设置 Log Analytics 工作区的每日上限

Log Analytics 工作区的每日上限允许你通过在达到指定阈值时停止收集剩余 24 小时内分析或基本表计划中表的可计费日志数据来减少数据引入费用的意外增加。

本文介绍每日上限的工作原理以及如何在工作区中配置该上限。

每个工作区都有一个每日上限，用于定义其自己的数据量限制。 达到每日上限时，选定 Log Analytics 工作区的页面顶部会显示警告横幅，同时会将一个操作事件发送到“LogManagement”类别下的“操作”表。 可以选择创建警报规则，以在创建此事件时发送警报。

用于每日上限的数据大小是客户定义的数据转换后的大小。 （详细了解数据收集规则中的数据转换。）

数据收集在重置时间恢复，对于每个工作区来说，这是一天中不同的时间。 无法配置此重置时间。 可以选择创建警报规则，以在创建此事件时发送警报。

每日上限通常由特别注重成本的组织使用。 这不应用作降低成本的方法，而应用作确保你不超过特定预算的预防措施。

当数据收集停止时，你实际上将无法监视依赖于该工作空间的功能和资源。 可以创建警报规则，以在数据收集达到每日上限之前的某个级别时通知你，而不是仅仅依靠每日上限。 通知使你可以在数据收集关闭之前解决任何增加的问题，甚至可以暂时禁用不太关键资源的收集。

应为 Application Insights 和 Log Analytics 配置每日上限设置，以限制服务引入的遥测数据量。 对于基于工作区的 Application Insights 资源，每日有效上限是两个设置中的最小值。 对于经典 Application Insights 资源，仅应用 Application Insights 每日上限，因为它们的数据不驻留在 Log Analytics 工作区中。

除非为高流量应用程序请求了更高的最大值，否则 Application Insights 经典资源的最大上限是 1,000 GB/天。 在 Azure 门户中创建资源时，每日上限设置为 100 GB/天。 在 Visual Studio 中创建资源时，默认值很小（只有 32.3 MB/天）。 设置每日上限默认值，以便进行测试。 可预期用户在将应用部署到生产环境之前，会提高每日上限。

对于具有无法用于 Application Insights 的额度的某些订阅类型，我们已去除此限制。 以前，如果订阅有支出限制，“每日上限”对话框将提供如何去除此限制，并使每日上限提高到超过 32.3 MB/天的说明。

为了帮助你确定适合工作区的每日上限，请参阅 Azure Monitor 成本和使用情况了解数据引入趋势。 还可以查看分析 Log Analytics 工作区中的使用情况，它提供了更详细地分析工作区使用情况的方法。

在 2023 年 9 月 18 日以前，如果工作区在 2017 年 6 月 19 日之后启用了 Microsoft Defenders for Servers 解决方案，则尽管已配置任何每日上限，仍然会为 Microsoft Defender for Cloud 或 Microsoft Sentinel 收集一些与安全相关的数据类型。 以下数据类型将受到每日上限中特殊例外的约束：WindowsEvent、SecurityAlert、SecurityBaseline、SecurityBaselineSummary、SecurityDetection、SecurityEvent、WindowsFirewall、MaliciousIPCommunication、LinuxAuditLog、SysmonEvent、ProtectionStatus、Update、UpdateSummary、CommonSecurityLog 和 Syslog

在 Azure 门户中设置或更改 Log Analytics 工作区的每日上限：

1. 从“Log Analytics 工作区”菜单中，选择你的工作区，然后选择“使用情况和预估成本”。
2. 选择页面顶部的“每日上限”。
3. 选择“打开”，然后设置数据量限制（以 GB/天为单位）。

要使用 Azure 资源管理器配置每日上限，请按照工作区 - 创建或更新中的说明设置 WorkspaceCapping 下的 dailyQuotaGb 参数。

在 Azure 门户中设置或更改经典 Application Insights 资源的每日上限：

1. 从“监视”菜单中，选择“应用程序”（你的应用程序），然后选择“使用情况和预估成本”。
2. 选择页面顶部的“数据上限”。
3. 设置数据量限制（以 GB/天为单位）。
4. 如果希望在达到每日限制时向订阅管理员发送电子邮件，请选择该选项。
5. 以数据量限制的百分比设置每日上限警告级别。
6. 如果希望在达到每日上限警告级别时向订阅管理员发送电子邮件，请选择该选项。

要使用 Azure 资源管理器配置每日上限，请按照工作区 - 创建或更新中的说明设置 dailyQuota、dailyQuotaResetTime 和 warningThreshold 参数。

当达到 Log Analytics 工作区的每日上限时，Azure 门户中会显示一个横幅，并将一个事件写入工作区中的“操作”表。 应创建一条警报规则，以便在发生这种情况时主动通知你。

要在达到每日上限时收到警报，请创建一条包含以下详细信息的日志搜索警报规则。

当达到经典 Application Insights 资源的每日上限时，会在 Azure 活动日志中使用以下信号名称创建一个事件。 还可以选择在达到上限和达到每日上限的指定百分比时向订阅管理员发送电子邮件。

• 已达到 Application Insights 组件的每日上限警告阈值
• 已达到 Application Insights 组件的每日上限

要在达到每日上限时创建警报，请创建一条包含以下详细信息的日志警报规则。

以下查询可用于跟踪每日上限重置之间 Log Analytics 工作区受每日上限约束的数据量。 在此示例中，工作区的重置时间为 14:00。 更改 DailyCapResetHour 以匹配你的工作区的重置小时数，可在“每日上限”配置页上看到该小时数。

let DailyCapResetHour=14;
Usage
| where TimeGenerated > ago(32d)
| extend StartTime=datetime_add("hour",-1*DailyCapResetHour,StartTime)
| where StartTime > startofday(ago(31d))
| where IsBillable
| summarize IngestedGbBetweenDailyCapResets=sum(Quantity)/1000. by day=bin(StartTime , 1d) // Quantity in units of MB
| render areachart  

当工作区上未运行更新管理解决方案或者启用了解决方案目标设定时，将 Update 和 UpdateSummary 数据类型添加到 where Datatype 行（了解详细信息。）

• 请参阅 Azure Monitor 日志定价详细信息，详细了解计算 Log Analytics 工作区中的数据费用的方式，以及用于降低费用的不同配置选项。
• 请参阅 Azure Monitor 日志定价详细信息，详细了解计算 Log Analytics 工作区中的数据费用的方式，以及用于降低费用的不同配置选项。
• 请参阅分析 Log Analytics 工作区中的使用情况，了解有关分析工作区中的数据以确定任何高于预期的使用情况的来源以及减少收集数据量的机会的详细信息。