Gegevensretentie en -archief in Azure Monitor-logboeken

Azure Monitor-logboeken bewaren gegevens in twee statussen:

• Interactieve retentie: Hiermee kunt u Analytics-logboeken bewaren voor interactieve query's van maximaal 2 jaar.
• Archief: Hiermee kunt u oudere, minder gebruikte gegevens in uw werkruimte tegen lagere kosten bewaren. U kunt toegang krijgen tot gegevens in de gearchiveerde status met behulp van zoektaken en herstellen. U kunt gegevens maximaal 12 jaar in gearchiveerde staat bewaren.

In dit artikel wordt beschreven hoe u gegevensretentie en archivering configureert.

Hoe retentie en archivering werken

Elke werkruimte heeft een standaardinstelling voor bewaren die wordt toegepast op alle tabellen. U kunt een andere bewaarinstelling voor afzonderlijke tabellen configureren.

Tijdens de interactieve bewaarperiode zijn gegevens beschikbaar voor bewaking, probleemoplossing en analyse. Wanneer u de logboeken niet meer gebruikt, maar de gegevens toch moet bewaren voor naleving of incidenteel onderzoek, archivert u de logboeken om kosten te besparen.

Gearchiveerde gegevens blijven in dezelfde tabel, naast de gegevens die beschikbaar zijn voor interactieve query's. Wanneer u een totale bewaarperiode instelt die langer is dan de interactieve bewaarperiode, worden de relevante gegevens automatisch gearchiveerd aan het einde van de bewaarperiode.

U hebt toegang tot gearchiveerde gegevens door een zoektaak uit te voeren of gearchiveerde logboeken te herstellen.

Notitie

De archiefperiode kan alleen worden ingesteld op tabelniveau, niet op werkruimteniveau.

Aanpassingen aan bewaar- en archiefinstellingen

Wanneer u een bestaande bewaarinstelling verkort, wacht Azure Monitor 30 dagen voordat u de gegevens verwijdert, zodat u de wijziging kunt herstellen en gegevensverlies kunt voorkomen in het geval van een fout in de configuratie. U kunt gegevens onmiddellijk opschonen wanneer dat nodig is.

Wanneer u de bewaarinstelling verhoogt, is de nieuwe bewaarperiode van toepassing op alle gegevens die al in de tabel zijn opgenomen en nog niet zijn verwijderd of verwijderd.

Als u de archiefinstellingen voor een tabel met bestaande gegevens wijzigt, worden de relevante gegevens in de tabel ook onmiddellijk beïnvloed. U hebt bijvoorbeeld een bestaande tabel met 180 dagen interactieve retentie en geen archiefperiode. U besluit de bewaarinstelling te wijzigen in 90 dagen interactieve retentie zonder de totale bewaarperiode van 180 dagen te wijzigen. Log Analytics archiveert onmiddellijk alle gegevens die ouder zijn dan 90 dagen en geen van de gegevens wordt verwijderd.

Wat gebeurt er met gegevens wanneer u een tabel in een Log Analytics-werkruimte verwijdert

Een Log Analytics-werkruimte kan verschillende typen tabellen bevatten. Wat er gebeurt wanneer u de tabel verwijdert, verschilt voor elke tabel:

Tabeltype	Gegevensretentie	Aanbevelingen
Azure-tabel	Een Azure-tabel bevat logboeken van een Azure-resource of -gegevens die zijn vereist voor een Azure-service of -oplossing en kan niet worden verwijderd. Wanneer u stopt met het streamen van gegevens uit de resource, service of oplossing, blijven gegevens in de werkruimte tot het einde van de retentieperiode die is gedefinieerd voor de tabel of voor de standaardretentie van werkruimten, als u geen bewaarperiode op tabelniveau definieert.	Als u de kosten wilt minimaliseren, stelt u de retentie op tabelniveau in op vier dagen voordat u streaminglogboeken naar de tabel stopt.
Herstelde tabel(table_RST)	Hiermee verwijdert u de hot-cache die is ingericht voor het herstellen, maar de brontabelgegevens worden niet verwijderd.
Tabel met zoekresultaten (table_SRCH)	Hiermee verwijdert u de tabel en gegevens onmiddellijk en permanent.
Aangepaste logboektabel (table_CL)	Hiermee verwijdert u de tabel tot het einde van de bewaarperiode op tabelniveau of de standaardretentieperiode voor werkruimten. Tijdens de periode voor voorlopig verwijderen blijft u betalen voor gegevensretentie en kunt u de tabel opnieuw maken en de gegevens openen door een tabel met dezelfde naam en hetzelfde schema in te stellen. Veertien dagen nadat u een aangepaste tabel hebt verwijderd, verwijdert Azure Monitor de bewaarconfiguratie op tabelniveau en past u de standaardretentie van werkruimten toe.	Als u kosten wilt minimaliseren, stelt u retentie op tabelniveau in op vier dagen voordat u de tabel verwijdert.

Vereiste machtigingen

Actie	Vereiste machtigingen
Beleid voor gegevensretentie en archief configureren voor een Log Analytics-werkruimte	Microsoft.OperationalInsights/workspaces/write en microsoft.operationalinsights/workspaces/tables/write machtigingen voor de Log Analytics-werkruimte, zoals geleverd door de ingebouwde rol Log Analytics-inzender
Bewaar- en archiefbeleid ophalen per tabel voor een Log Analytics-werkruimte	Microsoft.OperationalInsights/workspaces/tables/read machtigingen voor de Log Analytics-werkruimte, zoals geleverd door de ingebouwde rol log analytics-lezer, bijvoorbeeld
Gegevens uit een Log Analytics-werkruimte opschonen	Microsoft.OperationalInsights/workspaces/purge/action machtigingen voor de Log Analytics-werkruimte, zoals geleverd door de ingebouwde rol Log Analytics-inzender

De standaardretentie van werkruimten configureren

U kunt de standaardretentie van een Log Analytics-werkruimte in Azure Portal instellen op 30, 31, 60, 90, 120, 180, 270, 365, 550 en 730 dagen. U kunt een andere instelling toepassen op specifieke tabellen door retentie en archivering op tabelniveau te configureren. Als u zich in de gratis laag bevindt, moet u een upgrade uitvoeren naar de betaalde laag om de gegevensretentieperiode te wijzigen.

Belangrijk

Werkruimten met een bewaarperiode van 30 dagen kunnen gegevens 31 dagen bewaren. Als u gegevens 30 dagen wilt bewaren om alleen te voldoen aan een privacybeleid, configureert u de standaardretentie van werkruimten tot 30 dagen met behulp van de API en werkt u de immediatePurgeDataOn30Days werkruimte-eigenschap bij naar true. Deze bewerking wordt momenteel alleen ondersteund met behulp van de Werkruimten - API bijwerken.

Portal

De standaardretentie van werkruimten instellen:

1. Selecteer uw werkruimte in het menu Log Analytics-werkruimten in Azure Portal.

2. Selecteer Gebruik en geschatte kosten in het linkerdeelvenster.

3. Selecteer Gegevensretentie boven aan de pagina.

   

4. Verplaats de schuifregelaar om het aantal dagen te verhogen of te verlagen en selecteer VERVOLGENS OK.

API

Als u de retentie- en archiefduur voor een tabel wilt instellen, roept u de werkruimten aan - API maken of bijwerken:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Aanvraagbody

De hoofdtekst van de aanvraag bevat de waarden in de volgende tabel.

Name	Type	Description
properties.retentionInDays	geheel getal	De gegevensretentie van de werkruimte in dagen. Toegestane waarden zijn per prijsplan. Raadpleeg de documentatie over prijscategorieën voor meer informatie.
location	tekenreeks	De geografische locatie van de resource.
immediatePurgeDataOn30Days	boolean	Vlag die aangeeft of gegevens onmiddellijk na 30 dagen worden verwijderd en niet kunnen worden hersteld. Alleen van toepassing wanneer retentie van werkruimten is ingesteld op 30 dagen.

Voorbeeld

In dit voorbeeld wordt de retentie van de werkruimte ingesteld op de standaardwaarde van 30 dagen voor de werkruimte en zorgt u ervoor dat gegevens onmiddellijk na 30 dagen worden verwijderd en niet kunnen worden hersteld.

Aanvragen

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

CLI

Als u de retentie- en archiefduur voor een tabel wilt instellen, voert u de opdracht az monitor log-analytics workspace update uit en geeft u de --retention-time parameter door.

In dit voorbeeld wordt de interactieve retentie van de tabel ingesteld op 30 dagen en de totale retentie op twee jaar, wat betekent dat de archiefduur 23 maanden is:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

Powershell

Gebruik de cmdlet Set-AzOperationalInsightsWorkspace om de retentie voor een werkruimte in te stellen. In dit voorbeeld wordt de retentie van de werkruimte ingesteld op 30 dagen:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Retentie en archief configureren op tabelniveau

Standaard nemen alle tabellen in uw werkruimte de interactieve bewaarinstelling van de werkruimte over en hebben ze geen archief. U kunt de bewaar- en archiefinstellingen van afzonderlijke tabellen wijzigen, met uitzondering van werkruimten in de verouderde prijscategorie gratis proefversie.

Het abonnement voor logboekgegevens van Analytics bevat 31 dagen interactieve retentie voor werkruimten in de prijscategorieën van de huidige generatie (betalen per gebruik en toezeggingslagen, evenals de verouderde zelfstandige en per node-lagen). U kunt de interactieve bewaarperiode verhogen tot maximaal 730 dagen tegen extra kosten. Indien nodig kunt u de interactieve bewaarperiode beperken tot slechts vier dagen met behulp van de API of CLI. Aangezien 31 dagen interactieve retentie echter zijn opgenomen in de opnameprijs, vermindert het verlagen van de bewaarperiode onder 31 dagen geen kosten. U kunt de archiefperiode instellen op een totale bewaartijd van maximaal 4.383 dagen (12 jaar).

Notitie

Op dit moment kunt u de totale retentie instellen op maximaal 12 jaar via de Azure-portal en API. CLI en PowerShell zijn beperkt tot zeven jaar; ondersteuning voor 12 jaar zal volgen.

Portal

De retentie- en archiefduur voor een tabel in Azure Portal instellen:

1. Selecteer Tabellen in het menu Log Analytics-werkruimten.

   Het scherm Tabellen bevat alle tabellen in de werkruimte.

2. Selecteer het contextmenu voor de tabel die u wilt configureren en selecteer Tabel beheren.

   

3. Configureer de bewaar- en archiefduur in de sectie Gegevensretentie-instellingen van het scherm voor tabelconfiguratie.

   

API

Als u de retentie- en archiefduur voor een tabel wilt instellen, roept u de Tabellen - API bijwerken aan:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Notitie

U geeft niet expliciet de archiefduur op in de API-aanroep. In plaats daarvan stelt u de totale retentie in, de som van de interactieve retentie plus de duur van het archief.

U kunt PUT of PATCH gebruiken, met het volgende verschil:

• De PUT-API stelt retentionInDays en totalRetentionInDays de standaardwaarde in als u geen niet-null-waarden instelt.
• De PATCH-API wijzigt de retentionInDays waarden totalRetentionInDays niet als u geen waarden opgeeft.

Aanvraagbody

De hoofdtekst van de aanvraag bevat de waarden in de volgende tabel.

Name	Type	Description
properties.retentionInDays	geheel getal	De gegevensretentie van de tabel in dagen. Deze waarde kan tussen 4 en 730 zijn. Als u deze eigenschap instelt op null, wordt de bewaarperiode van de werkruimte toegepast. Voor een tabel Basislogboeken is de waarde altijd 8.
properties.totalRetentionInDays	geheel getal	De totale gegevensretentie van de tabel, inclusief archiefperiode. Deze waarde kan tussen 4 en 730 zijn; of 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 of 4383. Stel deze eigenschap in op null als u geen gegevens wilt archiveren.

Voorbeeld

In dit voorbeeld wordt de interactieve bewaarperiode van de tabel ingesteld op de standaardwaarde van 30 dagen voor de werkruimte en de totale retentie tot twee jaar, wat betekent dat de duur van het archief 23 maanden is.

Aanvragen

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Aanvraagbody

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Respons

Statuscode: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

CLI

Als u de retentie- en archiefduur voor een tabel wilt instellen, voert u de opdracht az monitor log-analytics workspace table update uit en geeft u de --retention-time en --total-retention-time parameters door.

In dit voorbeeld wordt de interactieve retentie van de tabel ingesteld op 30 dagen en de totale retentie op twee jaar, wat betekent dat de archiefduur 23 maanden is:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Als u de standaard interactieve bewaarwaarde van de werkruimte opnieuw wilt toepassen op de tabel en de totale retentie ervan opnieuw wilt instellen op 0, voert u de opdracht az monitor log-analytics workspace table update uit met de --retention-time parameters --total-retention-time ingesteld op -1.

Voorbeeld:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

Powershell

Gebruik de cmdlet Update-AzOperationalInsightsTable om de bewaar- en archiefduur voor een tabel in te stellen. In dit voorbeeld wordt de interactieve retentie van de tabel ingesteld op 30 dagen en de totale retentie op twee jaar, wat betekent dat de archiefduur 23 maanden is:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Als u de standaardwaarde voor interactieve retentie van de werkruimte opnieuw wilt toepassen op de tabel en de totale retentie opnieuw wilt instellen op 0, voert u de cmdlet Update-AzOperationalInsightsTable uit met de -RetentionInDays parameters -TotalRetentionInDays ingesteld op -1.

Voorbeeld:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Bewaar- en archiefinstellingen ophalen per tabel

Portal

Als u de bewaar- en archiefduur voor een tabel in Azure Portal wilt weergeven, selecteert u Tabellen in het menu Log Analytics-werkruimten.

In het scherm Tabellen ziet u de interactieve bewaar- en archiefperiode voor alle tabellen in de werkruimte.

API

Als u de retentie-instelling van een bepaalde tabel wilt ophalen (in dit voorbeeld SecurityEvent), roept u de tabellen aan - API ophalen :

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Als u alle bewaarinstellingen op tabelniveau in uw werkruimte wilt ophalen, moet u geen tabelnaam instellen.

Voorbeeld:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

CLI

Als u de bewaarinstelling van een bepaalde tabel wilt ophalen, voert u de opdracht az monitor log-analytics workspace table show uit.

Voorbeeld:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

Powershell

Als u de bewaarinstelling van een bepaalde tabel wilt ophalen, voert u de cmdlet Get-AzOperationalInsightsTable uit.

Voorbeeld:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Tabellen met unieke bewaarperioden

Standaard worden twee gegevenstypen Usage en AzureActivitygegevens gedurende ten minste 90 dagen kosteloos bewaard. Wanneer u de bewaarperiode van de werkruimte verhoogt tot meer dan 90 dagen, verhoogt u ook de retentie van deze gegevenstypen. Deze tabellen zijn ook gratis van kosten voor gegevensopname.

Tabellen met betrekking tot Application Insights-resources bewaren ook gegevens gedurende 90 dagen zonder kosten. U kunt de retentie van elk van deze tabellen afzonderlijk aanpassen:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Prijsmodel

De kosten voor het onderhouden van gearchiveerde logboeken worden berekend op basis van het gegevensvolume dat u archiveert, in GB en het aantal of dagen waarvoor u de gegevens archiveert. Logboekgegevens waarvoor _IsBillable == false geen bewaar- of archiefkosten gelden.

Zie prijzen voor Azure Monitor voor meer informatie.

Volgende stappen

Meer informatie over:

• Persoonlijke gegevens beheren in Azure Monitor-logboeken
• Een zoektaak maken om archiefgegevens op te halen die overeenkomen met bepaalde criteria
• Archiefgegevens binnen een bepaald tijdsbereik herstellen