Gestire le tabelle in un'area di lavoro Log Analytics

Un'area di lavoro Log Analytics consente di raccogliere dati di log da risorse di Azure e non di Azure in uno spazio per l'analisi, usato da altri servizi, ad esempio Sentinel, e per attivare avvisi e azioni, ad esempio usando App per la logica di Azure. L'area di lavoro Log Analytics è costituita da tabelle che è possibile configurare per gestire il modello di dati, l'accesso ai dati e i costi correlati ai log. Questo articolo illustra le opzioni di configurazione della tabella nei log di Monitoraggio di Azure e come impostare le proprietà della tabella in base alle esigenze di analisi dei dati e di gestione dei costi.

Proprietà delle tabelle

Questo diagramma offre una panoramica delle opzioni di configurazione della tabella nei log di Monitoraggio di Azure:

Tipo e schema di una tabella

Lo schema di una tabella è il set di colonne che costituiscono la tabella, in cui i log di Monitoraggio di Azure raccolgono i dati di log da una o più origini dati.

L'area di lavoro Log Analytics può contenere i tipi di tabelle seguenti:

Tipo di tabella	Origine dati	Schema
Tabella di Azure	Log dalle risorse di Azure o richiesti da servizi e soluzioni di Azure.	I log di Monitoraggio di Azure creano automaticamente tabelle di Azure in base ai servizi di Azure usati e alle impostazioni di diagnostica configurate per risorse specifiche. Ogni tabella di Azure ha uno schema predefinito. È possibile aggiungere colonne a una tabella di Azure per archiviare i dati di log trasformati o per arricchire i dati nella tabella di Azure con i dati di un'altra origine.
Tabella personalizzata	Risorse e altre origini dati non di Azure, ad esempio log basati su file.	È possibile definire lo schema di una tabella personalizzata in base alla modalità di archiviazione dei dati raccolti da una determinata origine dati.
Risultati della ricerca	Tutti i dati archiviati in un'area di lavoro Log Analytics.	Lo schema di una tabella dei risultati di ricerca si basa sulla query definita quando si esegue il processo di ricerca. Non è possibile modificare lo schema delle tabelle dei risultati di ricerca esistenti.
Log ripristinati	Dati archiviati in una tabella specifica in un'area di lavoro Log Analytics.	Una tabella dei log ripristinati ha lo stesso schema della tabella da cui si ripristinano i log. Non è possibile modificare lo schema delle tabelle dei log ripristinate esistenti.

Piano di una tabella

Configurare il piano di una tabella in base alla frequenza con cui si accede ai dati nella tabella:

• Il piano Analytics è adatto per il monitoraggio continuo, il rilevamento in tempo reale e l'analisi delle prestazioni. Questo piano rende disponibili i dati di log per le query multi-tabella interattive e l'uso per funzionalità e servizio da 30 giorni a due anni.
• Il piano Basic è adatto per la risoluzione dei problemi e la risposta agli eventi imprevisti. Questo piano offre l'inserimento scontato e le query a tabella singola ottimizzate per 30 giorni.
• Il piano Auxiliary è adatto per i dati low-touch, ad esempio i log dettagliati e i dati necessari per il controllo e la conformità. Questo piano offre l'inserimento a basso costo e query a tabella singola non ottimizzate per 30 giorni.

Per informazioni dettagliate sui piani di tabella dei log di Monitoraggio di Azure, vedere Log di Monitoraggio di Azure: piani di tabella.

Conservazione a lungo termine

La conservazione a lungo termine è una soluzione a basso costo per mantenere i dati che non vengono usati regolarmente nell'area di lavoro per la conformità o l'analisi occasionale. Usare le impostazioni di conservazione a livello di tabella per aggiungere o estendere la conservazione a lungo termine.

Per accedere ai dati nella conservazione a lungo termine, eseguire un processo di ricerca.

Trasformazioni in fase di inserimento

Ridurre i costi e le attività di analisi usando regole di raccolta dati per filtrare e trasformare i dati prima dell'inserimento in base allo schema definito per la tabella personalizzata.

Nota

Le tabelle con piano di tabella ausiliario non supportano attualmente la trasformazione dei dati. Per altri dettagli, vedere Limitazioni dell'anteprima pubblica del piano di tabella ausiliario.

Visualizzare le proprietà della tabella

Nota

Il nome della tabella prevede la distinzione tra maiuscole e minuscole.

Portale

Per visualizzare e impostare le proprietà della tabella nel portale di Azure:

1. Nell'area di lavoro Log Analytics selezionare Tabelle.

   La schermata Tabelle presenta le informazioni di configurazione della tabella per tutte le tabelle nell'area di lavoro Log Analytics.

   

2. Selezionare i puntini di sospensione (...) a destra di una tabella per aprire il menu di gestione tabelle.

   Le opzioni di gestione delle tabelle disponibili variano in base al tipo di tabella.

   1. Selezionare Gestisci tabella per modificare le proprietà della tabella.

   2. Selezionare Modifica schema per visualizzare e modificare lo schema della tabella.

API

Per visualizzare le proprietà della tabella, chiamare Tables - Get API:

GET https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2021-12-01-preview

Corpo della risposta

Nome	Tipo	Descrizione
properties.plan	string	Piano tabella. Analytics, Basic o Auxiliary.
properties.retentionInDays	integer	Conservazione interattiva della tabella in giorni. Per Basic e Auxiliiary, questo valore è 30 giorni. Per Analytics, il valore è compreso tra quattro e 730 giorni.
properties.totalRetentionInDays	integer	Conservazione totale dei dati della tabella, inclusa la conservazione interattiva e a lungo termine.
properties.archiveRetentionInDays	integer	Periodo di conservazione a lungo termine della tabella (di sola lettura, calcolato).
properties.lastPlanModifiedDate	String	Ora dell'ultima impostazione del piano per questa tabella. Null se non è mai stata apportata alcuna modifica dalle impostazioni predefinite (sola lettura).

Esempio di richiesta

GET https://management.azure.com/subscriptions/ContosoSID/resourcegroups/ContosoRG/providers/Microsoft.OperationalInsights/workspaces/ContosoWorkspace/tables/ContainerLogV2?api-version=2021-12-01-preview

Risposta di esempio

Codice di stato: 200

{
    "properties": {
        "retentionInDays": 8,
        "totalRetentionInDays": 8,
        "archiveRetentionInDays": 0,
        "plan": "Basic",
        "lastPlanModifiedDate": "2022-01-01T14:34:04.37",
        "schema": {...},
        "provisioningState": "Succeeded"        
    },
    "id": "subscriptions/ContosoSID/resourcegroups/ContosoRG/providers/Microsoft.OperationalInsights/workspaces/ContosoWorkspace",
    "name": "ContainerLogV2"
}

Per impostare le proprietà della tabella, chiamare Tables - Create Or Update API.

Interfaccia della riga di comando di Azure

Per visualizzare le proprietà della tabella usando l'interfaccia della riga di comando di Azure, eseguire il comando az monitor log-analytics workspace table show.

Ad esempio:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --output table  

Per impostare le proprietà della tabella usando l'interfaccia della riga di comando di Azure, eseguire il comando az monitor log-analytics workspace table update.

PowerShell

Per visualizzare le proprietà della tabella tramite PowerShell, eseguire:

Invoke-AzRestMethod -Path "/subscriptions/ContosoSID/resourcegroups/ContosoRG/providers/microsoft.operationalinsights/workspaces/ContosoWorkspace/tables/Heartbeat?api-version=2021-12-01-preview" -Method GET 

Risposta di esempio

{
  "properties": {
    "totalRetentionInDays": 30,
    "archiveRetentionInDays": 0,
    "plan": "Analytics",
    "retentionInDaysAsDefault": true,
    "totalRetentionInDaysAsDefault": true,
    "schema": {
      "tableSubType": "Any",
      "name": "Heartbeat",
      "tableType": "Microsoft",
      "standardColumns": [
        {
          "name": "TenantId",
          "type": "guid",
          "description": "ID of the workspace that stores this record.",
          "isDefaultDisplay": true,
          "isHidden": true
        },
        {
          "name": "SourceSystem",
          "type": "string",
          "description": "Type of agent the data was collected from. Possible values are OpsManager (Windows agent) or Linux.",
          "isDefaultDisplay": true,
          "isHidden": false
        },
        {
          "name": "TimeGenerated",
          "type": "datetime",
          "description": "Date and time the record was created.",
          "isDefaultDisplay": true,
          "isHidden": false
        },
        <OMITTED>
        {
          "name": "ComputerPrivateIPs",
          "type": "dynamic",
          "description": "The list of private IP addresses of the computer.",
          "isDefaultDisplay": true,
          "isHidden": false
        }
      ],
      "solutions": [
        "LogManagement"
      ],
      "isTroubleshootingAllowed": false
    },
    "provisioningState": "Succeeded",
    "retentionInDays": 30
  },
  "id": "/subscriptions/{guid}/resourceGroups/{rg name}/providers/Microsoft.OperationalInsights/workspaces/{ws id}/tables/Heartbeat",
  "name": "Heartbeat"
}

Usare il cmdlet Update-AzOperationalInsightsTable per impostare le proprietà della tabella.

Passaggi successivi

Scopri come:

• Impostare il piano dati di log di una tabella
• Aggiungere tabelle e colonne personalizzate
• Configurare la conservazione dei dati
• Progettare un'architettura dell'area di lavoro