Azure 監視器記錄成本計算和選項

發行項
02/02/2024

大部分 Azure 監視器實作的最大費用通常是在 Log Analytics 工作區中擷取和保留數據。 Azure 監視器中的數個功能沒有直接成本，但會新增至所收集的工作區數據。本文說明如何計算Log Analytics工作區和Application Insights資源的數據費用，以及影響成本的不同組態選項。

提示

如需降低 Azure 監視器成本的策略，請參閱成本最佳化和 Azure 監視器。

計價模式

Log Analytics 的默認定價是以內嵌的數據量和數據保留為基礎的隨用隨付模型。每個Log Analytics工作區都會以個別的服務計費，併為您的 Azure 訂用帳戶計費。 Log Analytics 的定價是以地區方式設定。視下列情況而定，數據擷取量可能相當大：

已啟用一組管理解決方案及其設定。
受監視資源的數目和類型。
從每個受監視的資源收集的數據類型。

這裡提供 Azure 監視器計費計量名稱的清單。

數據大小計算

數據量會測量為要儲存的數據大小，並以 GB（10^9 個字節）的單位來測量。單一記錄的數據大小是從儲存在該記錄之Log Analytics工作區中的數據行字串表示來計算。無論數據是從代理程式傳送，還是在擷取過程中新增，都無關緊要。此計算包含記錄擷取 API、轉換或自定義欄位新增為資料的自訂資料行，然後儲存在工作區中。

注意

計費的數據量計算通常比整個傳入 JSON 封裝事件的大小要小得多。平均而言，在所有事件類型中，計費大小大約比傳入數據大小少 25%。小型事件最多可達 50%。百分比包含從計費中排除的標準數據行效果。當您預估成本並比較其他定價模型時，請務必瞭解計費數據大小的計算。

排除的數據行

下列標準數據行適用於所有數據表，而且會在記錄大小計算中排除。儲存在 Log Analytics 中的所有其他數據行都會包含在記錄大小的計算中。標準資料列包括：

_ResourceId
_SubscriptionId
_ItemId
_IsBillable
_BilledSize
Type

排除的數據表

有些數據表完全不受數據擷取費用，包括 AzureActivity、活動訊號、使用量和作業。此資訊一律會以 _IsBillable 數據行來指出，這表示記錄是否從數據擷取、保留和封存的計費中排除。

其他解決方案和服務的費用

某些解決方案有更多關於免費數據擷取的特定原則。例如， Azure Migrate 會在伺服器評量的前 180 天免費提供相依性視覺效果數據。適用於雲端的 Microsoft Defender、Microsoft Sentinel 和組態管理等服務都有自己的定價模式。

如需任何唯一的計費計算，請參閱不同服務和解決方案的檔。

承諾用量層

除了隨用隨付模型之外，Log Analytics 還有 承諾層，相較於隨用隨付價格，可節省高達 30% 的費用。使用承諾層定價，您可以承諾購買工作區的數據擷取，從每天 100 GB 開始，價格低於隨用隨付定價。任何高於承諾用量層級（超額）的使用量，會依照目前承諾用量層級所提供的每 GB 相同價格計費。（超額是使用相同的承諾層計費計量來計費。例如，如果工作區位於 200 GB/天承諾用量層級，並在一天內內嵌 300 GB，該使用量會以 200 GB/天承諾用量層的 1.5 單位計費。承諾用量層在選取承諾用量層的時間有 31 天的承諾期間。

在承諾期間，您可以變更為較高的承諾用量層級，這會重新啟動 31 天的承諾期間。在完成承諾期間之前，您無法回到隨用隨付或降低承諾用量層級。
在承諾期間結束時，工作區會保留選取的承諾用量層，而工作區可以隨時移至隨用隨付或較低的承諾用量層級。
如果工作區不小心移至承諾用量層，請連絡 Microsoft 支援服務重設承諾期限，以便您回到隨用隨付定價層。

承諾層的計費會每天針對每個工作區完成。如果工作區是專用叢集的一部分，則會針對叢集進行計費。請參閱下列「專用叢集」一節。如需承諾層級及其價格的清單，請參閱 Azure 監視器定價。

Azure 承諾用量折扣，例如從 Microsoft Enterprise 合約收到的折扣，會套用至 Azure 監視器記錄承諾層定價，就像是隨用隨付定價一樣。無論使用量是針對每個工作區或每個專用叢集計費，都適用折扣。

提示

每個 Log Analytics 工作區的使用量和估計成本 功能表項會顯示每個承諾層級的數據擷取費用估計，以協助您選擇數據擷取模式的最佳承諾層級。請定期檢閱此資訊，以判斷您是否可以移至另一層來降低費用。如需此檢視的資訊，請參閱使用量和估計成本。若要檢閱您的實際費用，請使用 Azure 成本管理 = 計費。

專用叢集

Azure 監視器記錄專用叢集是單一受控 Azure 數據總管叢集中的工作區集合。專用叢集支援進階功能，例如客戶管理的密鑰，並使用與工作區相同的承諾層定價模式，不過它們每天必須具有至少 100 GB 的承諾層級。任何高於承諾用量層級（超額）的使用量，會依照目前承諾用量層級所提供的每 GB 相同價格計費。叢集沒有隨用隨付選項。

叢集承諾用量層級在承諾層級增加之後有 31 天的承諾期間。在承諾期間，無法減少承諾層級層級，但可以隨時增加。當工作區與叢集相關聯時，這些工作區的數據擷取計費會使用設定的承諾層層級在叢集層級完成。

建立叢集時所指定的叢集有兩種計費模式：

叢集（預設值）：擷取數據的計費會在叢集層級完成。從與叢集相關聯的每個工作區擷取的數據數量會匯總，以計算叢集的每日帳單。在叢集中所有工作區的數據匯總之前，會先在工作區層級套用來自適用於雲端的 Microsoft Defender 的每個節點配置。
工作區：您叢集的承諾層成本會依每個工作區的數據擷取磁碟區，依每個工作區的數據擷取磁碟區，依每個工作區的適用於雲端的 Microsoft Defender 個別節點配置來依比例歸為屬性。。

如果每天擷取到叢集的總數據量小於承諾用量層級，則每個工作區都會依每個 GB 承諾用量層的有效每個 GB 承諾用量層級費率來計費其擷取的數據。承諾用量層的未使用部分接著會向叢集資源計費。

如果一天擷取到叢集的總數據量超過承諾用量層，則每個工作區都會根據當天內嵌的數據分數，以及每個工作區的內嵌數據分數，計費高於承諾層。如果一天內嵌至工作區的數據量總計高於承諾用量層級，則叢集資源不會收取任何費用。

在叢集計費選項中，數據保留會針對每個工作區計費。不論工作區是否與叢集相關聯，叢集計費都會在建立叢集時開始。

當您將工作區連結至叢集時，定價層會變更為叢集，而擷取會根據叢集的承諾用量層計費。與叢集相關聯的工作區不再有自己的定價層。工作區可以隨時從叢集取消連結，而且定價層可以變更為每 GB。

如果您的連結工作區使用舊版 Per Node 定價層，則會根據叢集承諾用量層內嵌的數據來計費，且不再針對每個節點計費。會繼續套用來自適用於雲端的 Microsoft Defender 的每個節點數據配置。

如果刪除叢集，即使叢集在31天的承諾期間內，叢集的計費也會停止。

如需如何建立專用叢集並指定其計費類型的詳細資訊，請參閱建立專用叢集。

基本記錄

您可以在 Log Analytics 工作區中設定特定數據表，以使用基本記錄。這些數據表中的數據會大幅降低擷取費用和有限的保留期間。搜尋這些數據表需要付費。基本記錄適用於用於偵錯、疑難解答和稽核的大量詳細信息記錄，但不適用於分析和警示。

針對基本記錄搜尋的費用是以執行搜尋時掃描的數據 GB 為基礎。

如需基本記錄的詳細資訊，包括如何設定和查詢其數據，請參閱在 Azure 監視器中設定基本記錄。

記錄數據保留和封存

除了數據擷取之外，每個Log Analytics工作區中的數據保留費用也一定。您可以設定整個工作區或每個資料表的保留期間。在此期間之後，會移除或封存數據。封存的記錄會降低保留費用，而且需要針對這些記錄進行搜尋。使用封存的記錄來降低數據的成本，您必須儲存以符合規範或偶爾進行調查。

刪除自定義數據表並不會移除與該數據表相關聯的數據，因此會繼續套用保留和封存費用。

如需數據保留和封存的詳細資訊，包括如何設定這些設定和存取封存的數據，請參閱在 Azure 監視器記錄中設定數據保留和封存原則。

注意

使用 Log Analytics 清除功能從 Log Analytics 工作區中刪除資料並不會影響您的保留成本。若要降低保留成本，請減少工作區或特定數據表的保留期間。

搜尋作業

搜尋封存的記錄會使用搜尋作業。搜尋作業是異步查詢，可擷取記錄到工作區內的新搜尋數據表，以供進一步分析。搜尋作業的計費方式是每天掃描以執行搜尋時所掃描的數據 GB 數目。

記錄數據還原

針對必須以完整分析查詢功能來密集查詢較舊或封存的記錄的情況，數據還原功能是功能強大的工具。還原作業會針對高效能查詢，在經常性快取中提供數據表中特定時間範圍的數據。您稍後可以在完成時關閉數據。記錄數據還原會依還原的數據量計費，以及還原保持作用中的時間。任何數據還原所計費的最小值為 2 TB 和 12 小時。在持續時間內還原超過 2 TB 和/或超過 12 小時的數據會按比例計費。

記錄數據匯出

Log Analytics 工作區中的數據匯出可讓您持續將工作區中所選數據表的數據導出至 Azure 儲存體帳戶，或 Azure 事件中樞到達 Azure 監視器管線時。使用數據導出的費用是以匯出的數據量為基礎。匯出的數據大小是匯出 JSON 格式數據中的位元元組數目。

Application Insights 計費

因為以工作區為基礎的 Application Insights 資源會將其數據儲存在 Log Analytics 工作區中，因此數據擷取和保留的計費是由 Application Insights 數據所在的工作區所完成。基於這個理由，您可以使用Log Analytics定價模型的所有選項，包括承諾用量層，以及隨用隨付。

提示

想要調整 Application Insights 數據表上的保留設定嗎？工作區架構元件的數據表名稱已變更，請參閱 Application Insights資料表結構

傳統 Application Insights 資源的數據擷取和數據保留會遵循與工作區型資源相同的隨用隨付定價，但無法使用承諾層。

來自 Ping 測試和多重步驟測試的遙測費用與應用程式其他遙測的數據使用量相同。使用 Web 測試和啟用自訂計量維度的警示仍會透過 Application Insights 回報。使用即時計量串流不會收取任何數據量費用。

如需 Application Insights 早期採用者可使用的舊版層詳細資訊，請參閱 Application Insights 舊版企業（每個節點）定價層。

使用 Microsoft Sentinel 的工作區

在 Log Analytics 工作區中啟用 Microsoft Sentinel 時，該工作區中收集的所有數據都會受限於 Microsoft Sentinel 費用以及 Log Analytics 費用。基於這個理由，您通常會在不同的工作區中分隔安全性和操作數據，以免產生操作數據的 Microsoft Sentinel 費用。

在某些情況下，合併此數據可能會導致節省成本。一般而言，當您未收集足夠的安全性和操作數據，讓每個使用者自行達到承諾層級，但合併的數據就足以達到承諾層時，就會發生此情況。如需詳細資訊和範例成本計算，請參閱設計 Microsoft Sentinel 工作區架構中的<結合 SOC 和非 SOC 數據>一節。

具有適用於雲端的 Microsoft Defender 的工作區

適用於伺服器的 Microsoft Defender（適用於雲端的 Defender 部分）會依受監視的服務數目計費。它每天提供 500 MB 的數據設定，這些配置會套用至下列安全性資料類型子集：

如果工作區位於舊版的[每一節點] 定價層中，適用於雲端的 Defender 和Log Analytics配置會合併並套用至所有可計費的內嵌數據。若要深入瞭解 Microsoft Sentinel 客戶如何受益，請參閱 Microsoft Sentinel 定價頁面。

受監視的伺服器計數會以每小時的數據粒度計算。每個受監視伺服器的每日數據配置貢獻都會匯總在工作區層級。如果工作區位於舊版的[每一節點] 定價層中，適用於雲端的 Microsoft Defender 和Log Analytics 配置會合併並套用至所有可計費的內嵌數據。

舊版定價層

在 2018 年 4 月 2 日包含 Log Analytics 工作區或 Application Insights 資源的訂用帳戶，或連結到在 2019 年 2 月 1 日之前開始且仍在使用中之 Enterprise 合約，將繼續具有使用下列舊版定價層的存取權：

獨立式（每 GB）
每個節點（Operations Management Suite [OMS]）

舊版免費試用定價層的存取權限制在 2022 年 7 月 1 日。您可以在這裏取得獨立和每個節點定價層的定價資訊。

這裡提供 Azure 監視器計費計量名稱的清單，包括這些舊版層。

重要

舊版定價層不支援存取Log Analytics 中某些最新功能，例如將數據擷取為符合成本效益的基本記錄。

免費試用定價層

免費試用定價層中的工作區每日數據擷取限制為 500 MB（適用於雲端的 Microsoft Defender 所收集的安全性數據類型除外）。數據保留期限制為七天。免費試用定價層僅供評估之用，而非生產工作負載。免費試用版層未提供 SLA。

注意

只有在 2022 年 7 月 1 日之前，才能在中建立新的工作區，或將現有的工作區移至舊版免費試用定價層。

獨立定價層

獨立定價層上的使用量是由內嵌的數據量計費。它會在Log Analytics服務中報告，且計量名為「已分析的數據」。獨立定價層中的工作區具有用戶可設定的保留期，從 30 天到 730 天。獨立定價層中的工作區不支援使用基本記錄。

每個節點定價層

每一節點定價層會依受監視的 VM（節點）收取每小時數據粒度的費用。針對每個受監視的節點，工作區會每天配置 500 MB 的數據，而不會計費。此配置會以每小時的數據粒度計算，並每天在工作區層級匯總。數據擷取在匯總每日數據配置上方的數據會依 GB 計費，因為數據超額。每個節點定價層是舊版層，僅適用於符合舊版定價層需求的現有訂用帳戶。

在您的帳單上，如果工作區位於 [每一節點] 定價層中，服務將會是 Log Analytics使用量的深入解析和分析 。每個節點定價層中的工作區具有用戶可設定的保留期，從 30 天到 730 天。每個節點定價層中的工作區不支援使用基本記錄。使用量報告為三米：

節點：節點月份單位中受監視節點數目的使用量。
每個節點的數據超額：超過匯總數據配置的數據擷取 GB 數目。
每個節點包含的數據：匯總數據配置所涵蓋的擷取數據量。當工作區位於所有定價層，以顯示適用於雲端的 Microsoft Defender 所涵蓋的數據量時，也會使用此計量。

提示

如果您的工作區可以存取 「每一節點 」定價層，但您想知道在隨用隨付層中成本是否較低，請使用下列查詢來建議。

標準和進階版定價層

自 2016 年 10 月 1 日起，工作區無法建立或移至標準或 進階版 定價層。這些定價層中已經有的工作區可以繼續使用它們，但如果工作區移出這些層，就無法將其移回。標準和進階版定價層分別具有 30 天和 365 天的固定數據保留期。這些定價層中的工作區不支援使用基本記錄和數據封存。這些舊版層的 Azure 帳單上的數據擷取計量稱為「已分析的數據」。

使用舊版定價層適用於雲端的 Microsoft Defender

下列考慮與舊版Log Analytics層有關，以及使用量如何計費適用於雲端的 Microsoft Defender：

如果工作區位於舊版 Standard 或進階版層中，適用於雲端的 Microsoft Defender 只會針對 Log Analytics 數據擷取計費，而不是針對每個節點計費。
如果工作區位於舊版的[每個節點] 層中，則會使用目前的適用於雲端的 Microsoft Defender 節點型定價模型來計費適用於雲端的 Microsoft Defender。
在其他定價層（包括承諾層），如果在 2017 年 6 月 19 日之前啟用適用於雲端的 Microsoft Defender，適用於雲端的 Microsoft Defender 只會針對 Log Analytics 數據擷取計費。否則，適用於雲端的 Microsoft Defender 會使用目前的適用於雲端的 Microsoft Defender 節點型定價模式來計費。

如需定價層限制的詳細資訊，請參閱 Azure 訂用帳戶和服務限制、配額和條件約束。

舊版定價層沒有區域型定價層。

注意

若要使用來自購買 OMS E1 Suite、OMS E2 Suite 或適用於 System Center 的 OMS 附加元件的權利，請選擇 Log Analytics Per Node 定價層。

評估舊版 Per Node 定價層

通常很難判斷具有舊版 Per Node 定價層存取權的工作區在該層或目前隨用隨付或承諾層中較好。您必須瞭解每個節點定價層中每個受監視節點的固定成本，以及其每天每個節點 500 MB 的數據配置，以及支付隨用隨付（每 GB）層內嵌數據的費用之間的取捨。

使用下列查詢，根據工作區的使用模式，針對最佳定價層提出建議。此查詢會查看過去七天內擷取至工作區的受監視節點和數據。對於每天，它會評估哪一個定價層是最佳的。若要使用查詢，您必須指定：

工作區是否使用適用於雲端的 Microsoft Defender，方法是將設定workspaceHasSecurityCenter為 true 或 false。
如果您有特定的折扣，請更新價格。
藉由設定 daysToEvaluate，指定要回溯及分析的天數。如果查詢花費太多時間嘗試查看七天的數據，這個選項就很有用。

// Set these parameters before running query
// For pay-as-you-go (per-GB) and commitment tier pricing details, see https://azure.microsoft.com/pricing/details/monitor/.
// You can see your per-node costs in your Azure usage and charge data. For more information, see https://learn.microsoft.com/azure/cost-management-billing/understand/download-azure-daily-usage.  
let workspaceHasSecurityCenter = true;
let daysToEvaluate = 7;
let PerNodePrice = 15.; // Monthly price per monitored node
let PerNodeOveragePrice = 2.30; // Price per GB for data overage in the Per Node pricing tier
let PerGBPrice = 2.30; // Enter the pay-as-you-go price for your workspace's region (from https://azure.microsoft.com/pricing/details/monitor/)
let CommitmentTier100Price = 196.; // Enter your price for the 100 GB/day commitment tier
let CommitmentTier200Price = 368.; // Enter your price for the 200 GB/day commitment tier
let CommitmentTier300Price = 540.; // Enter your price for the 300 GB/day commitment tier
let CommitmentTier400Price = 704.; // Enter your price for the 400 GB/day commitment tier
let CommitmentTier500Price = 865.; // Enter your price for the 500 GB/day commitment tier
let CommitmentTier1000Price = 1700.; // Enter your price for the 1000 GB/day commitment tier
let CommitmentTier2000Price = 3320.; // Enter your price for the 2000 GB/day commitment tier
let CommitmentTier5000Price = 8050.; // Enter your price for the 5000 GB/day commitment tier
// ---------------------------------------
let SecurityDataTypes=dynamic(["SecurityAlert", "SecurityBaseline", "SecurityBaselineSummary", "SecurityDetection", "SecurityEvent", "WindowsFirewall", "MaliciousIPCommunication", "LinuxAuditLog", "SysmonEvent", "ProtectionStatus", "WindowsEvent", "Update", "UpdateSummary"]);
let StartDate = startofday(datetime_add("Day",-1*daysToEvaluate,now()));
let EndDate = startofday(now());
union * 
| where TimeGenerated >= StartDate and TimeGenerated < EndDate
| extend computerName = tolower(tostring(split(Computer, '.')[0]))
| where computerName != ""
| summarize nodesPerHour = dcount(computerName) by bin(TimeGenerated, 1h)  
| summarize nodesPerDay = sum(nodesPerHour)/24.  by day=bin(TimeGenerated, 1d)  
| join kind=leftouter (
    Heartbeat 
    | where TimeGenerated >= StartDate and TimeGenerated < EndDate
    | where Computer != ""
    | summarize ASCnodesPerHour = dcount(Computer) by bin(TimeGenerated, 1h) 
    | extend ASCnodesPerHour = iff(workspaceHasSecurityCenter, ASCnodesPerHour, 0)
    | summarize ASCnodesPerDay = sum(ASCnodesPerHour)/24.  by day=bin(TimeGenerated, 1d)   
) on day
| join (
    Usage 
    | where TimeGenerated >= StartDate and TimeGenerated < EndDate
    | where IsBillable == true
    | extend NonSecurityData = iff(DataType !in (SecurityDataTypes), Quantity, 0.)
    | extend SecurityData = iff(DataType in (SecurityDataTypes), Quantity, 0.)
    | summarize DataGB=sum(Quantity)/1000., NonSecurityDataGB=sum(NonSecurityData)/1000., SecurityDataGB=sum(SecurityData)/1000. by day=bin(StartTime, 1d)  
) on day
| extend AvgGbPerNode =  NonSecurityDataGB / nodesPerDay
| extend OverageGB = iff(workspaceHasSecurityCenter, 
             max_of(DataGB - 0.5*nodesPerDay - 0.5*ASCnodesPerDay, 0.), 
             max_of(DataGB - 0.5*nodesPerDay, 0.))
| extend PerNodeDailyCost = nodesPerDay * PerNodePrice / 31. + OverageGB * PerNodeOveragePrice
| extend billableGB = iff(workspaceHasSecurityCenter,
             (NonSecurityDataGB + max_of(SecurityDataGB - 0.5*ASCnodesPerDay, 0.)), DataGB )
| extend PerGBDailyCost = billableGB * PerGBPrice
| extend CommitmentTier100DailyCost = CommitmentTier100Price + max_of(billableGB - 100, 0.)* CommitmentTier100Price/100.
| extend CommitmentTier200DailyCost = CommitmentTier200Price + max_of(billableGB - 200, 0.)* CommitmentTier200Price/200.
| extend CommitmentTier300DailyCost = CommitmentTier300Price + max_of(billableGB - 300, 0.)* CommitmentTier300Price/300.
| extend CommitmentTier400DailyCost = CommitmentTier400Price + max_of(billableGB - 400, 0.)* CommitmentTier400Price/400.
| extend CommitmentTier500DailyCost = CommitmentTier500Price + max_of(billableGB - 500, 0.)* CommitmentTier500Price/500.
| extend CommitmentTier1000DailyCost = CommitmentTier1000Price + max_of(billableGB - 1000, 0.)* CommitmentTier1000Price/1000.
| extend CommitmentTier2000DailyCost = CommitmentTier2000Price + max_of(billableGB - 2000, 0.)* CommitmentTier2000Price/2000.
| extend CommitmentTier5000DailyCost = CommitmentTier5000Price + max_of(billableGB - 5000, 0.)* CommitmentTier5000Price/5000.
| extend MinCost = min_of(
    PerNodeDailyCost,PerGBDailyCost,CommitmentTier100DailyCost,CommitmentTier200DailyCost,
    CommitmentTier300DailyCost, CommitmentTier400DailyCost, CommitmentTier500DailyCost, CommitmentTier1000DailyCost, CommitmentTier2000DailyCost, CommitmentTier5000DailyCost)
| extend Recommendation = case(
    MinCost == PerNodeDailyCost, "Per node tier",
    MinCost == PerGBDailyCost, "Pay-as-you-go tier",
    MinCost == CommitmentTier100DailyCost, "Commitment tier (100 GB/day)",
    MinCost == CommitmentTier200DailyCost, "Commitment tier (200 GB/day)",
    MinCost == CommitmentTier300DailyCost, "Commitment tier (300 GB/day)",
    MinCost == CommitmentTier400DailyCost, "Commitment tier (400 GB/day)",
    MinCost == CommitmentTier500DailyCost, "Commitment tier (500 GB/day)",
    MinCost == CommitmentTier1000DailyCost, "Commitment tier (1000 GB/day)",
    MinCost == CommitmentTier2000DailyCost, "Commitment tier (2000 GB/day)",
    MinCost == CommitmentTier5000DailyCost, "Commitment tier (5000 GB/day)",
    "Error"
)
| project day, nodesPerDay, ASCnodesPerDay, NonSecurityDataGB, SecurityDataGB, OverageGB, AvgGbPerNode, PerGBDailyCost, PerNodeDailyCost, 
    CommitmentTier100DailyCost, CommitmentTier200DailyCost, CommitmentTier300DailyCost, CommitmentTier400DailyCost, CommitmentTier500DailyCost, CommitmentTier1000DailyCost, CommitmentTier2000DailyCost, CommitmentTier5000DailyCost, Recommendation 
| sort by day asc
//| project day, Recommendation // Comment this line to see details
| sort by day asc

此查詢不是計算使用量方式的確切復寫，但在大部分情況下會提供定價層建議。

注意