • Identité : identité servant pour l’authentification auprès de votre coffre de clés. Elle peut avoir été attribuée par le système ou par l’utilisateur.
  • billingType : attribution de facturation pour la ressource de cluster et ses données. Inclut les valeurs suivantes :
    • Cluster (par défaut) : les coûts de votre cluster sont attribués à la ressource de cluster.
    • Espaces de travail : les coûts de votre cluster sont attribués proportionnellement aux espaces de travail du cluster. Une partie de l’utilisation est facturée à la ressource de cluster si le total des données ingérées pour la journée est inférieur au niveau d’engagement. Pour en savoir plus sur le modèle de tarification du cluster, consultez Clusters dédiés Log Analytics.

Important

La mise à jour du cluster ne doit pas inclure les détails relatifs à l’identité et à l’identificateur de clé dans la même opération. S’il vous faut les mettre à jour, cette mise à jour doit faire l’objet de deux opérations consécutives.

Notes

La propriété billingType n’est pas prise en charge dans l’interface CLI.

Obtenir tous les clusters dans un groupe de ressources

N/A

Obtenir tous les clusters dans un abonnement

N/A

Mettre à jour le niveau d’engagement dans le cluster

À mesure que le volume de données des espaces de travail liés évolue, vous pouvez mettre à jour le niveau d’engagement en conséquence pour optimiser les coûts. Le niveau est spécifié en unités de gigaoctets (Go) et peut présenter des valeurs de 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000, 50000 Go par jour. Vous n’avez pas besoin de fournir le corps entier de la requête REST, mais vous devez inclure la référence SKU.

Pendant la période d’engagement, vous pouvez passer à un niveau d’engagement plus élevé, ce qui redémarre la période d’engagement de 31 jours. Vous ne pouvez pas revenir au paiement à l’utilisation ou à un niveau d’engagement inférieur jusqu’à ce que vous ayez terminé la période d’engagement.

N/A

Mettre à jour la propriété billingType dans le cluster

La propriété billingType détermine l’attribution de facturation pour le cluster et ses données :

  • Cluster (par défaut) : la facturation est attribuée à la ressource de cluster
  • Espaces de travail : la facturation est attribuée de façon proportionnée aux espaces de travail liés. Quand le volume de données de tous les espaces de travail liés est inférieur au niveau d’engagement, la facture du volume restant est attribuée au cluster

N/A

Vous pouvez dissocier un espace de travail d’un cluster à tout moment. Le niveau tarifaire de l’espace de travail est remplacé par Go, les données ingérées dans le cluster avant que l’opération de dissociation reste dans le cluster et les nouvelles données de l’espace de travail sont ingérées dans Log Analytics.

Avertissement

La dissociation d’un espace de travail ne déplace pas les données de l’espace de travail en dehors du cluster. Toutes les données collectées pour l’espace de travail, tout en étant liées au cluster, restent dans le cluster pendant la période de rétention définie dans l’espace de travail et accessibles tant que le cluster n’est pas supprimé.

Les requêtes ne sont pas affectées lorsqu’un espace de travail est dissocié et que le service effectue des requêtes entre clusters en toute transparence. Si le cluster a été configuré avec une clé gérée par le client (CMK), les données ingérées dans l’espace de travail pendant l’association restent chiffrées avec votre clé et accessibles, tandis que votre clé et vos autorisations pour Key Vault sont conservées.

Notes

  • Il existe une limite de deux opérations de liaison d’un espace de travail spécifique par mois afin d’empêcher la distribution des données entre les clusters. Contactez le support si vous atteignez cette limite.
  • Les espaces de travail dissociés sont déplacés vers le niveau tarifaire du Paiement à l’utilisation.

Utilisez les commandes suivantes pour dissocier un espace de travail d’un cluster :

N/A

Supprimer un cluster

Vous devez disposer des autorisations d’écriture sur la ressource de cluster.

L’opération de suppression de cluster doit être effectuée avec précaution, car l’opération n’est pas récupérable. Toutes les données ingérées dans le cluster à partir d’espaces de travail liés sont supprimées définitivement.

La facturation du cluster s’arrête lorsque le cluster est supprimé, indépendamment du niveau d’engagement de 31 jours défini dans le cluster.

Si vous supprimez un cluster qui a des espaces de travail liés, les espaces de travail sont automatiquement dissociés du cluster, les espaces de travail sont déplacés vers le niveau tarifaire du Paiement à l’utilisation et les nouvelles données des espaces de travail sont ingérées dans les clusters Log Analytics à la place. Vous pouvez interroger l’espace de travail pour l’intervalle de temps avant la liaison au cluster et après sa dissociation. Le service effectue alors des requêtes entre clusters en toute transparence.

Notes

  • Il existe une limite de sept clusters par abonnement et région, cinq actifs et deux supprimés au cours des deux dernières semaines.
  • Le nom du cluster reste réservé pendant 2 semaines après la suppression et ne peut pas être utilisé pour créer un cluster.

Utilisez les commandes suivantes pour supprimer un cluster :

S/O

Limites et contraintes

  • Un maximum de cinq clusters actifs peut être créé dans chaque région et abonnement.

  • Un maximum de sept clusters est autorisé par abonnement et région, cinq actifs et deux supprimés au cours des 2 dernières semaines.

  • Un maximum de 1 000 espaces de travail Log Analytics peuvent être liés à un cluster.

  • Un maximum de deux opérations de liaison d’espace de travail sur un espace de travail particulier est autorisé sur une période de 30 jours.

  • Le déplacement d’un cluster vers un autre groupe de ressources ou un autre abonnement n’est pas pris en charge actuellement.

  • Le déplacement d’un cluster vers une autre région n’est pas pris en charge.

  • La mise à jour du cluster ne doit pas inclure à la fois les détails relatifs à l’identité et à l’identificateur de clé dans la même opération. S’il vous faut les mettre à jour, cette mise à jour doit faire l’objet de deux opérations consécutives.

  • Actuellement, Lockbox n’est pas disponible en Chine.

  • Le double chiffrement est automatiquement configuré pour les clusters créés depuis octobre 2020 dans les régions prises en charge. Pour vérifier si votre cluster est configuré pour le chiffrement double, envoyez une requête GET sur le cluster et observez la valeur de isDoubleEncryptionEnabled. Une valeur true correspond aux clusters pour lesquels le chiffrement double est activé.

    • Si vous créez un cluster et recevez une erreur « region-name ne prend pas en charge le chiffrement double pour les clusters », vous pouvez toujours créer le cluster sans le double chiffrement en ajoutant "properties": {"isDoubleEncryptionEnabled": false} dans le corps de la demande REST.
    • Le paramètre de chiffrement double ne peut pas être modifié une fois le cluster créé.

  • La suppression d’un espace de travail est autorisée tant que celui-ci est lié au cluster. Si vous décidez de récupérer l’espace de travail pendant la période de suppression réversible, il revient à son état précédent et reste lié au cluster.

  • Pendant la période d’engagement, vous pouvez passer à un niveau d’engagement plus élevé, ce qui redémarre la période d’engagement de 31 jours. Vous ne pouvez pas revenir au paiement à l’utilisation ou à un niveau d’engagement inférieur jusqu’à ce que vous ayez terminé la période d’engagement.

Dépannage

  • Si vous rencontrez une erreur de conflit lors de la création d’un cluster, il a peut-être été supprimé au cours des 2 dernières semaines et se trouve dans le processus de suppression. Le nom du cluster reste réservé pendant la période de suppression de 2 semaines et vous ne pouvez pas l’utiliser pour créer un nouveau cluster.

  • Si vous mettez à jour votre cluster alors que le cluster est en cours d’approvisionnement ou de mise à jour, la mise à jour échoue.

  • Certains opérations sont longues et peuvent prendre du temps. Il s’agit des opérations de création de cluster, de mise à jour de la clé du cluster et de suppression du cluster. Vous pouvez vérifier l’état de l’opération en envoyant une requête GET au cluster ou à l’espace de travail et en observant la réponse. Par exemple, l’espace de travail dissocié n’a pas de clusterResourceId sous features.

  • Si vous tentez de lier un espace de travail Log Analytics déjà lié à un autre cluster, l’opération échoue.

Messages d’erreur

Création de cluster

  • 400--Le nom du cluster est non valide. Le nom du cluster peut contenir les caractères a-z, A-Z, 0-9 et doit compter entre 3 et 63 caractères.
  • 400--Le corps de la requête a la valeur Null ou est dans un format incorrect.
  • 400--Le nom de la référence SKU n’est pas valide. Définissez le nom de la SKU sur capacityReservation.
  • 400--La capacité a été fournie, mais la référence SKU n’est pas capacityReservation. Définissez le nom de la SKU sur capacityReservation.
  • 400--Capacité manquante dans la référence SKU. Définissez la valeur de capacité sur 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000, 50000 Go par jour.
  • 400--La capacité est verrouillée pendant 30 jours. La réduction de la capacité est autorisée 30 jours après la mise à jour.
  • 400--Aucune référence SKU n’a été définie. Définissez le nom du niveau tarifaire sur capacityReservation et la valeur de capacité sur 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000, 50000 Go par jour.
  • 400--L’identité a la valeur Null ou est vide. Définissez l’identité avec le type systemAssigned.
  • 400--Les propriétés KeyVaultProperties sont définies au moment de la création. Mettez à jour les KeyVaultProperties après la création du cluster.
  • 400--Impossible d’exécuter l’opération pour le moment. L’opération asynchrone est dans un état autre que réussi. Le cluster doit effectuer cette opération avant l’exécution d’une opération de mise à jour.

Mise à jour d’un cluster

  • 400--Le cluster est en cours de suppression. L’opération asynchrone est en cours. Le cluster doit effectuer cette opération avant l’exécution d’une opération de mise à jour.
  • 400--KeyVaultProperties n’est pas vide, mais sont format est incorrect. Consultez mise à jour de l’identificateur de la clé.
  • 400--Échec de validation de la clé dans Key Vault. Peut être dû à un manque d’autorisations ou à l’inexistence de la clé. Vérifiez que vous avez défini la clé et la stratégie d’accès dans Key Vault.
  • 400--La clé n’est pas récupérable. La suppression réversible et la protection contre le vidage doivent être définis pour Key Vault. Consulter la documentation sur Key Vault
  • 400--Impossible d’exécuter l’opération pour le moment. Attendez que l’opération asynchrone se termine et réessayez.
  • 400--Le cluster est en cours de suppression. Attendez que l’opération asynchrone se termine et réessayez.

Obtention de cluster

  • 404--Cluster introuvable, le cluster a peut-être été supprimé. Si vous essayez de créer un cluster portant ce nom et que cela génère un conflit, le cluster se trouve dans un processus de suppression.

Suppression de cluster

  • 409--Impossible de supprimer un cluster en cours de provisionnement. Attendez que l’opération asynchrone se termine et réessayez.
  • 404--Espace de travail introuvable. L’espace de travail que vous avez spécifié n’existe pas ou a été supprimé.
  • 409--Opération de liaison ou de dissociation d’espace de travail en cours.
  • 400--Cluster introuvable, le cluster que vous avez spécifié n’existe pas ou a été supprimé.
  • 404--Espace de travail introuvable. L’espace de travail que vous avez spécifié n’existe pas ou a été supprimé.
  • 409--Opération de liaison ou de dissociation d’espace de travail en cours.

Étapes suivantes