在 Azure 監視器 Logs 建立並管理專用叢集

Azure 監視器 中的專用叢集提供先進的安全與控制能力，以及成本優化。 你可以將新建或現有工作區連結到專用叢集，而不中斷擷取與查詢操作。

進階功能

Azure 監視器 日誌是一項完全管理、雲端規模的服務，設計用來自動處理大型且波動性工作負載的擷取、索引與查詢。 其底層引擎採用內建機制，優化查詢執行、分散處理，並自動無縫擴展資源，無需使用者介入。 這項高效能服務是建立預設Log Analytics工作空間，或稱共享叢集的框架。 當你建立 專用叢集時，會解鎖以下額外功能：

能力 Description
客戶管理的金鑰 使用你提供並控制的金鑰來加密資料。
加密箱 控制 Microsoft 支援工程師存取你的資料。
雙重加密 為你的資料多了一層加密。
跨工作空間優化 跨工作區查詢在同一叢集上執行得更快。
成本優化 將相同區域中的工作區連結至叢集，即可享有從所有已連結工作區所內嵌資料的定額層折扣。
可用性區域 透過分布於不同實體地點的資料中心，配備獨立的電源、散熱與網路，保護您的資料。 Azure 監視器可用區域會自動延長你的Azure 監視器韌性。 Azure 監視器預設在所有支援可用區域的區域中，啟用專用叢集以支援可用性區域（isAvailabilityZonesEnabled：「true」）。 支援可用性區域 的區域包括專用叢集與共享叢集的支援。
從 Azure 事件中樞 獲取 讓你能直接從 Event Hubs 匯入 Log Analytics 工作區。
將連結的工作區視為叢集來監控 透過 Azure 監視器 監控叢集效能，包括所有連結工作空間的擷取量、查詢效能及容量承諾利用率。

附註

專用叢集並不是讓所有查詢都更快的通用方式。 如同任何大型分析系統，跨越非常龐大資料集執行查詢需要額外的運算資源，且可能影響查詢效能。 若想在專用叢集的跨工作空間優化基礎上進一步提升查詢效能，請優化您的查詢。 此策略在處理大型資料集及長期查詢時特別有效。

叢集定價模式

Log Analytics 專用叢集採用承諾層的定價模式，起始為每日 100 GB。 超過承諾級別的資料導入則依照每 GB 費率收費。 您可以隨時提高承諾層級，但在降低之前，必須先滿 31 天的承諾期。 有關承諾等級的詳細資訊，請參見 Azure 監視器 Logs 的定價詳情。

叢集 計費類型 有兩種可能的值：

  • 叢集 (預設) - 叢集的成本取決於叢集資源。
  • 工作區 - 叢集的成本取決於叢集中的工作區比例，如果當天的資料擷取量總計低於承諾用量層，就會將叢集資源的部分使用量列入計費。 請參考 Log Analytics專用叢集 以了解叢集定價模型。

所需的權限

若要執行叢集相關動作，您需要下列權限：

動作 需要的權限或角色
建立專用叢集 例如，可使用 Microsoft.Resources/deployments/* 和 Microsoft.OperationalInsights/clusters/write 權限，這些權限由 Log Analytics 參與者內建角色提供
變更叢集屬性 例如，可使用 Microsoft.OperationalInsights/clusters/write 權限，此權限由 Log Analytics 參與者內建角色提供
將工作區連結至叢集 例如，Microsoft.OperationalInsights/clusters/write、Microsoft.OperationalInsights/workspaces/write 以及 Microsoft.OperationalInsights/workspaces/linkedservices/write 權限，這些權限由 Log Analytics 貢獻者內建角色 提供
檢查工作區連結狀態 例如，Microsoft.OperationalInsights/workspaces/read 工作區權限，由 Log Analytics Reader 內建角色提供
取得叢集或檢查叢集的佈建狀態 例如，可使用 Microsoft.OperationalInsights/clusters/read 權限，此權限由 Log Analytics 讀者內建角色提供
更新叢集中的承諾層級或計費類型 例如，可使用 Microsoft.OperationalInsights/clusters/write 權限，此權限由 Log Analytics 參與者內建角色提供
授與所需的權限 擁有*/write權限的擁有者或貢獻者角色，或是擁有權限的Microsoft.OperationalInsights/*內建角色
取消工作區與叢集的連結 例如，可使用 Microsoft.OperationalInsights/workspaces/linkedServices/delete 權限，此權限由 Log Analytics 參與者內建角色提供
刪除專用叢集 例如，可使用 Microsoft.OperationalInsights/clusters/delete 權限，此權限由 Log Analytics 參與者內建角色提供

欲了解更多Log Analytics權限資訊，請參閱管理Azure 監視器中的日誌資料與工作區存取。

Resource Manager 範本範例

本文包含範例 Azure Resource Manager（ARM）範本，用於在 Azure 監視器 中建立及配置Log Analytics叢集。 每個範例都包含範本檔案和參數檔案，且附有要提供給範本的範例值。

附註

請參閱 Azure Resource Manager 範例，這些範例是針對 Azure 監視器，內容包括可用範例清單及在 Azure 訂閱中部署它們的指導建議。

範本參考

準備

叢集承諾層級的計費會從你建立叢集的時候開始，不論資料是否併入。 開始前請準備好以下物品：

  1. 創建叢集服務的訂閱。
  2. 一份你想連結到叢集的工作區清單。 這些工作區必須與叢集位於同一區域。
  3. 針對計費類型與歸因做出決定，判斷是要設為叢集 (預設) 或按比例設為已連結的工作區。
  4. 驗證你建立叢集並連結工作空間的 權限 。

附註

  • 叢集建立與連結工作區是非同步操作，可能需要數小時完成。
  • 將工作空間從叢集連結或解除連結，在操作過程中不會影響擷取或查詢。

建立專用叢集

建立新的專用叢集時，請提供下列屬性：

  • ClusterName：針對資源群組必須是唯一的。

  • ResourceGroupName：使用中央 IT 資源群組，因為組織中的許多小組通常都會共用叢集。 更多設計考量，請參閱設計 Log Analytics 工作區配置。

  • 地點

  • SkuCapacity：有效的承諾層級為每日 100、200、300、400、500、1000、2000、5000、10000、25000 或 50000 GB。 如需叢集成本的詳細資訊，請參閱 專用叢集。

  • 管理身份 ：叢集支援兩種 管理身份類型：

    • 系統指派的受控識別 - 當身分識別 type 設定為 "SystemAssigned" 時，此受控識別會在叢集建立時自動產生。 使用此身份授予您的 金鑰保存庫 存取權，以進行封裝和解封操作。

      叢集 REST 呼叫中的身分識別

      {
  "identity": {
    "type": "SystemAssigned"
    }
}

    • 使用者指派的受管理身份 - 透過此身份，您可以在叢集建立時配置由客戶管理的金鑰，並在建立叢集之前，在您的 金鑰保存庫 中為其授權。

      叢集 REST 呼叫中的身分識別

      {
  "identity": {
    "type": "UserAssigned",
    "userAssignedIdentities": {
      "/subscriptions/<SubscriptionId>/resourceGroups/<ResourceGroupName>/providers/Microsoft.ManagedIdentity/userAssignedIdentities/<ManagedIdentityName>": {}
    }
  }
}

建立叢集資源之後，您可以編輯 sku、 keyVaultProperties 或 billingType 等屬性。 請參閱下方詳細資訊。

刪除的叢集需要兩週的時間才能完全移除。 每個訂閱和區域最多可以有七個叢集 - 其中五個是作用中狀態，另外兩個在過去兩週內已被刪除。

附註

建立叢集牽涉到多個資源，且作業通常會在兩小時內完成。 專用叢集一旦配置完成，無論是否進行資料擷取都會收費。 準備部署以加速資源配置及工作空間與叢集的連結。 驗證下列項目：

  • 識別要連結至叢集的初始工作區清單
  • 您擁有打算用於要連結的叢集與任何工作區的訂用帳戶的權限

在Azure入口網站的 Log Analytics專用叢集選單中選擇 Create。 系統會提示你提供像是叢集名稱和承諾等級等細節。

截圖，用於在Azure入口建立專用叢集。

檢查叢集佈建狀態

配置 Log Analytics 叢集需要一段時間才能完成。 請使用下列其中一種方法來檢查 ProvisioningState 屬性。 佈建時，值為 Creating (建立中)，而在完成時為 Succeeded (成功)。

入口網站會在叢集佈建過程中提供其狀態。

附註

  • 只有在入口網站完成 Log Analytics 叢集的配置後，才連結工作區。
  • 將工作區連接到叢集時，會同步多個後端元件和快取填充，通常在兩小時內完成。
  • 當你連結Log Analytics工作區時，工作區計費計畫會變成LACluster。 請在工作區範本中移除 SKU，以避免在工作區部署時發生衝突。
  • 除了叢集計畫所管轄的計費面向外，所有工作區設定與查詢面向在連結期間及之後均保持不變。

您需要工作區和叢集資源的「寫入」許可權，才能進行工作區連結作業：

  • 在工作區中： Microsoft.OperationalInsights/workspaces/write
  • 在叢集資源中： Microsoft.OperationalInsights/clusters/write

當你將 Log Analytics 工作區連結到專用叢集後，你傳送到工作區的新資料會被送到專屬叢集，而先前匯入的資料則會留在 Log Analytics 叢集中。 連結工作區不會影響工作區的運作，包括匯入和查詢體驗。 Log Analytics 查詢引擎會自動將舊叢集與新叢集的資料拼接在一起，確保查詢結果完整。

叢集是區域性的，最多可連結至同一區域內的 1,000 個工作空間。 為了防止資料碎片，你不能讓工作區與叢集連結超過每月兩次。

連結的工作空間可以與叢集所在的訂閱不同。 如果你用 Azure Lighthouse 把兩者對應到同一個租戶，工作區和叢集可能會在不同的租戶裡。

當你用客戶管理金鑰（CMK）配置專用叢集時，新匯入的資料會用你的金鑰加密，而舊資料則會保留用 Microsoft 管理金鑰（MMK）加密。 Log Analytics 抽象化金鑰配置，跨舊與新資料加密的查詢都能無縫執行。

請使用下列步驟，將工作區連結至叢集。 您可以使用自動化，連結多個工作區：

從Azure入口Log Analytics專用叢集選單中選擇你的叢集。 選擇 「連結工作區」 以查看目前連結到專用叢集的所有工作區。 選擇 連結工作區 以連結其他工作區。

截圖，用於在Azure入口網站中將工作區連結到專用叢集。

此工作區連結作業最多可能需要 90 分鐘才能完成。 您可以在連結的工作區和叢集上檢查狀態。 完成後，工作區資源會在 clusterResourceId 底下包含 features 屬性，而叢集則會在 associatedWorkspaces 區段底下包含已連結的工作區。

當你用客戶管理的金鑰配置叢集時，連結操作完成後，所接收的資料會用你的工作區金鑰加密。

在專用叢集的 [概觀] 頁面上，選取 [JSON 檢視]。 [associatedWorkspaces] 區段會列出連結至叢集的工作區。

截圖，用於查看Azure入口網站中專用叢集的相關工作區。

變更叢集屬性

當你建立叢集資源並完全配置完成後，你可以使用 CLI、PowerShell 或 REST API 編輯叢集屬性。 叢集配置完成後，你可以設定以下屬性：

  • keyVaultProperties - 包含Azure Key Vault中的金鑰，參數如下：KeyVaultUri、KeyName、KeyVersion。 請參閱 「更新專用叢集及金鑰識別碼細節」。
  • Identity - 用於驗證你金鑰保存庫的身份。 此身份可由系統指派或使用者指派。
  • billingType - 叢集資源及其資料的計費屬性。 包含以下數值：
    • 叢集 (預設) - 叢集的成本取決於叢集資源。
    • 工作區 - 叢集的成本取決於叢集中的工作區比例，如果當天的資料擷取量總計低於承諾用量層，就會將叢集資源的部分使用量列入計費。 請參考 Log Analytics專用叢集 以了解叢集定價模型。

重要

不要在同一操作中啟用新的系統指派的受控識別，並設定客戶管理的金鑰。 首先設定身份，授予它所需的 金鑰保存庫 權限，然後更新金鑰細節。

如果叢集已經使用該身分識別，且擁有所需的 金鑰保存庫 權限，更新時可以同時包含未變更的 identity.type: SystemAssigned 和 properties.keyVaultProperties。

以下 Azure CLI 範例使用了該az monitor log-analytics cluster update指令。 它透過參數 --billing-type 設定計費類型。

# Set variables
resourceGroupName="<ResourceGroupName>"
clusterName="<ClusterName>"

# Update the cluster billing type
az monitor log-analytics cluster update \
  --resource-group "$resourceGroupName" --name "$clusterName" --billing-type Workspaces

附註

Azure CLI指令使用目前 CLI 上下文中的Azure Resource Manager端點，因此 management.azure.com 不需要在命令語法中指定。

取得資源群組中的所有叢集

在Azure入口網站的 Log Analytics dedicated clusters選單中，選擇 Resource Group篩選器。

在Azure入口網站中查看所有專用叢集的截圖。

取得訂閱中的所有叢集

在Azure入口網站的 Log Analytics dedicated clusters選單中，選擇 Subscription 篩選器。

截圖，可在Azure入口網站查看訂閱中所有專用叢集。

更新叢集中的承諾用量層

當連結工作區的資料量隨時間變化時，更新承諾層級以優化成本。 請以 GB（GB）為單位指定分層。 層級的數值可為每日 100、200、300、400、500、1,000、2,000、5,000、10,000、25,000 或 50,000 GB。 你不需要提供完整的 REST 請求內容，但必須包含 SKU。

在承諾期期間，您可以變更為較高的定額層，這會重新開始 31 天的承諾期。 在承諾期完成之前，您無法切換回隨用隨付或更低的定額層。

從Azure入口Log Analytics專用叢集選單中選擇你的叢集。 選擇「變更」在承諾層級旁邊。

截圖，用於在 Azure portal 中更改專用叢集的承諾層級。

警告

解除連結工作區並不會將工作區資料移出叢集。 任何連結到專用叢集時為工作區收集的資料，都會保留在該工作區指定的保留期內，只要叢集未被刪除即可存取。

您可以隨時取消工作區與叢集的連結。 以下是當工作區被解除連結時會發生的事情

  • 工作區的定價層級變更為依每 GB 計費。
  • 在解除連結操作前被匯入叢集的資料仍留在叢集中。
  • 傳送至工作區的新資料會擷取至工作區，而非專用叢集。
  • 當工作空間解除連結時，查詢不會受到影響——Log Analytics 服務能無縫執行跨叢集查詢。
  • 如果專用叢集設定了客戶管理金鑰（CMK），連結期間匯入工作區的資料會與你的金鑰一同加密，只要你的金鑰和 金鑰保存庫 權限仍然存在，就能存取。

附註

  • 為了防止資料在叢集間分散，你在一個月內只能對特定工作區執行兩次連結操作。 如果您達到限制，請連絡支援人員。
  • 未連結的工作空間將會改為按需付費的收費方案。

使用下列命令從叢集取消工作區連結：

在Azure入口網站的 Log Analytics dedicated clusters選單中選擇你的叢集。 選擇 「連結工作區」 以查看目前連結到專用叢集的所有工作區。 選擇任何你想解除連結的工作區，然後選擇 解除連結。

用於在 Azure 管理入口中取消工作區與專用叢集連結的截圖。

刪除叢集

你需要對叢集資源進行 寫入 權限。

刪除叢集時要小心。 此作業無法復原。 所有從連結工作區匯入叢集的資料都會永久刪除。

當你刪除叢集時，叢集的計費就會停止，不論叢集中設定了多少 31 天的承諾期。

如果你刪除有連結工作區的叢集，工作區會自動從該叢集中解除連結。 他們會轉為按用量付費的收費模式，而新傳送到工作空間的資料則會被匯入 Log Analytics 叢集。 你可以在工作區連結到叢集前的時間範圍內查詢，解除連結後，服務會無縫執行跨叢集查詢。

附註

  • 每個訂閱和地區最多有七個群組：五個活躍群組，加上兩個在過去兩週內被刪除的群組。
  • 叢集名稱在刪除後兩週仍保留，期間無法用它來建立新的叢集。

使用下列命令來刪除叢集：

從Azure入口Log Analytics專用叢集選單中選擇你的叢集。 接著選取刪除。

Azure portal 中刪除專用叢集的截圖。

變更受控識別類型

你可以在建立叢集後更改身份類型，而不會中斷擷取或查詢。 請考慮下列事項：

  • 將 SystemAssigned 更新為 UserAssigned - 在 金鑰保存庫 中賦予 UserAssign 身份，然後在叢集中更新身份類型。
  • 更新 UserAssigned 至 SystemAssigned - 由於系統指派的管理身份是在更新叢集身份類型 後 SystemAssigned建立的，請依照以下步驟進行：
    1. 更新叢集以移除鍵——設 keyVaultUri、 keyName、 keyVersion ， 為值 ""。
    2. 將叢集身份類型更新為 SystemAssigned。
    3. 更新 金鑰保存庫 並 授予權限 給予這個身份。
    4. 在專用叢集中更新金鑰。

限制和條件約束

  • 你可以在每個區域和訂閱中建立最多五個活躍叢集。

  • 每個訂閱和地區最多可有七個叢集：五個活躍叢集加上兩個你在過去兩週內刪除的叢集。

  • 你可以將最多 1,000 個 Log Analytics 工作空間連結到叢集。

  • 在 30 天內，你最多可以對特定工作區執行兩次連結操作。

  • 你無法將叢集移到其他資源群組或訂閱。

  • 你不能把叢集移到其他區域。

  • 不要在同一操作中更改受控識別和金鑰識別碼的詳細資料。 更新可以包含一個未更改的系統指派身份，該身份已具備所需的 金鑰保存庫 權限及金鑰細節。

  • Lockbox 目前不在中國提供服務。

  • Lockbox目前無法應用於使用輔助方案的資料表。

  • 雙重加密 會自動設定於 2020 年 10 月起在支援區域建立的叢集。 您可以在叢集上傳送 GET 要求，並針對已啟用雙重加密的叢集，觀察 isDoubleEncryptionEnabled 值是否為 true，以驗證已將叢集設定為雙重加密。

    • 如果您建立叢集並收到錯誤：「region-name 不支援針對叢集使用雙重加密。」，您仍然可以透過在 REST 要求本文中新增 "properties": {"isDoubleEncryptionEnabled": false}，來建立不含雙重加密的叢集。
    • 建立叢集後，你無法更改雙重加密設定。

  • 你可以在工作區連結到叢集時將其刪除。 如果你在軟刪除期間恢復工作區，工作區會回復到先前狀態，並持續連結到叢集。

  • 在承諾期期間，您可以變更為較高的定額層，這會重新開始 31 天的承諾期。 在承諾期完成之前，您無法切換回隨用隨付或更低的定額層。

疑難排解

  • 如果在建立叢集時遇到衝突錯誤，叢集可能會被刪除但仍在刪除過程中。 叢集名稱在刪除兩週期間會保留，且無法用該名稱建立新的叢集。

  • 如果你在叢集處於配置或更新狀態時更新，更新就會失敗。

  • 某些作業的時間很長，可能需要一些時間才能完成。 這些操作包括 叢集建立、 叢集金鑰更新和 叢集刪除。 您可以將 GET 要求傳送至叢集或工作區，並觀察回應，以檢查作業狀態。 例如，一個未連結的工作區在功能類別中沒有 clusterResourceId。

  • 如果你嘗試連結已經連結到另一個叢集的 Log Analytics 工作區，操作就會失敗。

錯誤訊息

以下章節列出叢集與工作區連結操作所回傳的錯誤。

叢集建立

  • 400--叢集名稱無效。 叢集名稱可包含字元a-z、A-Z、0-9，且長度必須介於3至63字元之間。
  • 400--請求主體為空值或格式不正確。
  • 400--SKU 名稱無效。 將 SKU 名稱設為 capacityReservation。
  • 400--已提供容量，但 SKU 不是 capacityReservation。 將 SKU 名稱設為 capacityReservation。
  • 400--SKU 中遺漏了容量。 將容量值設定為每日 100、200、300、400、500、1,000、2,000、5,000、10,000、25,000 或 50,000 GB。
  • 400--容量已鎖定 30 天。 允許在更新後的 30 天之後減少容量。
  • 400--未設定 SKU。 將 SKU 名稱設定為 capacityReservation，容量值則設定為每日 100、200、300、400、500、1,000、2,000、5,000、10,000、25,000 或 50,000 GB。
  • 400--目前無法執行操作。 非同步作業處於非成功狀態。 叢集必須先完成其作業，然後才能執行任何更新作業。

叢集更新

  • 400 -- 叢集處於刪除狀態。 非同步作業正在進行中。 叢集必須先完成其作業，然後才能執行任何更新作業。
  • 400--KeyVaultProperties 並非空白，但格式不正確。 請參閱金鑰識別碼更新。
  • 400——未能驗證 金鑰保存庫 中的金鑰。 此錯誤可能因權限不足或金鑰不存在而發生。 確認你在 金鑰保存庫 中設定金鑰和存取策略。
  • 400--金鑰無法復原。 將 金鑰保存庫 設定為啟用軟刪除與清除保護。 請參閱 金鑰保存庫 文件。
  • 400--目前無法執行操作。 等非同步操作完成再試一次。
  • 400 -- 叢集處於刪除狀態。 等非同步操作完成再試一次。

叢集取得

  • 404--找不到叢集，叢集可能已遭刪除。 如果您嘗試建立具有該名稱的叢集並發生衝突，表示該叢集正在進行刪除程序。

叢集刪除

  • 409 -- 無法在處於佈建狀態時刪除叢集。 等非同步操作完成再試一次。
  • 404 -- 找不到工作區。 您指定的工作區不存在或已刪除。
  • 409 -- 工作區連結或取消連結作業正在進行中。
  • 400——未找到群集。 你指定的叢集不存在或已被刪除。
  • 404 -- 找不到工作區。 您指定的工作區不存在或已刪除。
  • 409 -- 工作區連結或取消連結作業正在進行中。

下一步

  • 上次更新時間：