Azure Monitor 日志中的表

Log Analytics工作区将日志数据存储在表中。每个表都是定义数据形状的列的集合，每一行都是日志记录。表配置控制数据的收集方式、架构的外观、数据的保留时间以及存储和查询的成本。本文介绍Azure Monitor日志中表背后的主要概念。

下图显示了表的主要配置选项：

表类型

Log Analytics工作区包含多种类型的表。表类型确定数据源、架构的定义方式以及是否可以修改架构。

表类型	数据源	架构
Azure 表	Azure 资源中的日志，或 Azure 服务和解决方案所需的日志	Azure Monitor 日志根据你使用的 Azure 服务和为特定资源配置的诊断设置自动创建 Azure 表。每个 Azure 表都有一个预定义的架构。添加自定义列以存储已转换或扩充的数据。
自定义表	非Azure资源和任何其他数据源，例如基于文件的日志	根据收集的数据定义架构。请参阅在 Azure Monitor Logs 中添加或删除表和列。
搜索结果	存储在Log Analytics工作区中的所有数据	架构基于运行搜索作业时定义的查询。无法编辑现有搜索结果表的架构。
还原的日志	存储在工作区中特定表中的数据	还原的日志表与从中还原日志的源表具有相同的架构。无法编辑现有还原日志表的架构。

根据访问表中的数据的频率以及所需的查询功能配置表计划。

表计划	建议的用例
Analytics	持续监视、实时检测和性能分析。该计划可让日志数据在 30 天至两年的期限内用于高性能查询，并供各项功能和服务使用。
基本	故障排除和事件响应。此计划为期 30 天，针对表和 Log Analytics 工作区提供优惠的数据引入和优化的查询。
辅助	低接触性数据，例如详细的日志，以及用于审核和合规性的数据。此计划提供低成本的数据引入，但代价是在整个保留期内，跨表和跨 Log Analytics 工作区的查询均无法优化。

有关选择表计划的更多详细信息，请参阅Azure Monitor日志表计划。

查询可用性取决于表计划和保留阶段：

保留概念	Description
“查询”窗口	分析表在分析保留期间可查询，范围为 4 到 730 天。包含 Analytics 和 Basic 表（但没有辅助表）的查询可以涵盖过去 30 天。包含辅助表的查询可以涵盖所有查询表的总保留期，最长为 12 年。
长期保留	一种低成本的扩展程序，可将数据保留在工作区中，以满足合规要求或供偶尔调查时使用。若要在不包含辅助表的查询中访问超过 Analytics 保留期后的 Analytics 数据或超过 30 天的 Basic 数据，请运行搜索作业。辅助数据在其总保留期内仍可查询。

使用表级保留设置在适用的情况下配置分析保留期和总保留期。

若要在不包含辅助表的查询中访问超过 Analytics 保留期的 Analytics 数据或超过 30 天的 Basic 数据，请运行搜索作业。搜索作业是按需异步查询，这些查询针对工作区中的整个数据集运行，包括长期保留中的数据。有关详细信息，请参阅 Azure Monitor 日志中的搜索作业。

表架构是一组列，用于定义表可以保存的数据。架构包括列名称和数据类型。

Tables API 支持 Log Analytics 工作区表中的列使用以下数据类型：

数据收集规则（DCR）支持其流声明中的数据类型，但它们不支持 guid 类型。 Azure Monitor日志将 GUID 值存储为 string 类型。显示的 guid 标签只是一个逻辑类型注释，它的行为与 string 所有引入和查询操作的行为完全相同。

无需将 GUID 值转换为字符串。 Azure Monitor日志将 GUID 值写入字符串，而不考虑源数据如何创建它们。

在日志数据到达表之前，数据收集规则（DCR）使用转换来筛选掉不需要的记录，并匹配表架构。由于仅存储已处理的数据，因此此方法可降低成本并简化下游查询。