Adatmegőrzés kezelése naplóelemzési munkaterületen

Cikk
11/05/2024

A Log Analytics-munkaterületek két állapotban őrzik meg az adatokat:

Interaktív megőrzés: Ebben az állapotban az adatok monitorozáshoz, hibaelhárításhoz és közel valós idejű elemzéshez érhetők el.
Hosszú távú megőrzés: Ebben az alacsony költségű állapotban az adatok nem érhetők el a táblaterv funkcióihoz, de keresési feladatokon keresztül érhetők el.

Ez a cikk bemutatja, hogyan őrzik meg a Log Analytics-munkaterületek az adatokat, és hogyan kezelhetik a munkaterület tábláinak adatmegőrzését.

Interaktív, hosszú távú és teljes megőrzés

A Log Analytics-munkaterületek összes táblája alapértelmezés szerint 30 napig őrzi meg az adatokat, kivéve a 90 napos alapértelmezett adatmegőrzést tartalmazó naplótáblákat. Ebben az időszakban – az interaktív megőrzési időszak alatt – lekérdezéseken keresztül lekérheti az adatokat a táblából, és az adatok a táblaterv alapján vizualizációkhoz, riasztásokhoz és egyéb funkciókhoz és szolgáltatásokhoz érhetők el.

Az Analytics-csomaggal akár két évre is meghosszabbíthatja a táblák interaktív megőrzési idejét. Az alap- és segédcsomagok rögzített interaktív megőrzési időszaka 30 nap.

Feljegyzés

Az API vagy a parancssori felület használatával akár négy napra is csökkentheti az Analytics-táblák interaktív megőrzési idejét. Mivel azonban a betöltési ár 31 napos interaktív megőrzést tartalmaz, a megőrzési idő 31 nap alatti csökkentése nem csökkenti a költségeket.

Ha ugyanabban a táblában szeretné megőrizni az adatokat az interaktív megőrzési időszakon túl, hosszabbítsa meg a tábla teljes adatmegőrzési idejét akár 12 évre is. Az interaktív megőrzési időszak végén az adatok a teljes megőrzési időszak hátralévő részére a táblában maradnak. Ebben az időszakban – a hosszú távú megőrzési időszak alatt – futtasson egy keresési feladatot, hogy lekérje a táblából a szükséges adatokat, és elérhetővé tegye azokat interaktív lekérdezésekhez egy keresési eredménytáblában.

A megőrzési módosítások működése

Ha lerövidíti egy tábla teljes adatmegőrzését, az Azure Monitor-naplók 30 napot várnak az adatok eltávolítása előtt, így visszaállíthatja a módosítást, és elkerülheti az adatvesztést, ha hibát észlelt a konfigurációban.

A teljes megőrzés növelésekor az új megőrzési időszak az összes olyan adatra vonatkozik, amelyet már betöltöttek a táblába, és még nem lettek eltávolítva.

Ha egy meglévő adatokkal rendelkező tábla hosszú távú adatmegőrzési beállításait módosítja, a módosítás azonnal érvénybe lép.

Példa:

Rendelkezik egy meglévő Analytics-táblával, amely 180 napos interaktív megőrzést és hosszú távú megőrzést nem tartalmaz.
Az interaktív megőrzést 90 napra módosíthatja a teljes 180 napos megőrzési időtartam módosítása nélkül.
Az Azure Monitor automatikusan alacsony költségű, hosszú távú adatmegőrzésként kezeli a fennmaradó 90 napos teljes megőrzést, hogy a 90–180 napos adatok ne vesszenek el.

A szükséges engedélyek

Művelet	A szükséges engedélyek
Az Analytics-táblák alapértelmezett interaktív megőrzésének konfigurálása Log Analytics-munkaterületen	`Microsoft.OperationalInsights/workspaces/write`és `microsoft.operationalinsights/workspaces/tables/write` a Log Analytics-munkaterületre vonatkozó engedélyek, a Log Analytics-közreműködő beépített szerepkörének megfelelően, például
Adatmegőrzési beállítás lekérése táblázat szerint egy Log Analytics-munkaterülethez	`Microsoft.OperationalInsights/workspaces/tables/read`a Log Analytics-munkaterületre vonatkozó engedélyek, a Log Analytics-olvasó beépített szerepkörének megfelelően, például

Az Analytics-táblák alapértelmezett interaktív megőrzési időszakának konfigurálása

A Log Analytics-munkaterület összes táblájának alapértelmezett interaktív megőrzési ideje 30 nap. Az Analytics-táblák alapértelmezett interaktív időszakát akár két évre is módosíthatja a munkaterületszintű adatmegőrzési beállítás módosításával. Az alap- és segédtáblák rögzített interaktív megőrzési időtartamuk 30 nap.

Az alapértelmezett munkaterületszintű adatmegőrzési beállítás módosítása automatikusan hatással van az összes Olyan Analytics-táblára, amelyre az alapértelmezett beállítás továbbra is érvényes a munkaterületen. Ha már módosította egy adott tábla interaktív adatmegőrzését, a munkaterület alapértelmezett adatmegőrzési beállításának módosítása nem érinti ezt a táblát.

Fontos

A 30 napos adatmegőrzéssel rendelkező munkaterületek 31 napig őrizhetik meg az adatokat. Ha csak egy adatvédelmi szabályzatnak való megfelelés érdekében 30 napig kell megőriznie az adatokat, állítsa be az alapértelmezett munkaterület-megőrzést 30 napra az API használatával, és frissítse a munkaterület tulajdonságát immediatePurgeDataOn30Days trueerre. Ez a művelet jelenleg csak a Munkaterületek – Update API használatával támogatott.

Az Analytics-táblák alapértelmezett interaktív megőrzési idejének beállítása a Log Analytics-munkaterületen:

Az Azure Portal Log Analytics-munkaterületek menüjében válassza ki a munkaterületet.
Válassza ki a használatot és a becsült költségeket a bal oldali panelen.
Válassza az Adatmegőrzés lehetőséget a lap tetején.
Mozgassa a csúszkát a napok számának növeléséhez vagy csökkentéséhez, majd kattintson az OK gombra.

Ha egy Log Analytics-munkaterületen szeretné beállítani az Analytics-táblák alapértelmezett interaktív megőrzési idejét, hívja meg a Munkaterületek – API létrehozása vagy frissítése parancsot:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Kérelem törzse

A kérelem törzse az alábbi táblázatban szereplő értékeket tartalmazza.

Név	Típus	Leírás
`properties.retentionInDays`	egész szám	A munkaterület adatmegőrzési ideje napokban. Az engedélyezett értékek tarifacsomagonként vannak megadva. Részletekért tekintse meg a tarifacsomagok dokumentációját.
`location`	húr	Az erőforrás földrajzi helye.
`immediatePurgeDataOn30Days`	Logikai	Jelölő, amely jelzi, hogy az adatok 30 nap után azonnal törlődnek-e, és nem helyreállíthatók-e. Csak akkor alkalmazható, ha a munkaterület megőrzési ideje 30 nap.

Példa

Ez a példa a munkaterület 30 napos alapértelmezett adatmegőrzési értékét állítja be, és biztosítja, hogy az adatok 30 nap után azonnal törlődjenek, és ne legyen helyreállítható.

Kérelem

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

Ha egy Log Analytics-munkaterületen szeretné beállítani az Analytics-táblák alapértelmezett interaktív megőrzési idejét, futtassa az az monitor log-analytics-munkaterület frissítési parancsát, és adja át a paramétert --retention-time .

Ez a példa a tábla interaktív megőrzését 30 napra állítja:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

A Set-AzOperationalInsightsWorkspace parancsmaggal beállíthatja az Analytics-táblák alapértelmezett interaktív megőrzési idejét egy Log Analytics-munkaterületen. Ez a példa az alapértelmezett interaktív megőrzési időszakot 30 napra állítja be:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Táblaszintű megőrzés konfigurálása

Alapértelmezés szerint az Analytics-adatcsomaggal rendelkező táblák öröklik a Log Analytics-munkaterület alapértelmezett interaktív adatmegőrzési beállítását , és nem rendelkeznek hosszú távú megőrzéssel. Az Analytics-táblák interaktív megőrzési időtartamát akár 730 napra is növelheti, plusz költséggel.

Ha bármilyen adattervet tartalmazó táblához szeretne hosszú távú adatmegőrzést adni, állítsa be a teljes adatmegőrzést 12 évre (4383 napra). A kiegészítő táblacsomag jelenleg nyilvános előzetes verzióban érhető el, amely során a terv teljes megőrzési ideje 365 nap.

Feljegyzés

Az Azure Portalon és az API-val jelenleg akár 12 évre is beállíthatja a teljes adatmegőrzést. A parancssori felület és a PowerShell hét évre korlátozódik; támogatás 12 évig fog tartani.

Egy tábla adatmegőrzési beállításának módosítása az Azure Portalon:

A Log Analytics-munkaterületek menüben válassza a Táblák lehetőséget.

A Táblák képernyő a munkaterület összes táblájának listáját tartalmazza.
Válassza ki a konfigurálni kívánt táblázat helyi menüjét, és válassza a Táblázat kezelése lehetőséget.
Konfigurálja az interaktív adatmegőrzési és teljes adatmegőrzési beállításokat a táblakonfigurációs képernyő Adatmegőrzési beállítások szakaszában.

Egy tábla adatmegőrzési beállításának módosításához hívja meg a Tables – Update API-t:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

A PUT vagy a PATCH a következő különbséggel használható:

A PUT API-készletek retentionInDays és totalRetentionInDays az alapértelmezett érték, ha nem állít be nem null értékeket.
A PATCH API nem módosítja az retentionInDays értékeket, totalRetentionInDays ha nem ad meg értékeket.

Kérelem törzse

A kérelem törzse az alábbi táblázatban szereplő értékeket tartalmazza.

Név	Típus	Leírás
properties.retentionInDays	egész szám	A tábla adatmegőrzési ideje napokban. Ez az érték 4 és 730 között lehet. A tulajdonság null értékre állítása a munkaterület megőrzési idejét alkalmazza. Alapszintű és kiegészítő naplók tábla esetén az érték mindig 30.
properties.totalRetentionInDays	egész szám	A tábla teljes adatmegőrzése, beleértve a hosszú távú adatmegőrzést is. Ez az érték 4 és 730 között lehet; vagy 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 vagy 4383. Állítsa ezt a tulajdonságot null értékűre, ha nem szeretne hosszú távú megőrzést.

Példa

Ez a példa a tábla interaktív megőrzési idejét a munkaterület alapértelmezett 30 napos alapértelmezett értékére, a teljes megőrzést pedig két évre állítja, ami azt jelenti, hogy a hosszú távú megőrzési időszak 23 hónap.

Kérelem

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Kérelem törzse

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Válasz

Állapotkód: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

Egy tábla adatmegőrzési beállításainak módosításához futtassa az az monitor log-analytics munkaterület táblafrissítési parancsát, és adja meg a --retention-time paramétereket.--total-retention-time

Ez a példa a tábla interaktív megőrzési idejét 30 napra, a teljes megőrzést pedig két évre állítja, ami azt jelenti, hogy a hosszú távú megőrzési időszak 23 hónap:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Ha újra szeretné alkalmazni a munkaterület alapértelmezett interaktív adatmegőrzési értékét a táblára, és visszaállítja a teljes megőrzési értékét 0-ra, futtassa az az monitor log-analytics munkaterület táblafrissítési parancsát a --retention-time következő -1paraméterekkel: --total-retention-time .

Példa:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

A tábla adatmegőrzési beállításainak módosításához használja az Update-AzOperationalInsightsTable parancsmagot. Ez a példa a tábla interaktív megőrzési idejét 30 napra, a teljes megőrzést pedig két évre állítja, ami azt jelenti, hogy a hosszú távú megőrzési időszak 23 hónap:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

A munkaterület alapértelmezett interaktív adatmegőrzési értékének újbóli alkalmazásához és a teljes megőrzés 0 értékre való visszaállításához futtassa az Update-AzOperationalInsightsTable parancsmagot, amelynek -RetentionInDays a paraméterei a -TotalRetentionInDays következőre -1vannak állítva.

Példa:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Adatmegőrzési beállítások lekérése táblázat szerint

Ha meg szeretné tekinteni egy tábla adatmegőrzési beállításait az Azure Portalon, a Log Analytics-munkaterületek menüjében válassza a Táblák lehetőséget.

A Táblák képernyő a munkaterület összes táblájának interaktív megőrzési és teljes megőrzési időszakát jeleníti meg.

Egy adott tábla adatmegőrzési beállításának lekéréséhez (ebben a példában SecurityEvent) hívja meg a Táblák – API lekérése parancsot:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

A munkaterület összes táblaszintű adatmegőrzési beállításának lekéréséhez ne adjon meg táblanevet.

Példa:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

Egy adott tábla megőrzési beállításának lekéréséhez futtassa az az monitor log-analytics munkaterület táblamegjelenítési parancsát.

Példa:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

Egy adott tábla megőrzési beállításának lekéréséhez futtassa a Get-AzOperationalInsightsTable parancsmagot.

Példa:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Mi történik az adatokkal, ha töröl egy táblát egy Log Analytics-munkaterületen?

A Log Analytics-munkaterületek több típusú táblát is tartalmazhatnak. Mi történik, ha törli a táblát, az eltérő az egyes esetekben:

Táblatípus	Adatmegőrzés	Ajánlások
Azure-tábla	Az Azure-táblák naplókat tárolnak egy Azure-erőforrásból vagy egy Azure-szolgáltatás vagy megoldás által megkövetelt adatokból, és nem törölhetők. Ha leállítja az adatok átvitelét az erőforrásból, szolgáltatásból vagy megoldásból, az adatok a táblához meghatározott megőrzési időszak végéig a munkaterületen maradnak.	A díjak minimalizálása érdekében állítsa a táblaszintű megőrzést négy napra, mielőtt leállítja a táblázatba való streamelési naplókat.
Egyéni naplótábla (`table_CL`)	A helyreállítható beállítás a táblaszintű adatmegőrzés vagy az alapértelmezett munkaterület-megőrzési időszak végéig törli a táblát. A helyreállítható törlési időszak alatt továbbra is fizetnie kell az adatmegőrzésért, és újra létrehozhatja a táblát, és hozzáférhet az adatokhoz egy azonos nevű és sémájú tábla beállításával. Az egyéni táblák törlése után 14 nappal az Azure Monitor eltávolítja a táblaszintű adatmegőrzési konfigurációt, és alkalmazza az alapértelmezett munkaterület-megőrzést.	A díjak minimalizálása érdekében állítsa a táblaszintű megőrzést négy napra a tábla törlése előtt.
Keresési eredmények táblázata (`table_SRCH`)	Azonnal és véglegesen törli a táblát és az adatokat.
Visszaállított tábla `(table_RST`)	Törli a visszaállításhoz kiépített gyorsgyorsítótárat, de a forrástábla adatai nem törlődnek.

Naplótáblák 90 napos alapértelmezett adatmegőrzéssel

Alapértelmezés szerint a táblák és AzureActivity a Usage táblák legalább 90 napig díjmentesen őrzik meg az adatokat. Ha 90 napnál hosszabbra növeli a munkaterület megőrzési időtartamát, akkor ezeknek a tábláknak a megőrzését is növeli. Ezek a táblák az adatbetöltési díjaktól is mentesek.

Az Application Insights-erőforrásokhoz kapcsolódó táblák 90 napig díjmentesen őrzik meg az adatokat. Az egyes táblák megőrzését egyenként módosíthatja:

AppAvailabilityResults
AppBrowserTimings
AppDependencies
AppExceptions
AppEvents
AppMetrics
AppPageViews
AppPerformanceCounters
AppRequests
AppSystemEvents
AppTraces

Díjszabási modell

Az interaktív megőrzés és a hosszú távú megőrzés hozzáadásának díja a megőrzött adatok mennyisége alapján számítható ki GB-ban, valamint az adatok megőrzésének száma vagy napjai alapján. Olyan naplóadatok, amelyek _IsBillable == false nem tartoznak a betöltési vagy megőrzési díjak hatálya alá.

További információkért tekintse meg az Azure Monitor díjszabását.

Következő lépések

További információk:

Megosztás a következőn keresztül:

Adatmegőrzés kezelése naplóelemzési munkaterületen

Interaktív, hosszú távú és teljes megőrzés

A megőrzési módosítások működése

A szükséges engedélyek

Az Analytics-táblák alapértelmezett interaktív megőrzési időszakának konfigurálása

Táblaszintű megőrzés konfigurálása

Adatmegőrzési beállítások lekérése táblázat szerint

Mi történik az adatokkal, ha töröl egy táblát egy Log Analytics-munkaterületen?

Naplótáblák 90 napos alapértelmezett adatmegőrzéssel

Díjszabási modell

Következő lépések

Visszajelzés

További források