如果你決定不再使用與 Log Analytics 工作空間相關的 Microsoft Sentinel 實例，請將 Microsoft Sentinel 從工作區移除。 但在你開始之前，請先思考本文所描述的意涵。
Microsoft Sentinel 從 Log Analytics 工作空間移除可能需要長達 48 小時。 資料連接器設定與 Microsoft Sentinel 資料表已刪除。 其他資源與資料則保留有限時間。
您的訂閱仍持續在 Microsoft Sentinel 資源提供者中註冊。 不過，你可以手動移除。
如果你不想保留工作區和為 Microsoft Sentinel 收集的資料，請在 Azure 入口網站刪除與工作區相關的資源。
價格變動
從工作區移除 Microsoft Sentinel 後，Azure 監視器 Log Analytics 中的資料仍可能產生相關費用。 如需進一步了解對承諾層級成本的影響，請參閱 簡化帳單退出行為。
資料連接器配置已移除
當你從工作區移除 Microsoft Sentinel 時，以下資料連接器的設定會被移除。
Microsoft 365
Amazon Web Services
Microsoft 服務安全警示：
- 適用於身分識別的 Microsoft Defender
- Microsoft Defender for Cloud Apps，包含雲端探索和影子 IT 報告
- Microsoft Entra 識別碼保護
- 適用於端點的 Microsoft Defender
- 適用於雲端的 Microsoft Defender
威脅情報
常見的安全日誌包括基於 CEF 的日誌、Barracuda 及 Syslog。 如果你從 適用於雲端的 Microsoft Defender 收到安全警示，這些日誌仍會被持續收集。
Windows 安全性事件。 如果你從 適用於雲端的 Microsoft Defender 收到安全警示，這些日誌仍會被持續收集。
在前 48 小時內，包含即時自動化配置的資料與分析規則，將不再能在 Microsoft Sentinel 中存取或查詢。
資源已移除
以下資源將於30天後移除：
事件 (包括調查的元資料)
分析規則
書籤
你的戰術手冊、已儲存的練習簿、儲存的狩獵查詢和筆記本都不會被移除。 部分資源可能會因資料被移除而損壞。 手動移除這些資源。
移除服務後，有 30 天的寬限期可以重新啟用 Microsoft Sentinel。 你的資料和分析規則會恢復，但已斷線的配置連接器必須重新連接。
Microsoft Sentinel 資料表已刪除
當你從工作空間移除 Microsoft Sentinel 時，所有 Microsoft Sentinel 資料表都會被刪除。 這些表格中的資料無法存取或查詢。 但這些資料表設定的資料保留政策會適用於已刪除資料表中的資料。 因此，如果你在資料保留期間內重新啟用 Microsoft Sentinel，保留的資料會被還原到這些資料表。
移除 Microsoft Sentinel 後無法存取的資料表及相關資料包括但不限於以下資料表：
AlertEvidenceAlertInfoAnomaliesASimAuditEventLogsASimAuthenticationEventLogsASimDhcpEventLogsASimDnsActivityLogsASimFileEventLogsASimNetworkSessionLogsASimProcessEventLogsASimRegistryEventLogsASimUserManagementActivityLogsASimWebSessionLogsAWSCloudTrailAWSCloudWatchAWSGuardDutyAWSVPCFlowCloudAppEventsCommonSecurityLogConfidentialWatchlistDataverseActivityDeviceEventsDeviceFileCertificateInfoDeviceFileEventsDeviceImageLoadEventsDeviceInfoDeviceLogonEventsDeviceNetworkEventsDeviceNetworkInfoDeviceProcessEventsDeviceRegistryEventsDeviceTvmSecureConfigurationAssessmentDeviceTvmSecureConfigurationAssessmentKBDeviceTvmSoftwareInventoryDeviceTvmSoftwareVulnerabilitiesDeviceTvmSoftwareVulnerabilitiesKBDnsEventsDnsInventoryDynamics365ActivityDynamicSummaryEmailAttachmentInfoEmailEventsEmailPostDeliveryEventsEmailUrlInfoGCPAuditLogsGoogleCloudSCCHuntingBookmarkIdentityDirectoryEventsIdentityLogonEventsIdentityQueryEventsLinuxAuditLogMcasShadowItReportingMicrosoftPurviewInformationProtectionNetworkSessionsOfficeActivityPowerAppsActivityPowerAutomateActivityPowerBIActivityPowerPlatformAdminActivityPowerPlatformConnectorActivityPowerPlatformDlpActivityProjectActivitySecurityAlertSecurityEventSecurityIncidentSentinelAuditSentinelHealthThreatIntelIndicatorsUrlClickEventsWatchlistWindowsEvent