Hantera datakvarhållning på en Log Analytics-arbetsyta

En Log Analytics-arbetsyta behåller data i två tillstånd:

• Interaktiv kvarhållning: I det här tillståndet är data tillgängliga för övervakning, felsökning och nästan realtidsanalys.
• Långsiktig kvarhållning: I det här lågkostnadstillståndet är data inte tillgängliga för tabellplansfunktioner, men kan nås via sökjobb.

Den här artikeln beskriver hur Log Analytics-arbetsytor behåller data och hur du hanterar datakvarhållning av tabeller på din arbetsyta.

Interaktiv, långsiktig och total kvarhållning

Som standard behåller alla tabeller i en Log Analytics-arbetsyta data i 30 dagar, förutom loggtabeller med standardkvarhållning på 90 dagar. Under den här perioden – den interaktiva kvarhållningsperioden – kan du hämta data från tabellen via frågor, och data är tillgängliga för visualiseringar, aviseringar och andra funktioner och tjänster baserat på tabellplanen.

Du kan utöka den interaktiva kvarhållningsperioden för tabeller med Analytics-planen till upp till två år. Basic- och Auxiliary-abonnemangen har en fast interaktiv kvarhållningsperiod på 30 dagar.

Kommentar

Du kan minska den interaktiva kvarhållningsperioden för Analytics-tabeller till så lite som fyra dagar med hjälp av API:et eller CLI. Men eftersom 31 dagars interaktiv kvarhållning ingår i inmatningspriset minskar inte kostnaderna om du sänker kvarhållningsperioden under 31 dagar.

Om du vill behålla data i samma tabell utöver den interaktiva kvarhållningsperioden utökar du tabellens totala kvarhållning till upp till 12 år. I slutet av den interaktiva kvarhållningsperioden finns data kvar i tabellen under resten av den totala kvarhållningsperioden som du konfigurerar. Under den här perioden – den långsiktiga kvarhållningsperioden – kör du ett sökjobb för att hämta de specifika data du behöver från tabellen och göra dem tillgängliga för interaktiva frågor i en sökresultattabell.

Så här fungerar kvarhållningsändringar

När du förkortar en tabells totala kvarhållning väntar Azure Monitor-loggar 30 dagar innan du tar bort data, så att du kan återställa ändringen och undvika dataförlust om du gjorde ett fel i konfigurationen.

När du ökar den totala kvarhållningen gäller den nya kvarhållningsperioden för alla data som redan har matats in i tabellen och som ännu inte har tagits bort.

När du ändrar inställningarna för långsiktig kvarhållning för en tabell med befintliga data börjar ändringen gälla omedelbart.

Exempel:

• Du har en befintlig Analytics-tabell med 180 dagars interaktiv kvarhållning och ingen långsiktig kvarhållning.
• Du ändrar den interaktiva kvarhållningen till 90 dagar utan att ändra den totala kvarhållningsperioden på 180 dagar.
• Azure Monitor behandlar automatiskt de återstående 90 dagarna av total kvarhållning som låg kostnad och långsiktig kvarhållning, så att data som är 90–180 dagar gamla inte går förlorade.

Behörigheter som krävs

Åtgärd	Behörigheter som krävs
Konfigurera interaktiv standardkvarhållning för Analytics-tabeller på en Log Analytics-arbetsyta	Microsoft.OperationalInsights/workspaces/write och microsoft.operationalinsights/workspaces/tables/write behörigheter till Log Analytics-arbetsytan, som tillhandahålls av log analytics-deltagarens inbyggda roll, till exempel
Hämta kvarhållningsinställning per tabell för en Log Analytics-arbetsyta	Microsoft.OperationalInsights/workspaces/tables/read behörigheter till Log Analytics-arbetsytan, enligt den inbyggda rollen Log Analytics Reader, till exempel

Konfigurera standardperioden för interaktiv kvarhållning för Analytics-tabeller

Standardperioden för interaktiv kvarhållning för alla tabeller på en Log Analytics-arbetsyta är 30 dagar. Du kan ändra den interaktiva standardperioden för Analytics-tabeller till upp till två år genom att ändra inställningen för datakvarhållning på arbetsytenivå. Tabellerna Basic och Auxiliary har en fast interaktiv kvarhållningsperiod på 30 dagar.

Om du ändrar standardinställningen för datakvarhållning på arbetsytan påverkas automatiskt alla Analytics-tabeller som standardinställningen fortfarande gäller för på din arbetsyta. Om du redan har ändrat den interaktiva kvarhållningen av en viss tabell påverkas inte tabellen när du ändrar standardinställningen för datakvarhållning för arbetsytan.

Viktigt!

Arbetsytor med kvarhållning på 30 dagar kan lagra data i 31 dagar. Om du bara behöver behålla data i 30 dagar för att följa en sekretesspolicy konfigurerar du standardkvarhållningen för arbetsytan till 30 dagar med hjälp av API:et och uppdaterar immediatePurgeDataOn30Days egenskapen för arbetsytan till true. Den här åtgärden stöds för närvarande endast med hjälp av API:et Workspaces – Update.

Portal

Så här anger du standardperioden för interaktiv kvarhållning för Analytics-tabeller på en Log Analytics-arbetsyta:

1. På menyn Log Analytics-arbetsytor i Azure-portalen väljer du din arbetsyta.

2. Välj Användning och uppskattade kostnader i det vänstra fönstret.

3. Välj Datakvarhållning överst på sidan.

   

4. Flytta skjutreglaget för att öka eller minska antalet dagar och välj sedan OK.

API

Om du vill ange den interaktiva standardkvarhållningsperioden för Analytics-tabeller i en Log Analytics-arbetsyta anropar du API:et Arbetsytor – Skapa eller uppdatera:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Begärandetext

Begärandetexten innehåller värdena i följande tabell.

Namn	Type	Beskrivning
properties.retentionInDays	integer	Datakvarhållning för arbetsytan i dagar. Tillåtna värden är per prisplan. Mer information finns i dokumentationen om prisnivåer.
location	sträng	Resursens geo-plats.
immediatePurgeDataOn30Days	boolean	Flagga som anger om data tas bort omedelbart efter 30 dagar och inte kan återställas. Gäller endast när kvarhållning av arbetsytor är inställt på 30 dagar.

Exempel

Det här exemplet anger arbetsytans kvarhållning till arbetsytans standardvärde på 30 dagar och säkerställer att data tas bort omedelbart efter 30 dagar och inte kan återställas.

Begär

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

CLI

Om du vill ange standardperioden för interaktiv kvarhållning för Analytics-tabeller i en Log Analytics-arbetsyta kör du kommandot az monitor log-analytics workspace update och skickar parametern --retention-time .

I det här exemplet anges tabellens interaktiva kvarhållning till 30 dagar och den totala kvarhållningen till två år, vilket innebär att den långsiktiga kvarhållningsperioden är 23 månader:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

PowerShell

Använd cmdleten Set-AzOperationalInsightsWorkspace för att ange standardperioden för interaktiv kvarhållning för Analytics-tabeller på en Log Analytics-arbetsyta. I det här exemplet anges standardperioden för interaktiv kvarhållning till 30 dagar:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Konfigurera kvarhållning på tabellnivå

Som standard ärver alla tabeller med analysdataplanen Log Analytics-arbetsytans standardinställning för interaktiv kvarhållning och har ingen långsiktig kvarhållning. Du kan öka den interaktiva kvarhållningsperioden för Analytics-tabeller till upp till 730 dagar till en extra kostnad.

Om du vill lägga till långsiktig kvarhållning i en tabell med en dataplan anger du total kvarhållning till upp till 12 år (4 383 dagar). Den extra tabellplanen är för närvarande i offentlig förhandsversion, under vilken planens totala kvarhållning är fast vid 365 dagar.

Kommentar

För närvarande kan du ange total kvarhållning till upp till 12 år via Azure-portalen och API:et. CLI och PowerShell är begränsade till sju år. 12 år kommer att följa.

Portal

Så här ändrar du kvarhållningsinställningen för en tabell i Azure-portalen:

1. På menyn Log Analytics-arbetsytor väljer du Tabeller.

   På skärmen Tabeller visas alla tabeller i arbetsytan.

2. Välj snabbmenyn för den tabell som du vill konfigurera och välj Hantera tabell.

   

3. Konfigurera inställningarna för interaktiv kvarhållning och total kvarhållning i avsnittet Inställningar för datakvarhållning på skärmen för tabellkonfiguration.

   

API

Om du vill ändra kvarhållningsinställningen för en tabell anropar du API:et Tabeller – Uppdatering:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Du kan använda PUT eller PATCH med följande skillnad:

• PUT-API:et anger retentionInDays och totalRetentionInDays till standardvärdet om du inte anger icke-null-värden.
• PATCH-API:et retentionInDays ändrar inte värdena eller totalRetentionInDays om du inte anger värden.

Begärandetext

Begärandetexten innehåller värdena i följande tabell.

Namn	Type	Beskrivning
properties.retentionInDays	integer	Tabellens datakvarhållning i dagar. Det här värdet kan vara mellan 4 och 730. Om du anger den här egenskapen till null tillämpas kvarhållningsperioden för arbetsytan. För tabellen Grundläggande loggar är värdet alltid 8.
properties.totalRetentionInDays	integer	Tabellens totala datakvarhållning inklusive långsiktig kvarhållning. Det här värdet kan vara mellan 4 och 730. eller 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 eller 4383. Ange den här egenskapen till null om du inte vill ha långsiktig kvarhållning.

Exempel

I det här exemplet anges tabellens interaktiva kvarhållning till arbetsytans standardvärde på 30 dagar och den totala kvarhållningen till två år, vilket innebär att den långsiktiga kvarhållningsperioden är 23 månader.

Begär

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Begärandetext

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Response

Statuskod: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

CLI

Om du vill ändra kvarhållningsinställningarna för en tabell kör du kommandot az monitor log-analytics workspace table update och skickar parametrarna --retention-time och --total-retention-time .

I det här exemplet anges tabellens interaktiva kvarhållning till 30 dagar och den totala kvarhållningen till två år, vilket innebär att den långsiktiga kvarhållningsperioden är 23 månader:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Om du vill tillämpa arbetsytans standardvärde för interaktiv kvarhållning på tabellen igen och återställa den totala kvarhållningen till 0 kör du kommandot az monitor log-analytics workspace table update med parametrarna --retention-time och --total-retention-time inställda på -1.

Till exempel:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

PowerShell

Använd cmdleten Update-AzOperationalInsightsTable för att ändra kvarhållningsinställningarna för en tabell. I det här exemplet anges tabellens interaktiva kvarhållning till 30 dagar och den totala kvarhållningen till två år, vilket innebär att den långsiktiga kvarhållningsperioden är 23 månader:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Om du vill tillämpa arbetsytans standardvärde för interaktiv kvarhållning på tabellen igen och återställa den totala kvarhållningen till 0 kör du cmdleten Update-AzOperationalInsightsTable med parametrarna -RetentionInDays och -TotalRetentionInDays inställda på -1.

Till exempel:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Hämta kvarhållningsinställningar per tabell

Portal

Om du vill visa kvarhållningsinställningarna för en tabell i Azure-portalen väljer du Tabeller på menyn Log Analytics-arbetsytor.

Skärmen Tabeller visar interaktiva kvarhållningsperioder och totala kvarhållningsperioder för alla tabeller på arbetsytan.

API

Om du vill hämta kvarhållningsinställningen för en viss tabell (i det här exemplet SecurityEvent) anropar du Api:et Tabeller – Hämta :

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Ange inte ett tabellnamn för att hämta alla kvarhållningsinställningar på tabellnivå i arbetsytan.

Till exempel:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

CLI

Om du vill hämta kvarhållningsinställningen för en viss tabell kör du kommandot az monitor log-analytics workspace table show .

Till exempel:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

PowerShell

Om du vill hämta kvarhållningsinställningen för en viss tabell kör du cmdleten Get-AzOperationalInsightsTable .

Till exempel:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Vad händer med data när du tar bort en tabell på en Log Analytics-arbetsyta?

En Log Analytics-arbetsyta kan innehålla flera typer av tabeller. Vad som händer när du tar bort tabellen är olika för varje:

Tabelltyp	Datakvarhållning	Rekommendationer
Azure Table	En Azure-tabell innehåller loggar från en Azure-resurs eller data som krävs av en Azure-tjänst eller lösning och kan inte tas bort. När du slutar strömma data från resursen, tjänsten eller lösningen finns data kvar på arbetsytan till slutet av den kvarhållningsperiod som definierats för tabellen.	För att minimera avgifterna anger du kvarhållning på tabellnivå till fyra dagar innan du stoppar strömmande loggar till tabellen.
Anpassad loggtabell (table_CL)	Mjuk tar bort tabellen till slutet av kvarhållningen på tabellnivå eller standardkvarhållningsperioden för arbetsytan. Under perioden för mjuk borttagning fortsätter du att betala för datakvarhållning och kan återskapa tabellen och komma åt data genom att konfigurera en tabell med samma namn och schema. Fjorton dagar efter att du har tagit bort en anpassad tabell tar Azure Monitor bort kvarhållningskonfigurationen på tabellnivå och tillämpar standardkvarhållningen för arbetsytan.	För att minimera avgifterna anger du kvarhållning på tabellnivå till fyra dagar innan du tar bort tabellen.
Sökresultattabell (table_SRCH)	Tar bort tabellen och data omedelbart och permanent.
Återställd tabell (table_RST)	Tar bort den frekventa cache som har etablerats för återställningen, men källtabelldata tas inte bort.

Loggtabeller med standardkvarhållning på 90 dagar

Som standard behåller tabellerna Usage och AzureActivity data i minst 90 dagar utan kostnad. När du ökar kvarhållningen av arbetsytan till mer än 90 dagar ökar du också kvarhållningen av dessa tabeller. Dessa tabeller är också kostnadsfria från datainmatningsavgifter.

Tabeller relaterade till Application Insights-resurser behåller även data i 90 dagar utan kostnad. Du kan justera kvarhållningen av var och en av dessa tabeller individuellt:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Prismodell

Avgiften för att lägga till interaktiv kvarhållning och långsiktig kvarhållning beräknas baserat på mängden data som du behåller, i GB och det antal eller dagar som du behåller data för. Loggdata som har _IsBillable == false omfattas inte av inmatnings- eller kvarhållningsavgifter.

Mer information finns i Prissättning för Azure Monitor.

Nästa steg

Läs mer om:

• Hantera personliga data i Azure Monitor-loggar
• Skapa ett sökjobb för att hämta extra data som matchar specifika kriterier
• Återställa data från extranivån för ett visst tidsintervall