Zarządzanie przechowywaniem danych w obszarze roboczym usługi Log Analytics

Obszar roboczy usługi Log Analytics zachowuje dane w dwóch stanach:

• Przechowywanie interakcyjne: w tym stanie dane są dostępne do monitorowania, rozwiązywania problemów i analizy niemal w czasie rzeczywistym.
• Długoterminowe przechowywanie: w tym stanie niskim kosztu dane nie są dostępne dla funkcji planu tabeli, ale mogą być dostępne za pośrednictwem zadań wyszukiwania.

W tym artykule wyjaśniono, jak obszary robocze usługi Log Analytics zachowują dane i jak zarządzać przechowywaniem danych tabel w obszarze roboczym.

Interakcyjne, długoterminowe i łączne przechowywanie

Domyślnie wszystkie tabele w obszarze roboczym usługi Log Analytics zachowują dane przez 30 dni, z wyjątkiem tabel dzienników z 90-dniowym domyślnym przechowywaniem. W tym okresie — interaktywny okres przechowywania — można pobrać dane z tabeli za pośrednictwem zapytań, a dane są dostępne dla wizualizacji, alertów i innych funkcji i usług w oparciu o plan tabeli.

Możesz przedłużyć interakcyjny okres przechowywania tabel z planem analizy do dwóch lat. Plany podstawowe i pomocnicze mają stały interakcyjny okres przechowywania 30 dni.

Uwaga

Możesz zmniejszyć interakcyjny okres przechowywania tabel analizy do zaledwie czterech dni przy użyciu interfejsu API lub interfejsu wiersza polecenia. Jednak od 31 dni interakcyjnego przechowywania są uwzględniane w cenie pozyskiwania, obniżenie okresu przechowywania poniżej 31 dni nie zmniejsza kosztów.

Aby zachować dane w tej samej tabeli poza okresem przechowywania interakcyjnego, należy przedłużyć łączny okres przechowywania tabeli do 12 lat. Na końcu interakcyjnego okresu przechowywania dane pozostają w tabeli w pozostałej części skonfigurowanego okresu przechowywania. W tym okresie — długoterminowego okresu przechowywania — uruchom zadanie wyszukiwania, aby pobrać określone potrzebne dane z tabeli i udostępnić je interakcyjnym zapytaniom w tabeli wyników wyszukiwania.

Jak działają modyfikacje przechowywania

Po skróceniu całkowitego przechowywania tabeli dzienniki usługi Azure Monitor czekają 30 dni przed usunięciem danych, dzięki czemu można przywrócić zmianę i uniknąć utraty danych w przypadku wystąpienia błędu w konfiguracji.

Po zwiększeniu całkowitego okresu przechowywania nowy okres przechowywania ma zastosowanie do wszystkich danych, które zostały już pozyskane do tabeli i nie zostały jeszcze usunięte.

Gdy zmienisz ustawienia przechowywania długoterminowego tabeli z istniejącymi danymi, zmiana zostanie natychmiast w życie.

Przykład:

• Masz istniejącą tabelę Analizy z 180-dniowym okresem przechowywania interakcyjnego i bez długoterminowego przechowywania.
• Okres przechowywania interakcyjnego zmienia się na 90 dni bez zmiany całkowitego okresu przechowywania wynoszącym 180 dni.
• Usługa Azure Monitor automatycznie traktuje pozostałe 90 dni całkowitego przechowywania jako niskie koszty, długoterminowe przechowywanie, dzięki czemu dane, które mają 90–180 dni, nie zostaną utracone.

Wymagane uprawnienia

Akcja	Wymagane uprawnienia
Konfigurowanie domyślnego interakcyjnego przechowywania tabel usługi Analytics w obszarze roboczym usługi Log Analytics	Microsoft.OperationalInsights/workspaces/write i microsoft.operationalinsights/workspaces/tables/write uprawnienia do obszaru roboczego usługi Log Analytics, zgodnie z wbudowaną rolą Współautor usługi Log Analytics, na przykład
Pobieranie ustawienia przechowywania według tabeli dla obszaru roboczego usługi Log Analytics	Microsoft.OperationalInsights/workspaces/tables/read uprawnienia do obszaru roboczego usługi Log Analytics udostępnione przez wbudowaną rolę Czytelnik usługi Log Analytics, na przykład

Konfigurowanie domyślnego interakcyjnego okresu przechowywania tabel analizy

Domyślny interakcyjny okres przechowywania wszystkich tabel w obszarze roboczym usługi Log Analytics wynosi 30 dni. Domyślny interakcyjny okres tabel analizy można zmienić na maksymalnie dwa lata, modyfikując ustawienie przechowywania danych na poziomie obszaru roboczego. Tabele podstawowe i pomocnicze mają stały interakcyjny okres przechowywania 30 dni.

Zmiana domyślnego ustawienia przechowywania danych na poziomie obszaru roboczego automatycznie wpływa na wszystkie tabele analizy, do których ustawienie domyślne nadal ma zastosowanie w obszarze roboczym. Jeśli zmieniono już interakcyjne przechowywanie określonej tabeli, ta tabela nie ma wpływu na zmianę domyślnego ustawienia przechowywania danych obszaru roboczego.

Ważne

Obszary robocze z 30-dniowym przechowywaniem mogą przechowywać dane przez 31 dni. Jeśli musisz przechowywać dane tylko przez 30 dni, aby były zgodne z zasadami ochrony prywatności, skonfiguruj domyślne przechowywanie obszaru roboczego na 30 dni przy użyciu interfejsu API i zaktualizuj immediatePurgeDataOn30Days właściwość obszaru roboczego do true. Ta operacja jest obecnie obsługiwana tylko przy użyciu interfejsu API aktualizacji obszarów roboczych.

Portal

Aby ustawić domyślny interakcyjny okres przechowywania tabel usługi Analytics w obszarze roboczym usługi Log Analytics:

1. Z menu obszarów roboczych usługi Log Analytics w witrynie Azure Portal wybierz swój obszar roboczy.

2. Wybierz pozycję Użycie i szacowane koszty w okienku po lewej stronie.

3. Wybierz pozycję Przechowywanie danych w górnej części strony.

   

4. Przesuń suwak, aby zwiększyć lub zmniejszyć liczbę dni, a następnie wybierz przycisk OK.

API

Aby ustawić domyślny interaktywny okres przechowywania tabel usługi Analytics w obszarze roboczym usługi Log Analytics, wywołaj pozycję Obszary robocze — Tworzenie lub aktualizowanie interfejsu API:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Treść żądania

Treść żądania zawiera wartości w poniższej tabeli.

Nazwisko	Pisz	Opis
properties.retentionInDays	integer	Przechowywanie danych obszaru roboczego w dniach. Dozwolone wartości są według planu cenowego. Aby uzyskać szczegółowe informacje, zobacz dokumentację warstw cenowych.
location	string	Lokalizacja geograficzna zasobu.
immediatePurgeDataOn30Days	boolean	Flaga wskazująca, czy dane są natychmiast usuwane po upływie 30 dni i nie są możliwe do odzyskania. Dotyczy tylko wtedy, gdy okres przechowywania obszaru roboczego jest ustawiony na 30 dni.

Przykład

W tym przykładzie ustawienie przechowywania obszaru roboczego na domyślny obszar roboczy wynosi 30 dni i gwarantuje, że dane zostaną natychmiast usunięte po upływie 30 dni i nie zostaną wycofane.

Zażądaj

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

Interfejs wiersza polecenia

Aby ustawić domyślny interakcyjny okres przechowywania tabel usługi Analytics w obszarze roboczym usługi Log Analytics, uruchom polecenie az monitor log-analytics workspace update i przekaż --retention-time parametr .

W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że okres przechowywania długoterminowego wynosi 23 miesiące:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

Program PowerShell

Użyj polecenia cmdlet Set-AzOperationalInsightsWorkspace, aby ustawić domyślny interaktywny okres przechowywania tabel usługi Analytics w obszarze roboczym usługi Log Analytics. W tym przykładzie ustawia domyślny okres przechowywania interakcyjnego na 30 dni:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Konfigurowanie przechowywania na poziomie tabeli

Domyślnie wszystkie tabele z planem danych analizy dziedziczą domyślne ustawienie interaktywnego przechowywania obszaru roboczego usługi Log Analytics i nie mają długoterminowego przechowywania. Możesz zwiększyć interakcyjny okres przechowywania tabel analizy do maksymalnie 730 dni przy dodatkowych kosztach.

Aby dodać przechowywanie długoterminowe do tabeli z dowolnym planem danych, ustaw łączny okres przechowywania na maksymalnie 12 lat (4383 dni). Plan tabeli pomocniczej jest obecnie w publicznej wersji zapoznawczej, podczas którego całkowity okres przechowywania planu jest ustalony na 365 dni.

Uwaga

Obecnie można ustawić łączny okres przechowywania do 12 lat za pośrednictwem witryny Azure Portal i interfejsu API. Interfejs wiersza polecenia i program PowerShell są ograniczone do siedmiu lat; nastąpi wsparcie przez 12 lat.

Portal

Aby zmodyfikować ustawienie przechowywania tabeli w witrynie Azure Portal:

1. Z menu Obszarów roboczych usługi Log Analytics wybierz pozycję Tabele.

   Ekran Tabele zawiera listę wszystkich tabel w obszarze roboczym.

2. Wybierz menu kontekstowe dla tabeli, którą chcesz skonfigurować, i wybierz pozycję Zarządzaj tabelą.

   

3. Skonfiguruj ustawienia przechowywania interakcyjnego i całkowitego przechowywania w sekcji Ustawienia przechowywania danych na ekranie konfiguracji tabeli.

   

API

Aby zmodyfikować ustawienie przechowywania dla tabeli, wywołaj interfejs API Tabele — aktualizowanie:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Możesz użyć funkcji PUT lub PATCH z następującą różnicą:

• Zestawy interfejsu API retentionInDays PUT i totalRetentionInDays wartość domyślna, jeśli nie ustawiono wartości innych niż null.
• Interfejs API PATCH nie zmienia retentionInDays wartości lub totalRetentionInDays , jeśli nie określisz wartości.

Treść żądania

Treść żądania zawiera wartości w poniższej tabeli.

Nazwisko	Pisz	Opis
properties.retentionInDays	integer	Przechowywanie danych w tabeli w dniach. Ta wartość może należeć do zakresu od 4 do 730. Ustawienie tej właściwości na wartość null powoduje zastosowanie okresu przechowywania obszaru roboczego. W przypadku tabeli Dzienniki podstawowe wartość jest zawsze 8.
properties.totalRetentionInDays	integer	Łączne przechowywanie danych w tabeli, w tym długoterminowe przechowywanie. Ta wartość może należeć do zakresu od 4 do 730; lub 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 lub 4383. Ustaw tę właściwość na wartość null, jeśli nie chcesz długoterminowego przechowywania.

Przykład

W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na wartość domyślną 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że okres przechowywania długoterminowego wynosi 23 miesiące.

Zażądaj

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Treść żądania

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Response

Kod stanu: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

Interfejs wiersza polecenia

Aby zmodyfikować ustawienia przechowywania tabeli, uruchom polecenie az monitor log-analytics workspace table update i przekaż --retention-time parametry i --total-retention-time .

W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że okres przechowywania długoterminowego wynosi 23 miesiące:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Aby ponownie zastosować domyślną wartość interakcyjnego przechowywania obszaru roboczego do tabeli i zresetować jej łączny okres przechowywania do 0, uruchom polecenie az monitor log-analytics workspace table update z parametrami i --total-retention-time ustawionymi --retention-time na -1.

Na przykład:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

Program PowerShell

Użyj polecenia cmdlet Update-AzOperationalInsightsTable, aby zmodyfikować ustawienia przechowywania tabeli. W tym przykładzie ustawiono interakcyjne przechowywanie tabeli na 30 dni, a łączny okres przechowywania wynosi dwa lata, co oznacza, że okres przechowywania długoterminowego wynosi 23 miesiące:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Aby ponownie zastosować domyślną wartość interakcyjnego przechowywania obszaru roboczego do tabeli i zresetować jej łączny okres przechowywania do 0, uruchom polecenie cmdlet Update-AzOperationalInsightsTable z parametrami i -TotalRetentionInDays ustawionymi -RetentionInDays na -1.

Na przykład:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Pobieranie ustawień przechowywania według tabeli

Portal

Aby wyświetlić ustawienia przechowywania tabeli w witrynie Azure Portal, w menu obszarów roboczych usługi Log Analytics wybierz pozycję Tabele.

Na ekranie Tabele są wyświetlane interakcyjne okresy przechowywania i łączne okresy przechowywania dla wszystkich tabel w obszarze roboczym.

API

Aby uzyskać ustawienie przechowywania określonej tabeli (w tym przykładzie SecurityEvent), wywołaj tabele — Pobierz interfejs API:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Aby uzyskać wszystkie ustawienia przechowywania na poziomie tabeli w obszarze roboczym, nie ustawiaj nazwy tabeli.

Na przykład:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

Interfejs wiersza polecenia

Aby uzyskać ustawienie przechowywania określonej tabeli, uruchom polecenie az monitor log-analytics workspace table show .

Na przykład:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

Program PowerShell

Aby uzyskać ustawienie przechowywania określonej tabeli, uruchom polecenie cmdlet Get-AzOperationalInsightsTable .

Na przykład:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Co się stanie z danymi po usunięciu tabeli w obszarze roboczym usługi Log Analytics?

Obszar roboczy usługi Log Analytics może zawierać kilka typów tabel. Co się stanie, gdy usuniesz tabelę, różni się od każdej z nich:

Typ tabeli	Przechowywanie danych	Zalecenia
Tabela platformy Azure	Tabela platformy Azure przechowuje dzienniki z zasobu platformy Azure lub danych wymaganych przez usługę lub rozwiązanie platformy Azure i nie można ich usunąć. Po zatrzymaniu przesyłania strumieniowego danych z zasobu, usługi lub rozwiązania dane pozostają w obszarze roboczym do końca okresu przechowywania zdefiniowanego dla tabeli.	Aby zminimalizować opłaty, ustaw okres przechowywania na poziomie tabeli na cztery dni przed zatrzymaniem przesyłania strumieniowego dzienników do tabeli.
Niestandardowa tabela dzienników (table_CL)	Nietrwałe usuwa tabelę do końca okresu przechowywania na poziomie tabeli lub domyślnego okresu przechowywania obszaru roboczego. W okresie usuwania nietrwałego nadal płacisz za przechowywanie danych i możesz ponownie utworzyć tabelę i uzyskać dostęp do danych, konfigurując tabelę o tej samej nazwie i schemacie. Czternaście dni po usunięciu tabeli niestandardowej usługa Azure Monitor usuwa konfigurację przechowywania na poziomie tabeli i stosuje domyślne przechowywanie obszaru roboczego.	Aby zminimalizować opłaty, ustaw okres przechowywania na poziomie tabeli na cztery dni przed usunięciem tabeli.
Tabela wyników wyszukiwania (table_SRCH)	Usuwa tabelę i dane natychmiast i trwale.
Przywrócona tabela (table_RST)	Usuwa aprowizowaną gorącą pamięć podręczną dla przywracania, ale dane tabeli źródłowej nie są usuwane.

Tabele dzienników z 90-dniowym domyślnym przechowywaniem

Domyślnie Usage tabele i AzureActivity przechowują dane przez co najmniej 90 dni bez opłat. Zwiększenie okresu przechowywania obszaru roboczego do ponad 90 dni zwiększa również przechowywanie tych tabel. Te tabele są również bezpłatne od opłat za pozyskiwanie danych.

Tabele związane z zasobami usługi Application Insights również przechowują dane przez 90 dni bez opłat. Przechowywanie każdej z tych tabel można dostosować indywidualnie:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Model cen

Opłata za dodanie okresu przechowywania interakcyjnego i długoterminowego jest obliczana na podstawie ilości zachowanych danych w GB oraz liczby lub dni przechowywania danych. Dane dziennika, które _IsBillable == false nie podlegają opłatom za pozyskiwanie ani przechowywanie.

Aby uzyskać więcej informacji, zobacz Cennik usługi Azure Monitor.

Następne kroki

Dowiedz się więcej na następujące tematy:

• Zarządzanie danymi osobowymi w dziennikach usługi Azure Monitor
• Tworzenie zadania wyszukiwania w celu pobrania pomocniczych danych spełniających określone kryteria
• Przywracanie danych z warstwy pomocniczej dla określonego zakresu czasu