Gegevensretentie beheren in een Log Analytics-werkruimte

Een Log Analytics-werkruimte bewaart gegevens in twee statussen:

• Interactieve retentie: in deze status zijn gegevens beschikbaar voor bewaking, probleemoplossing en bijna realtime analyse.
• Langetermijnretentie: in deze goedkope status zijn gegevens niet beschikbaar voor functies van tabelplannen, maar kunnen ze wel worden geopend via zoektaken.

In dit artikel wordt uitgelegd hoe Log Analytics-werkruimten gegevens bewaren en hoe u de gegevensretentie van tabellen in uw werkruimte beheert.

Interactieve, langetermijn- en totale retentie

Standaard bewaren alle tabellen in een Log Analytics-werkruimte gegevens 30 dagen, met uitzondering van logboektabellen met standaardretentie van 90 dagen. Tijdens deze periode, de interactieve bewaarperiode, kunt u de gegevens uit de tabel ophalen via query's en zijn de gegevens beschikbaar voor visualisaties, waarschuwingen en andere functies en services, op basis van het tabelplan.

U kunt de interactieve bewaarperiode van tabellen uitbreiden met het Analytics-plan tot maximaal twee jaar. De basis- en hulpplannen hebben een vaste interactieve bewaarperiode van 30 dagen.

Notitie

U kunt de interactieve bewaarperiode van Analytics-tabellen beperken tot slechts vier dagen met behulp van de API of CLI. Aangezien 31 dagen interactieve retentie echter zijn opgenomen in de opnameprijs, vermindert het verlagen van de bewaarperiode onder 31 dagen geen kosten.

Als u gegevens in dezelfde tabel wilt bewaren na de interactieve bewaarperiode, verlengt u de totale retentie van de tabel tot 12 jaar. Aan het einde van de interactieve bewaarperiode blijven de gegevens in de tabel voor de rest van de totale bewaarperiode die u configureert. Tijdens deze periode, de langetermijnretentieperiode, voert u een zoektaak uit om de specifieke gegevens op te halen die u nodig hebt uit de tabel en deze beschikbaar te maken voor interactieve query's in een tabel met zoekresultaten.

Hoe retentiewijzigingen werken

Wanneer u de totale retentie van een tabel verkort, wacht Azure Monitor-logboeken 30 dagen voordat u de gegevens verwijdert, zodat u de wijziging kunt herstellen en gegevensverlies kunt voorkomen als u een fout in de configuratie hebt gemaakt.

Wanneer u de totale retentie verhoogt, is de nieuwe bewaarperiode van toepassing op alle gegevens die al in de tabel zijn opgenomen en nog niet zijn verwijderd.

Wanneer u de instellingen voor langetermijnretentie van een tabel met bestaande gegevens wijzigt, wordt de wijziging onmiddellijk van kracht.

Voorbeeld:

• U hebt een bestaande Analytics-tabel met 180 dagen interactieve retentie en geen langetermijnretentie.
• U wijzigt de interactieve retentie in 90 dagen zonder de totale bewaarperiode van 180 dagen te wijzigen.
• Azure Monitor behandelt automatisch de resterende 90 dagen aan totale retentie als goedkope, langetermijnretentie, zodat gegevens die 90 tot 180 dagen oud zijn, niet verloren gaan.

Vereiste machtigingen

Actie	Vereiste machtigingen
Standaard interactieve retentie configureren voor Analytics-tabellen in een Log Analytics-werkruimte	Microsoft.OperationalInsights/workspaces/write en microsoft.operationalinsights/workspaces/tables/write machtigingen voor de Log Analytics-werkruimte, zoals geleverd door de ingebouwde rol Log Analytics-inzender
Bewaarinstelling ophalen per tabel voor een Log Analytics-werkruimte	Microsoft.OperationalInsights/workspaces/tables/read machtigingen voor de Log Analytics-werkruimte, zoals geleverd door de ingebouwde rol log analytics-lezer, bijvoorbeeld

De standaard interactieve bewaarperiode van Analytics-tabellen configureren

De standaard interactieve bewaarperiode van alle tabellen in een Log Analytics-werkruimte is 30 dagen. U kunt de standaard interactieve periode van Analytics-tabellen wijzigen in maximaal twee jaar door de instelling voor gegevensretentie op werkruimteniveau te wijzigen. Basis- en hulptabellen hebben een vaste interactieve bewaarperiode van 30 dagen.

Het wijzigen van de standaardinstelling voor gegevensretentie op werkruimteniveau is automatisch van invloed op alle Analytics-tabellen waarop de standaardinstelling nog steeds van toepassing is in uw werkruimte. Als u de interactieve retentie van een bepaalde tabel al hebt gewijzigd, wordt deze tabel niet beïnvloed wanneer u de standaardinstelling voor gegevensretentie van de werkruimte wijzigt.

Belangrijk

Werkruimten met een bewaarperiode van 30 dagen kunnen gegevens 31 dagen bewaren. Als u gegevens 30 dagen wilt bewaren om alleen te voldoen aan een privacybeleid, configureert u de standaardretentie van werkruimten tot 30 dagen met behulp van de API en werkt u de immediatePurgeDataOn30Days werkruimte-eigenschap bij naar true. Deze bewerking wordt momenteel alleen ondersteund met behulp van de Werkruimten - API bijwerken.

Portal

De standaard interactieve bewaarperiode van Analytics-tabellen instellen in een Log Analytics-werkruimte:

1. Selecteer uw werkruimte in het menu Log Analytics-werkruimten in Azure Portal.

2. Selecteer Gebruik en geschatte kosten in het linkerdeelvenster.

3. Selecteer Gegevensretentie boven aan de pagina.

   

4. Verplaats de schuifregelaar om het aantal dagen te verhogen of te verlagen en selecteer VERVOLGENS OK.

API

Als u de standaard interactieve bewaarperiode van Analytics-tabellen in een Log Analytics-werkruimte wilt instellen, roept u de werkruimten - API maken of bijwerken aan:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Aanvraagbody

De hoofdtekst van de aanvraag bevat de waarden in de volgende tabel.

Name	Type	Description
properties.retentionInDays	geheel getal	De gegevensretentie van de werkruimte in dagen. Toegestane waarden zijn per prijsplan. Raadpleeg de documentatie over prijscategorieën voor meer informatie.
location	tekenreeks	De geografische locatie van de resource.
immediatePurgeDataOn30Days	boolean	Vlag die aangeeft of gegevens onmiddellijk na 30 dagen worden verwijderd en niet kunnen worden hersteld. Alleen van toepassing wanneer retentie van werkruimten is ingesteld op 30 dagen.

Voorbeeld

In dit voorbeeld wordt de retentie van de werkruimte ingesteld op de standaardwaarde van 30 dagen voor de werkruimte en zorgt u ervoor dat gegevens onmiddellijk na 30 dagen worden verwijderd en niet kunnen worden hersteld.

Aanvragen

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

CLI

Als u de standaard interactieve bewaarperiode van Analytics-tabellen in een Log Analytics-werkruimte wilt instellen, voert u de opdracht az monitor log-analytics workspace update uit en geeft u de --retention-time parameter door.

In dit voorbeeld wordt de interactieve retentie van de tabel ingesteld op 30 dagen:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

Powershell

Gebruik de cmdlet Set-AzOperationalInsightsWorkspace om de standaard interactieve bewaarperiode van Analytics-tabellen in een Log Analytics-werkruimte in te stellen. In dit voorbeeld wordt de standaard interactieve bewaarperiode ingesteld op 30 dagen:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Retentie op tabelniveau configureren

Standaard nemen alle tabellen met het analysegegevensplan de standaardinstelling voor interactieve retentie van de Log Analytics-werkruimte over en hebben ze geen langetermijnretentie. U kunt de interactieve bewaarperiode van Analytics-tabellen tot maximaal 730 dagen verhogen tegen extra kosten.

Als u langetermijnretentie wilt toevoegen aan een tabel met een gegevensabonnement, stelt u de totale retentie in op maximaal 12 jaar (4383 dagen). Het hulptabelplan is momenteel in openbare preview, waarbij de totale retentie van het plan is vastgesteld op 365 dagen.

Notitie

Op dit moment kunt u de totale retentie instellen op maximaal 12 jaar via de Azure-portal en API. CLI en PowerShell zijn beperkt tot zeven jaar; ondersteuning voor 12 jaar zal volgen.

Portal

De bewaarinstelling voor een tabel in Azure Portal wijzigen:

1. Selecteer Tabellen in het menu Log Analytics-werkruimten.

   Het scherm Tabellen bevat alle tabellen in de werkruimte.

2. Selecteer het contextmenu voor de tabel die u wilt configureren en selecteer Tabel beheren.

   

3. Configureer de interactieve bewaar- en totaalretentie-instellingen in de sectie Gegevensretentie-instellingen van het scherm voor tabelconfiguratie.

   

API

Als u de bewaarinstelling voor een tabel wilt wijzigen, roept u de Tabellen - API bijwerken aan:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

U kunt PUT of PATCH gebruiken, met het volgende verschil:

• De PUT-API stelt retentionInDays en totalRetentionInDays de standaardwaarde in als u geen niet-null-waarden instelt.
• De PATCH-API wijzigt de retentionInDays waarden totalRetentionInDays niet als u geen waarden opgeeft.

Aanvraagbody

De hoofdtekst van de aanvraag bevat de waarden in de volgende tabel.

Name	Type	Description
properties.retentionInDays	geheel getal	De gegevensretentie van de tabel in dagen. Deze waarde kan tussen 4 en 730 zijn. Als u deze eigenschap instelt op null, wordt de bewaarperiode van de werkruimte toegepast. Voor een tabel Basislogboeken is de waarde altijd 8.
properties.totalRetentionInDays	geheel getal	De totale gegevensretentie van de tabel, inclusief langetermijnretentie. Deze waarde kan tussen 4 en 730 zijn; of 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 of 4383. Stel deze eigenschap in op null als u geen langetermijnretentie wilt.

Voorbeeld

In dit voorbeeld wordt de interactieve bewaarperiode van de tabel ingesteld op de standaardwaarde van 30 dagen in de werkruimte en de totale retentie tot twee jaar, wat betekent dat de langetermijnretentieperiode 23 maanden is.

Aanvragen

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Aanvraagbody

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Respons

Statuscode: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

CLI

Als u de bewaarinstellingen van een tabel wilt wijzigen, voert u de opdracht az monitor log-analytics workspace table update uit en geeft u de --retention-time en --total-retention-time parameters door.

In dit voorbeeld wordt de interactieve retentie van de tabel ingesteld op 30 dagen en de totale retentie op twee jaar, wat betekent dat de langetermijnretentieperiode 23 maanden is:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Als u de standaard interactieve bewaarwaarde van de werkruimte opnieuw wilt toepassen op de tabel en de totale retentie ervan opnieuw wilt instellen op 0, voert u de opdracht az monitor log-analytics workspace table update uit met de --retention-time parameters --total-retention-time ingesteld op -1.

Voorbeeld:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

Powershell

Gebruik de cmdlet Update-AzOperationalInsightsTable om de bewaarinstellingen van een tabel te wijzigen. In dit voorbeeld wordt de interactieve retentie van de tabel ingesteld op 30 dagen en de totale retentie op twee jaar, wat betekent dat de langetermijnretentieperiode 23 maanden is:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Als u de standaardwaarde voor interactieve retentie van de werkruimte opnieuw wilt toepassen op de tabel en de totale retentie opnieuw wilt instellen op 0, voert u de cmdlet Update-AzOperationalInsightsTable uit met de -RetentionInDays parameters -TotalRetentionInDays ingesteld op -1.

Voorbeeld:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Bewaarinstellingen ophalen per tabel

Portal

Als u de bewaarinstellingen van een tabel in Azure Portal wilt weergeven, selecteert u Tabellen in het menu Log Analytics-werkruimten.

In het scherm Tabellen ziet u de interactieve bewaarperioden en de totale bewaarperioden voor alle tabellen in de werkruimte.

API

Als u de retentie-instelling van een bepaalde tabel wilt ophalen (in dit voorbeeld SecurityEvent), roept u de tabellen aan - API ophalen :

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Als u alle bewaarinstellingen op tabelniveau in uw werkruimte wilt ophalen, moet u geen tabelnaam instellen.

Voorbeeld:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

CLI

Als u de bewaarinstelling van een bepaalde tabel wilt ophalen, voert u de opdracht az monitor log-analytics workspace table show uit.

Voorbeeld:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

Powershell

Als u de bewaarinstelling van een bepaalde tabel wilt ophalen, voert u de cmdlet Get-AzOperationalInsightsTable uit.

Voorbeeld:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Wat gebeurt er met gegevens wanneer u een tabel verwijdert in een Log Analytics-werkruimte?

Een Log Analytics-werkruimte kan verschillende typen tabellen bevatten. Wat er gebeurt wanneer u de tabel verwijdert, verschilt voor elke tabel:

Tabeltype	Gegevensretentie	Aanbevelingen
Azure-tabel	Een Azure-tabel bevat logboeken van een Azure-resource of -gegevens die zijn vereist voor een Azure-service of -oplossing en kan niet worden verwijderd. Wanneer u stopt met het streamen van gegevens uit de resource, service of oplossing, blijven gegevens in de werkruimte tot het einde van de retentieperiode die voor de tabel is gedefinieerd.	Als u de kosten wilt minimaliseren, stelt u de retentie op tabelniveau in op vier dagen voordat u streaminglogboeken naar de tabel stopt.
Aangepaste logboektabel (table_CL)	Hiermee verwijdert u de tabel tot het einde van de bewaarperiode op tabelniveau of de standaardretentieperiode voor werkruimten. Tijdens de periode voor voorlopig verwijderen blijft u betalen voor gegevensretentie en kunt u de tabel opnieuw maken en de gegevens openen door een tabel met dezelfde naam en hetzelfde schema in te stellen. Veertien dagen nadat u een aangepaste tabel hebt verwijderd, verwijdert Azure Monitor de bewaarconfiguratie op tabelniveau en past u de standaardretentie van werkruimten toe.	Als u kosten wilt minimaliseren, stelt u retentie op tabelniveau in op vier dagen voordat u de tabel verwijdert.
Tabel met zoekresultaten (table_SRCH)	Hiermee verwijdert u de tabel en gegevens onmiddellijk en permanent.
Herstelde tabel (table_RST)	Hiermee verwijdert u de hot-cache die is ingericht voor het herstellen, maar de brontabelgegevens worden niet verwijderd.

Logboektabellen met standaardretentie van 90 dagen

Standaard bewaren de Usage gegevens en AzureActivity tabellen minstens 90 dagen zonder kosten. Wanneer u de retentie van de werkruimte verhoogt tot meer dan 90 dagen, verhoogt u ook de retentie van deze tabellen. Deze tabellen zijn ook gratis van kosten voor gegevensopname.

Tabellen met betrekking tot Application Insights-resources bewaren ook gegevens gedurende 90 dagen zonder kosten. U kunt de retentie van elk van deze tabellen afzonderlijk aanpassen:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Prijsmodel

De kosten voor het toevoegen van interactieve retentie en langetermijnretentie worden berekend op basis van het gegevensvolume dat u behoudt, in GB en het aantal dagen waarvoor u de gegevens bewaart. Logboekgegevens die _IsBillable == false niet onderhevig zijn aan opname- of bewaarkosten.

Zie prijzen voor Azure Monitor voor meer informatie.

Volgende stappen

Meer informatie over:

• Persoonlijke gegevens beheren in Azure Monitor-logboeken
• Een zoektaak maken om hulpgegevens op te halen die overeenkomen met bepaalde criteria
• Gegevens uit de hulplaag herstellen voor een specifiek tijdsbereik