Przechowywanie i archiwizowanie danych w dziennikach usługi Azure Monitor

Dzienniki usługi Azure Monitor zachowują dane w dwóch stanach:

• Przechowywanie interakcyjne: umożliwia przechowywanie dzienników analizy dla interakcyjnych zapytań z maksymalnie 2 latami.
• Archiwum: pozwala zachować starsze, mniej używane dane w obszarze roboczym przy obniżonych kosztach. Dostęp do danych w stanie zarchiwizowanym można uzyskać przy użyciu zadań wyszukiwania i przywracania. Dane można przechowywać w stanie zarchiwizowanym przez maksymalnie 12 lat.

W tym artykule opisano sposób konfigurowania przechowywania i archiwizowania danych.

Jak działa przechowywanie i archiwizowanie

Każdy obszar roboczy ma domyślne ustawienie przechowywania stosowane do wszystkich tabel. Dla poszczególnych tabel można skonfigurować inne ustawienie przechowywania.

W okresie przechowywania interakcyjnego dane są dostępne do monitorowania, rozwiązywania problemów i analizy. Jeśli nie używasz już dzienników, ale nadal musisz zachować dane pod kątem zgodności lub okazjonalnego badania, zarchiwizuj dzienniki, aby zaoszczędzić koszty.

Zarchiwizowane dane pozostają w tej samej tabeli wraz z danymi dostępnymi dla zapytań interakcyjnych. Po ustawieniu łącznego okresu przechowywania dłuższego niż interakcyjny okres przechowywania usługa Log Analytics automatycznie archiwizuje odpowiednie dane natychmiast po zakończeniu okresu przechowywania.

Dostęp do zarchiwizowanych danych można uzyskać, uruchamiając zadanie wyszukiwania lub przywracając zarchiwizowane dzienniki.

Uwaga

Okres archiwum można ustawić tylko na poziomie tabeli, a nie na poziomie obszaru roboczego.

Korekty ustawień przechowywania i archiwum

Po skróceniu istniejącego ustawienia przechowywania usługa Azure Monitor czeka 30 dni przed usunięciem danych, aby można było przywrócić zmianę i uniknąć utraty danych w przypadku błędu w konfiguracji. Dane można czyścić natychmiast, gdy jest to wymagane.

Po zwiększeniu ustawienia przechowywania nowy okres przechowywania ma zastosowanie do wszystkich danych, które zostały już pozyskane do tabeli i nie zostały jeszcze przeczyszczone ani usunięte.

Jeśli zmienisz ustawienia archiwum w tabeli z istniejącymi danymi, odpowiednie dane w tabeli również będą miały wpływ natychmiast. Na przykład możesz mieć istniejącą tabelę z 180-dniowym okresem przechowywania interakcyjnego i bez okresu archiwum. Decydujesz się zmienić ustawienie przechowywania na 90 dni przechowywania interakcyjnego bez zmiany całkowitego okresu przechowywania wynoszącym 180 dni. Usługa Log Analytics natychmiast zarchiwizuje wszystkie dane starsze niż 90 dni i żadne z tych danych nie zostaną usunięte.

Co się stanie z danymi po usunięciu tabeli w obszarze roboczym usługi Log Analytics

Obszar roboczy usługi Log Analytics może zawierać kilka typów tabel. Co się stanie, gdy usuniesz tabelę, różni się od każdej z nich:

Typ tabeli	Przechowywanie danych	Zalecenia
Tabela platformy Azure	Tabela platformy Azure przechowuje dzienniki z zasobu platformy Azure lub danych wymaganych przez usługę lub rozwiązanie platformy Azure i nie można ich usunąć. Po zatrzymaniu przesyłania strumieniowego danych z zasobu, usługi lub rozwiązania dane pozostają w obszarze roboczym do końca okresu przechowywania zdefiniowanego dla tabeli lub domyślnego przechowywania obszaru roboczego, jeśli nie zdefiniujesz przechowywania na poziomie tabeli.	Aby zminimalizować opłaty, ustaw okres przechowywania na poziomie tabeli na cztery dni przed zatrzymaniem przesyłania strumieniowego dzienników do tabeli.
Przywrócona tabela(table_RST)	Usuwa aprowizowaną gorącą pamięć podręczną dla przywracania, ale dane tabeli źródłowej nie są usuwane.
Tabela wyników wyszukiwania (table_SRCH)	Usuwa tabelę i dane natychmiast i trwale.
Niestandardowa tabela dzienników (table_CL)	Nietrwałe usuwa tabelę do końca okresu przechowywania na poziomie tabeli lub domyślnego okresu przechowywania obszaru roboczego. W okresie usuwania nietrwałego nadal płacisz za przechowywanie danych i możesz ponownie utworzyć tabelę i uzyskać dostęp do danych, konfigurując tabelę o tej samej nazwie i schemacie. Czternaście dni po usunięciu tabeli niestandardowej usługa Azure Monitor usuwa konfigurację przechowywania na poziomie tabeli i stosuje domyślne przechowywanie obszaru roboczego.	Aby zminimalizować opłaty, ustaw okres przechowywania na poziomie tabeli na cztery dni przed usunięciem tabeli.

Wymagane uprawnienia

Akcja	Wymagane uprawnienia
Konfigurowanie zasad przechowywania i archiwizowania danych dla obszaru roboczego usługi Log Analytics	Microsoft.OperationalInsights/workspaces/write i microsoft.operationalinsights/workspaces/tables/write uprawnienia do obszaru roboczego usługi Log Analytics, zgodnie z wbudowaną rolą Współautor usługi Log Analytics, na przykład
Pobieranie zasad przechowywania i archiwizowania według tabeli dla obszaru roboczego usługi Log Analytics	Microsoft.OperationalInsights/workspaces/tables/read uprawnienia do obszaru roboczego usługi Log Analytics udostępnione przez wbudowaną rolę Czytelnik usługi Log Analytics, na przykład
Przeczyszczanie danych z obszaru roboczego usługi Log Analytics	Microsoft.OperationalInsights/workspaces/purge/action uprawnienia do obszaru roboczego usługi Log Analytics udostępnione przez wbudowaną rolę Współautor usługi Log Analytics, na przykład

Konfigurowanie domyślnego przechowywania obszaru roboczego

Domyślne przechowywanie obszaru roboczego usługi Log Analytics można ustawić w witrynie Azure Portal na 30, 31, 60, 90, 120, 180, 270, 365, 550 i 730 dni. Możesz zastosować inne ustawienie do określonych tabel, konfigurując przechowywanie i archiwizowanie na poziomie tabeli. Jeśli korzystasz z warstwy Bezpłatna, musisz przejść do warstwy płatnej, aby zmienić okres przechowywania danych.

Ważne

Obszary robocze z 30-dniowym przechowywaniem mogą przechowywać dane przez 31 dni. Jeśli musisz przechowywać dane tylko przez 30 dni, aby były zgodne z zasadami ochrony prywatności, skonfiguruj domyślne przechowywanie obszaru roboczego na 30 dni przy użyciu interfejsu API i zaktualizuj immediatePurgeDataOn30Days właściwość obszaru roboczego do true. Ta operacja jest obecnie obsługiwana tylko przy użyciu interfejsu API aktualizacji obszarów roboczych.

Portal

Aby ustawić domyślne przechowywanie obszaru roboczego:

1. Z menu obszarów roboczych usługi Log Analytics w witrynie Azure Portal wybierz swój obszar roboczy.

2. Wybierz pozycję Użycie i szacowane koszty w okienku po lewej stronie.

3. Wybierz pozycję Przechowywanie danych w górnej części strony.

   

4. Przesuń suwak, aby zwiększyć lub zmniejszyć liczbę dni, a następnie wybierz przycisk OK.

API

Aby ustawić czas przechowywania i czas trwania archiwum dla tabeli, wywołaj interfejs API Obszary robocze — Tworzenie lub aktualizowanie:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Treść żądania

Treść żądania zawiera wartości w poniższej tabeli.

Nazwisko	Pisz	Opis
properties.retentionInDays	integer	Przechowywanie danych obszaru roboczego w dniach. Dozwolone wartości są według planu cenowego. Aby uzyskać szczegółowe informacje, zobacz dokumentację warstw cenowych.
location	string	Lokalizacja geograficzna zasobu.
immediatePurgeDataOn30Days	boolean	Flaga wskazująca, czy dane są natychmiast usuwane po 30 dniach i nie można ich odzyskać. Dotyczy tylko wtedy, gdy okres przechowywania obszaru roboczego jest ustawiony na 30 dni.

Przykład

W tym przykładzie ustawienie przechowywania obszaru roboczego na domyślny obszar roboczy wynosi 30 dni i gwarantuje, że dane zostaną natychmiast usunięte po upływie 30 dni i nie będą możliwe do odzyskania.

Zażądaj

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

Interfejs wiersza polecenia

Aby ustawić czas przechowywania i archiwum dla tabeli, uruchom polecenie az monitor log-analytics workspace update i przekaż --retention-time parametr .

W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że czas trwania archiwum wynosi 23 miesiące:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

Program PowerShell

Użyj polecenia cmdlet Set-AzOperational Szczegółowe informacje Workspace, aby ustawić przechowywanie dla obszaru roboczego. W tym przykładzie ustawienie przechowywania obszaru roboczego na 30 dni:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Konfigurowanie przechowywania i archiwizowania na poziomie tabeli

Domyślnie wszystkie tabele w obszarze roboczym dziedziczą ustawienie interaktywnego przechowywania obszaru roboczego i nie mają archiwum. Ustawienia przechowywania i archiwizacji poszczególnych tabel można modyfikować z wyjątkiem obszarów roboczych w starszej warstwie cenowej Bezpłatna wersja próbna.

Plan danych dziennika analizy obejmuje 31 dni interaktywnego przechowywania obszarów roboczych w warstwach cenowych bieżącej generacji (warstwy płatności zgodnie z rzeczywistym użyciem i zobowiązania, a także starsze warstwy Autonomiczne i Na węzeł). Możesz zwiększyć interakcyjny okres przechowywania do maksymalnie 730 dni przy dodatkowych kosztach. W razie potrzeby możesz zmniejszyć interakcyjny okres przechowywania do zaledwie czterech dni przy użyciu interfejsu API lub interfejsu wiersza polecenia. Jednak od 31 dni interakcyjnego przechowywania są uwzględniane w cenie pozyskiwania, obniżenie okresu przechowywania poniżej 31 dni nie zmniejsza kosztów. Okres archiwum można ustawić na łączny czas przechowywania wynoszący maksymalnie 4383 dni (12 lat).

Uwaga

Obecnie można ustawić łączny okres przechowywania do 12 lat za pośrednictwem witryny Azure Portal i interfejsu API. Interfejs wiersza polecenia i program PowerShell są ograniczone do siedmiu lat; nastąpi wsparcie przez 12 lat.

Portal

Aby ustawić czas przechowywania i archiwum dla tabeli w witrynie Azure Portal:

1. Z menu Obszarów roboczych usługi Log Analytics wybierz pozycję Tabele.

   Ekran Tabele zawiera listę wszystkich tabel w obszarze roboczym.

2. Wybierz menu kontekstowe dla tabeli, którą chcesz skonfigurować, i wybierz pozycję Zarządzaj tabelą.

   

3. Skonfiguruj czas przechowywania i czasu trwania archiwum w sekcji Ustawienia przechowywania danych na ekranie konfiguracji tabeli.

   

API

Aby ustawić czas przechowywania i czasu trwania archiwum dla tabeli, wywołaj interfejs API Tabele — aktualizacja:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Uwaga

Nie określasz jawnie czasu trwania archiwum w wywołaniu interfejsu API. Zamiast tego ustawisz łączne przechowywanie, czyli sumę okresu przechowywania interakcyjnego oraz czas trwania archiwum.

Możesz użyć funkcji PUT lub PATCH z następującą różnicą:

• Zestawy interfejsu API retentionInDays PUT i totalRetentionInDays wartość domyślna, jeśli nie ustawiono wartości innych niż null.
• Interfejs API PATCH nie zmienia retentionInDays wartości lub totalRetentionInDays , jeśli nie określisz wartości.

Treść żądania

Treść żądania zawiera wartości w poniższej tabeli.

Nazwisko	Pisz	Opis
properties.retentionInDays	integer	Przechowywanie danych w tabeli w dniach. Ta wartość może należeć do zakresu od 4 do 730. Ustawienie tej właściwości na wartość null powoduje zastosowanie okresu przechowywania obszaru roboczego. W przypadku tabeli Dzienniki podstawowe wartość jest zawsze 8.
properties.totalRetentionInDays	integer	Łączne przechowywanie danych w tabeli, w tym okres archiwum. Ta wartość może należeć do zakresu od 4 do 730; lub 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 lub 4383. Ustaw tę właściwość na wartość null, jeśli nie chcesz archiwizować danych.

Przykład

W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na domyślny okres 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że czas trwania archiwum wynosi 23 miesiące.

Zażądaj

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Treść żądania

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Response

Kod stanu: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

Interfejs wiersza polecenia

Aby ustawić czas przechowywania i archiwum dla tabeli, uruchom polecenie az monitor log-analytics workspace table update i przekaż --retention-time parametry i --total-retention-time .

W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że czas trwania archiwum wynosi 23 miesiące:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Aby ponownie zastosować domyślną wartość interakcyjnego przechowywania obszaru roboczego do tabeli i zresetować jej łączny okres przechowywania do 0, uruchom polecenie az monitor log-analytics workspace table update z parametrami i --total-retention-time ustawionymi --retention-time na -1.

Na przykład:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

Program PowerShell

Użyj polecenia cmdlet Update-AzOperational Szczegółowe informacje Table, aby ustawić czas przechowywania i archiwum dla tabeli. W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że czas trwania archiwum wynosi 23 miesiące:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Aby ponownie zastosować domyślną wartość interakcyjnego przechowywania obszaru roboczego do tabeli i zresetować jej łączny okres przechowywania do 0, uruchom polecenie cmdlet Update-AzOperational Szczegółowe informacje Table z parametrami i -TotalRetentionInDays ustawionymi -RetentionInDays na -1.

Na przykład:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Pobieranie ustawień przechowywania i archiwizowania według tabeli

Portal

Aby wyświetlić czas przechowywania i archiwum dla tabeli w witrynie Azure Portal, w menu obszarów roboczych usługi Log Analytics wybierz pozycję Tabele.

Na ekranie Tabele jest wyświetlany interakcyjny okres przechowywania i archiwum dla wszystkich tabel w obszarze roboczym.

API

Aby uzyskać ustawienie przechowywania określonej tabeli (w tym przykładzie SecurityEvent), wywołaj tabele — Pobierz interfejs API:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Aby uzyskać wszystkie ustawienia przechowywania na poziomie tabeli w obszarze roboczym, nie ustawiaj nazwy tabeli.

Na przykład:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

Interfejs wiersza polecenia

Aby uzyskać ustawienie przechowywania określonej tabeli, uruchom polecenie az monitor log-analytics workspace table show .

Na przykład:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

Program PowerShell

Aby uzyskać ustawienie przechowywania określonej tabeli, uruchom polecenie cmdlet Get-AzOperational Szczegółowe informacje Table.

Na przykład:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Tabele z unikatowymi okresami przechowywania

Domyślnie dwa typy Usage danych i AzureActivity, przechowują dane przez co najmniej 90 dni bez opłat. Zwiększenie okresu przechowywania obszaru roboczego do ponad 90 dni zwiększa również przechowywanie tych typów danych. Te tabele są również bezpłatne od opłat za pozyskiwanie danych.

Tabele związane z zasobami aplikacji Szczegółowe informacje również przechowują dane przez 90 dni bez opłat. Przechowywanie każdej z tych tabel można dostosować indywidualnie:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Model cen

Opłata za utrzymywanie zarchiwizowanych dzienników jest obliczana na podstawie ilości danych zarchiwizowanych, w GB oraz liczby lub dni, dla których archiwizowane są dane. Dane dziennika, które _IsBillable == false nie podlegają opłatom za przechowywanie ani archiwizowanie.

Aby uzyskać więcej informacji, zobacz Cennik usługi Azure Monitor.

Następne kroki

Dowiedz się więcej na następujące tematy:

• Zarządzanie danymi osobowymi w dziennikach usługi Azure Monitor
• Tworzenie zadania wyszukiwania w celu pobrania danych archiwalnych spełniających określone kryteria
• Przywracanie danych archiwum w określonym zakresie czasu