還原 Azure 監視器中的記錄

文章
10/15/2024

還原作業會在經常性存取快取中的資料表，建立資料的特定時間範圍，以進行高效能查詢。本文會描述如何還原資料、查詢該資料，並在完成後關閉資料。

注意

輔助資料表方案的資料表不支援資料還原。使用搜尋作業以從輔助資料表擷取長期保留的資料。

權限

若要將資料從長期保留還原，您對於 Log Analytics工作區需要 Microsoft.OperationalInsights/workspaces/tables/write 和 Microsoft.OperationalInsights/workspaces/restoreLogs/write 權限，例如 Log Analytics 參與者內建角色所提供的權限。

還原記錄的時機

使用還原作業以查詢長期保留中的資料。當您在來源資料表上執行的記錄查詢無法在記錄查詢逾時的 10 分鐘內完成時，您也可以使用還原作業，以便在任何 Analytics 資料表的特定時間範圍內執行強大的查詢。

注意

還原是存取長期保留資料的其中一個方法。使用還原，針對特定時間範圍內的一組資料執行查詢。使用搜尋作業根據特定準則來存取資料。

還原有哪些功能？

在還原資料時，須指定包含您欲查詢資料的來源資料表，以及欲建立的新目的地資料表名稱。

還原作業會建立還原資料表，並使用支援完整 KQL 的高效能查詢來配置額外的計算資源，以便查詢還原的資料。

目的地資料表會提供基礎來源資料的檢視，但不會以任何方式影響該資料。資料表不具有保留設定，而且當您不再需要還原的資料時，您必須明確地關閉還原的資料。

還原資料

若要從資料表還原資料，請呼叫資料表 - 建立或更新 API。目的地資料表的名稱必須以 _RST 結尾。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{user defined name}_RST?api-version=2021-12-01-preview

要求本文

要求的本文必須包含下列值：

名稱	類型	描述
properties.restoredLogs.sourceTable	string	具有要還原資料的資料表。
properties.restoredLogs.startRestoreTime	string	要還原的時間範圍起點。
properties.restoredLogs.endRestoreTime	string	要還原的時間範圍終點。

還原資料表狀態

provisioningState 屬性表示還原資料表作業的目前狀態。 API 會在您啟動還原時傳回此屬性，而您稍後就可以在資料表上使用 GET 作業來擷取此屬性。 provisioningState 屬性具有下列其中一個值：

值	Description
更新	還原操作進行中。
成功	還原作業已完成。
刪除中	刪除還原的資料表。

範例要求

此範例會將 2020 年 1 月的資料從 Usage 資料表還原至名為 Usage_RST的資料表。

要求

PUT https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Usage_RST?api-version=2021-12-01-preview

要求本文:

{
    "properties":  {
    "restoredLogs":  {
                      "startRestoreTime":  "2020-01-01T00:00:00Z",
                      "endRestoreTime":  "2020-01-31T00:00:00Z",
                      "sourceTable":  "Usage"
    }
  }
}

若要從資料表還原資料，請執行 az monitor log-analytics workspace table restore create 命令。

例如：

az monitor log-analytics workspace table restore create --subscription ContosoSID --resource-group ContosoRG  --workspace-name ContosoWorkspace --name Heartbeat_RST --restore-source-table Heartbeat --start-restore-time "2022-01-01T00:00:00.000Z" --end-restore-time "2022-01-08T00:00:00.000Z" --no-wait

查詢還原的資料

還原的記錄會保留其原始的時間戳記。當您在還原的記錄上執行查詢時，請根據資料最初產生的時間來設定查詢時間範圍。

藉由下列其中一項來設定查詢時間範圍：

在查詢編輯器頂端的 [時間範圍] 下拉式清單中選取 [自訂]，然後設定 [起始值] 和 [結束值] 的值。

或

指定查詢中的時間範圍。例如：

let startTime =datetime(01/01/2022 8:00:00 PM);
let endTime =datetime(01/05/2022 8:00:00 PM);
TableName_RST
| where TimeGenerated between(startTime .. endTime)

關閉還原的資料

若要節省成本，建議您在不需要還原的資料表時刪除還原的資料表來關閉還原的資料。

刪除還原的資料表並不會刪除來源資料表中的資料。

注意

只要基礎來源資料可供使用，即可使用還原的資料。當您從工作區刪除來源資料表或當來源資料表的保留期間結束時，資料就會從還原的資料表遭到關閉。不過，如果您未明確刪除該資料表，則會留下空白的資料表。

限制

還原受到下列限制。

您可以：

從至少兩天的期間還原資料。
最多還原 60 TB。
在工作區中同時執行最多兩個還原程序。
在特定時間、特定資料表上，只執行一個作用中的還原。在已有作用中還原的資料表上執行第二個還原會失敗。
每週每個資料表最多執行四次還原。

計價模式

還原記錄的費用取決於您還原的資料量，以及還原作用中的持續時間。因此，單價是每天每 GB。資料還原會在還原作用中的每一 UTC 日計費。

每個還原須收取 2 TB 的最低還原資料量費用。如果您還原的資料較少，則每天會收取至少 2 TB 的費用，直到還原關閉為止。
在還原作用中的第一天和最後幾天，您只需支付還原作用中當天部分的費用。
即使還原的作用中時間低於 12 小時，最低費用仍會根據 12 小時還原持續時間計算。
如需資料還原價格的詳細資訊，請參閱 [記錄] 索引標籤上的 Azure 監視器定價。

以下是說明資料還原成本計算的一些範例：

如果您的資料表每天保留 500 GB，而您從該資料表還原 10 天的資料，則還原大小總計為 5 TB。您每天需支付這 5 TB 的還原資料費用，直到您關閉還原資料為止。您的每日成本是 5,000 GB 乘以您的資料還原價格 (請參閱 Azure 監視器定價)。
如果相反，只會還原 700 GB 的資料，每天針對 2 TB 最低還原層級為作用中的還原計費。您的每日成本是 2,000 GB 乘以您的資料還原價格。
如果 5 TB 資料還原僅保持作用中 1 小時，最低計費為 12 小時。此資料還原的成本是 5,000 GB 乘以您的資料還原價格乘以 0. 5 天 (最低 12 小時)。
如果 700 GB 資料還原僅保持作用中 1 小時，最低計費為 12 小時。此資料還原的成本是 2,000 GB (最低計費還原大小) 乘以您的資料還原價格乘以 0. 5 天 (最低 12 小時)。

注意

查詢已還原的記錄不會收費，因為這些記錄為 Analytics 記錄。

分享方式：