Conservation et archivage des données dans Journaux Azure Monitor

Les journaux Azure Monitor conservent les données dans deux états :

• Rétention interactive : vous permet de conserver les journaux Analytics pour les requêtes interactives allant jusqu’à 2 ans.
• Archive : vous permet de conserver à moindre coût des données plus anciennes et moins utilisées dans votre espace de travail. Vous pouvez accéder aux données à l’état archivé à l’aide de travaux de recherche et de restauration. Vous pouvez conserver des données à l’état archivé pendant au plus 12 ans.

Cet article explique comment configurer l’archivage et la conservation des données.

Fonctionnement de la conservation et de l’archivage des données

Chaque espace de travail a un paramètre de rétention par défaut qui s’applique à toutes les tables. Vous pouvez configurer un paramètre de rétention différent pour chaque table.

Pendant la période de rétention interactive, les données sont disponibles pour la supervision, la résolution des problèmes et l’analytique. Quand vous n’utilisez plus les journaux, mais que vous avez encore besoin de conserver les données à des fins de conformité ou pour les consulter occasionnellement, archivez les journaux afin de réduire les coûts.

Les données archivées restent dans la même table, ainsi que les données disponibles pour les requêtes interactives. Lorsque vous définissez une période de rétention totale plus longue que la période de rétention interactive, Log Analytics archive automatiquement les données pertinentes immédiatement à la fin de la période de rétention.

Vous pouvez accéder aux données archivées en exécutant un travail de recherche ou en restaurant les journaux archivés.

Notes

La période d’archivage peut uniquement être définie au niveau de la table, et non au niveau de l’espace de travail.

Ajustements des paramètres de rétention et d’archivage

Lorsque vous raccourcissez un paramètre de rétention existante, Azure Monitor attend 30 jours avant de supprimer les données, ce qui vous permet d’annuler la modification et d’éviter la perte de données en cas d’erreur de configuration. Vous pouvez vider les données immédiatement si nécessaire.

Lorsque vous augmentez le paramètre de rétention, la nouvelle période de rétention s’applique à toutes les données qui ont déjà été ingérées dans la table et qui n’ont pas encore été purgées ou supprimées.

Si vous modifiez les paramètres d’archivage d’une table avec des données existantes, les données pertinentes de la table sont également affectées immédiatement. Par exemple, vous pouvez avoir une table existante avec 180 jours de conservation interactive et aucune période d’archivage. Vous décidez de modifier le paramètre de rétention à 90 jours de rétention interactive sans modifier la période de rétention totale de 180 jours. Log Analytics archive immédiatement toutes les données antérieures à 90 jours et aucune des données n’est supprimée.

Ce qui se passe pour les données lorsque vous supprimez une table dans un espace de travail Log Analytics

Un espace de travail Log Analytics peut contenir plusieurs types de tables. Ce qui se passe lorsque vous supprimez la table est différent pour chaque type :

Type de la table	Conservation des données	Recommandations
Table Azure	Une table Azure contient des journaux d’activité à partir d’une ressource ou de données Azure requises par un service ou une solution Azure et ne peut pas être supprimée. Lorsque vous arrêtez la diffusion en continu de données à partir de la ressource, du service ou de la solution, les données restent dans l’espace de travail jusqu’à la fin de la période de rétention définie pour la table ou de la période de rétention par défaut de l’espace de travail, si vous ne définissez pas la rétention au niveau de la table.	Pour réduire les frais, définissez la rétention au niveau de la table sur quatre jours avant d’arrêter la diffusion en continu des journaux vers la table.
Table restaurée(table_RST)	Supprime le cache chaud approvisionné pour la restauration, mais les données de table sources ne sont pas supprimées.
Table des résultats de recherche (table_SRCH)	Supprime immédiatement et définitivement la table et les données.
Tables de journaux personnalisés (table_CL)	Supprime de manière réversible la table jusqu’à la fin de la période de rétention au niveau de la table ou de la période de rétention de l’espace de travail par défaut. Pendant la période de suppression réversible, vous continuez à payer pour la conservation des données et pouvez recréer la table, ainsi qu’accéder aux données en configurant une table portant le même nom et le même schéma. Quatorze jours après la suppression d’une table personnalisée, Azure Monitor supprime la configuration de rétention au niveau de la table et applique la rétention de l’espace de travail par défaut.	Pour réduire les frais, définissez la rétention au niveau de la table sur quatre jours avant de supprimer la table.

Autorisations requises

Action	Autorisations requises
Configurer des stratégies de conservation des données et d’archivage des données pour un espace de travail Log Analytics	Autorisations Microsoft.OperationalInsights/workspaces/write et microsoft.operationalinsights/workspaces/tables/write d’accès aux espaces de travail Log Analytics, telles que fournies par le rôle intégré Contributeur Log Analytics, par exemple
Obtenir la stratégie de rétention et d’archivage par table pour un espace de travail Log Analytics	Autorisations Microsoft.OperationalInsights/workspaces/tables/read d’accès aux espaces de travail Log Analytics, telles que fournies par le rôle intégré Lecteur Log Analytics, par exemple
Supprimer définitivement des données d’un espace de travail Log Analytics	Autorisations Microsoft.OperationalInsights/workspaces/purge/action d’accès aux espaces de travail Log Analytics, telles que fournies par le rôle intégré Contributeur Log Analytics, par exemple

Configurer la rétention de l’espace de travail par défaut

Dans le portail Azure, vous pouvez définir la durée de conservation par défaut d'un espace de travail Log Analytics sur 30, 31, 60, 90, 120, 180, 270, 365, 550 et 730 jours. Vous pouvez appliquer un paramètre différent à des tables spécifiques en configurant la conservation et l'archivage au niveau de la table. Si vous êtes sur le niveau gratuit, vous devez effectuer une mise à niveau vers le niveau payant pour modifier la période de conservation des données.

Important

Les espaces de travail avec une rétention de 30 jours peuvent conserver les données pendant 31 jours. Si vous devez conserver les données pendant 30 jours uniquement pour vous conformer à une stratégie de confidentialité, configurez la rétention de l’espace de travail par défaut sur 30 jours à l’aide de l’API et mettez à jour la propriété de l’espace de travail immediatePurgeDataOn30Days vers true. Cette opération est actuellement prise en charge uniquement en utilisant l’API Espaces de travail - Mettre à jour.

Portail

Pour définir la rétention de l’espace de travail par défaut :

1. Sélectionnez l’espace de travail dans le menu Espaces de travail Log Analytics dans le portail Azure.

2. Sélectionnez Utilisation et estimation des coûts dans le volet gauche.

3. Sélectionnez Conservation des données en haut de la page.

   

4. Déplacez le curseur pour augmenter ou diminuer le nombre de jours, puis sélectionnez OK.

API

Pour définir la durée d’archivage et de conservation d’une table, appelez l’API Espaces de travail – Créer ou Mettre à jour :

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Corps de la demande

Le corps de la demande comprend les valeurs figurant dans le tableau suivant.

Nom	Type	Description
properties.retentionInDays	entier	Conservation des données de l’espace de travail en jours. Les valeurs autorisées varient selon le plan tarifaire. Pour plus d’informations, consultez la documentation sur les niveaux tarifaires.
location	string	Emplacement géographique de la ressource.
immediatePurgeDataOn30Days	booléen	Indicateur qui indique si les données sont immédiatement supprimées après 30 jours et non récupérables. Applicable uniquement lorsque la rétention de l’espace de travail est définie sur 30 jours.

Exemple

Cet exemple définit la durée de conservation de l'espace de travail sur la valeur par défaut de 30 jours et garantit que les données sont immédiatement supprimées après 30 jours et qu'elles ne sont pas récupérables.

Requête

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

INTERFACE DE LIGNE DE COMMANDE

Pour définir la durée de conservation et d’archivage d’une table, exécutez la commande az monitor log-analytics workspace update et transmettez le paramètre --retention-time.

Cet exemple montre comment définir la rétention interactive de la table sur 30 jours et la rétention totale sur deux ans, ce qui signifie que la durée d’archivage est de 23 mois :

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

PowerShell

Utilisez la cmdlet Set-AzOperationalInsightsWorkspace pour définir la durée de conservation d’un espace de travail. Cet exemple définit la durée de conservation de l’espace de travail sur 30 jours :

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Configurer la rétention et l’archivage au niveau de la table

Par défaut, toutes les tables dans votre espace de travail héritent du paramètre de rétention interactive de l’espace de travail, et n’ont aucun archivage. Vous pouvez modifier les paramètres de rétention et d’archivage de tables individuelles, sauf pour des espaces de travail au niveau tarifaire d’essai gratuit hérité.

Le plan de données des journaux Analytics comprend 31 jours de rétention interactive pour les espaces de travail dans les niveaux tarifaires de génération actuelle (niveaux de paiement à l’utilisation et d’engagement, ainsi que les niveaux autonomes et par nœud hérités). Vous pouvez augmenter la période de rétention interactive jusqu’à 730 jours, avec un coût supplémentaire. Si nécessaire, vous pouvez réduire la période de rétention interactive à quatre jours à l’aide de l’API ou de l’interface CLI. Toutefois, étant donné que 31 jours de rétention interactive sont inclus dans le prix d’ingestion, la réduction de la période de rétention inférieure à 31 jours ne réduit pas les coûts. Vous pouvez définir la période d’archivage sur une durée de rétention totale de 4 383 jours maximum (12 ans).

Remarque

Vous pouvez actuellement définir la rétention totale jusqu’à 12 ans par le Portail Azure et l’API. L’interface CLI et PowerShell sont limitées à sept ans, avec une prise en charge pendant 12 ans.

Portail

Pour définir la durée de rétention et d’archivage d’une table dans le portail Azure :

1. Dans le menu Espaces de travail Log Analytics, sélectionnez Tables.

   L’écran Tables liste toutes les tables de l’espace de travail.

2. Sélectionnez le menu contextuel de la table que vous souhaitez configurer et sélectionnez Gérer la table.

   

3. Configurez la durée de rétention et d’archivage dans la section Paramètres de rétention des données de l’écran de configuration de table.

   

API

Pour définir la durée d’archivage et de conservation d’une table, appelez l’API Tables – Mise à jour :

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Notes

Vous ne spécifiez pas explicitement la durée d’archivage dans l’appel d’API. Au lieu de cela, vous définissez la durée de conservation totale, qui la somme des durées de rétention et d’archivage interactifs.

Vous pouvez utiliser PUT ou PATCH, avec la différence suivante :

• L’API PUT définit retentionInDays et totalRetentionInDays sur la valeur par défaut si vous ne définissez pas de valeurs non Null.
• L’API PATCH ne modifie pas les valeurs retentionInDays ni totalRetentionInDays si vous ne spécifiez aucune valeur.

Corps de la demande

Le corps de la demande comprend les valeurs figurant dans le tableau suivant.

Nom	Type	Description
properties.retentionInDays	entier	Conservation des données de la table en jours. Cette valeur peut être comprise entre 4 et 730. La définition de cette propriété sur null applique la période de rétention de l’espace de travail. Pour une table de journaux de base, la valeur est toujours 8.
properties.totalRetentionInDays	entier	Conservation des données totale de la table, période d’archivage incluse. Cette valeur peut être comprise entre 4 et 730, 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 ou 4383. Définissez cette propriété sur une valeur Null si vous ne souhaitez pas archiver les données.

Exemple

Cet exemple définit la rétention interactive de la table sur l’espace de travail par défaut sur 30 jours et la rétention totale sur deux ans, ce qui implique que la durée de l’archive est de 23 mois.

Requête

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Corps de demande

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Réponse

Code d’état : 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

INTERFACE DE LIGNE DE COMMANDE

Pour définir la durée de rétention et d’archivage d’une table, exécutez la commande az monitor log-analytics workspace table update et transmettez les paramètres --retention-timeet --total-retention-time.

Cet exemple montre comment définir la rétention interactive de la table sur 30 jours et la rétention totale sur deux ans, ce qui signifie que la durée d’archivage est de 23 mois :

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Pour réappliquer la valeur de rétention interactive par défaut de l’espace de travail à la table et réinitialiser sa rétention totale sur 0, exécutez la commande az monitor log-analytics workspace table update avec les paramètres --retention-time et --total-retention-time définis sur -1.

Par exemple :

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

PowerShell

Utilisez l’applet de commande Update-AzOperationalInsightsTable pour définir la durée de rétention et d’archivage d’une table. Cet exemple montre comment définir la rétention interactive de la table sur 30 jours et la rétention totale sur deux ans, ce qui signifie que la durée d’archivage est de 23 mois :

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Pour réappliquer la valeur de rétention interactive par défaut de l’espace de travail à la table et réinitialiser sa rétention totale sur 0, exécutez la commande Update-AzOperationalInsightsTable avec les paramètres -RetentionInDays et -TotalRetentionInDays définis sur -1.

Par exemple :

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Obtenir les paramètres de rétention et d'archivage par table

Portail

Pour voir la durée de conservation et d’archivage d’une table dans le portail Azure, dans le menu Espaces de travail Log Analytics, sélectionnez Tables.

L’écran Tables montre la période de conservation et d’archivage interactifs pour toutes les tables de l’espace de travail.

API

Pour obtenir le paramètre de rétention d’une table particulière (dans cet exemple SecurityEvent), appelez l’API Tables – Get :

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Pour obtenir l’ensemble des paramètres de rétention au niveau de la table dans votre espace de travail, ne définissez pas de nom de table.

Par exemple :

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

INTERFACE DE LIGNE DE COMMANDE

Pour obtenir le paramètre de rétention d’une table particulière, exécutez la commande az monitor log-analytics workspace table show.

Par exemple :

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

PowerShell

Pour obtenir le paramètre de rétention d'une table particulière, exécutez le cmdlet Get-AzOperationalInsightsTable.

Par exemple :

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Tables avec des périodes de rétention uniques

Par défaut, les deux types de données (Usage et AzureActivity) conservent les données pendant au moins 90 jours sans frais. Si la rétention de l’espace de travail augmente au-delà de 90 jours, la rétention de ces types de données est également augmentée. Ces tables sont également exemptes de frais d’ingestion des données.

Les tables relatives aux ressources Application Insights conservent également les données pendant 90 jours sans frais. Vous pouvez ajuster la rétention de chacune de ces tables individuellement :

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Modèle de tarification

Les frais de maintenance des journaux archivés sont calculés en fonction du volume de données que vous archivez, en Go et du nombre ou des jours pour lesquels vous archivez les données. Les données de journal qui ont _IsBillable == false ne sont pas soumises à des frais de rétention ou d’archivage.

Pour plus d’informations, consultez Tarification Azure Monitor.

Étapes suivantes

Pour en savoir plus :

• Gestion des données personnelles dans les journaux Azure Monitor
• Création d’une tâche de recherche pour récupérer des données archivées correspondant à des critères particuliers
• Restaurez les données archivées pour un intervalle de temps particulier