管理 Log Analytics 工作区中的数据保留

2025-09-10

Log Analytics 工作区以两种状态保留数据：

分析保留期：在此状态下，数据可用于监视、故障排除和准实时分析。
长期保留：在这种低成本状态下，数据不可用于表计划功能，但可以通过搜索作业进行访问。

本文介绍 Log Analytics 工作区如何保留数据，以及如何管理工作区中表的数据保留。

分析、长期保留率和总保留率

默认情况下，Log Analytics 工作区中的所有表会将数据保留 30 天，但默认保留时间为 90 天的日志表除外。属于 Analytics 计划的表使您的数据在此分析保留期内可用于实时查询。所有表计划都可以通过查询或搜索作业检索存储的数据，并且数据可用于基于表计划的可视化效果、警报和其他功能和服务。

可以使用 Analytics 计划将表的分析保留期延长至两年。基本计划表的查询期固定为 30 天，而辅助计划表可以查询总保留期。但是，基本表和辅助表都有其他注意事项。有关详细信息，请参阅基本表和辅助表中的查询数据。

注意

可以使用 API 或 CLI 将 Analytics 表的分析保留期减少到 4 天。但是，由于引入价格中包含 31 天的分析保留期，因此将保留期降低到 31 天以下不会降低成本。

若要将同一表中的数据保留超过默认保留期，请将表的总保留期延长至最多 12 年。分析保留期结束后，数据将在表中保留，直至您配置的总保留期的其余部分结束。在此期间（长期保留期），可以运行搜索作业以从表中检索所需的特定数据，并使其可用于在搜索结果表中进行交互式查询。

保留期修改的工作原理

缩短表的总保留期时，Azure Monitor 日志会等待 30 天，然后删除数据，因此，如果配置中出现错误，你可以还原更改并避免数据丢失。

增加总保留期时，新的保留期将应用于已引入表中且尚未删除的所有数据。

当更改包含现有数据的表的长期保留期设置时，更改会立即生效。

示例：

你有一个现有的 Analytics 表，其保留期为 180 天，并且没有长期保留。
将分析保留期更改为 90 天，而不会更改总保留期 180 天。
Azure Monitor 会自动将剩余的 90 天总保留期视为低成本的长期保留，这样，超过 90-180 天的数据就不会丢失。

所需的权限

操作	所需的权限
为 Log Analytics 工作区中的 Analytics 表配置默认分析保留期	对 Log Analytics 工作区具有 `Microsoft.OperationalInsights/workspaces/write` 和 `microsoft.operationalinsights/workspaces/tables/write` 权限，例如，Log Analytics 参与者内置角色所提供的权限
按表获取 Log Analytics 工作区的保留期设置	对 Log Analytics 工作区具有 `Microsoft.OperationalInsights/workspaces/tables/read` 权限，例如，Log Analytics 读者内置角色所提供的权限

配置 Analytics 表的默认分析保留期

Log Analytics 工作区中 Analytics 表的默认保留期为 30 天。可以通过修改工作区级数据保留设置，将 Analytics 表的默认分析周期更改为长达两年。基本表和辅助表只有一个总保持期，默认情况下为 30 天。

更改默认工作区级别的数据保留期设置会自动影响工作区中仍应用了默认设置的所有分析表。如果已更改特定表的分析保留期，则更改工作区默认数据保留设置时，该表不会受到影响。

重要

保留期为 30 天的工作区可能会将数据保留 31 天。如果你需要将数据保留 30 天以遵守隐私政策，请使用 API 将默认的工作区保留期配置为 30 天，并将 immediatePurgeDataOn30Days 工作区属性更新为 true。目前仅支持使用工作区 - 更新 API 执行此操作。

若要在 Log Analytics 工作区中设置 Analytics 表的默认分析保留期，请执行以下作：

从 Azure 门户的“Log Analytics 工作区”菜单中选择你的工作区。
在 “设置” 部分中，选择左窗格中的 “使用情况”和“估计成本 ”。
选择页面顶部的“数据保留”。
移动滑块以增加或减少天数，然后选择“确定”。

若要在 Log Analytics 工作区中设置 Analytics 表的默认分析保留期，请调用工作区 - 创建或更新 API：

PATCH https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

请求正文

请求正文包含下表中的值。

名称	类型	说明
`properties.retentionInDays`	整数	工作区数据保留期（以天为单位）。允许的值基于每个定价计划。请参阅定价层文档了解详细信息。
`location`	字符串	资源的地理位置。
`immediatePurgeDataOn30Days`	布尔	指示数据是否在 30 天后立即删除且不可恢复的标志。仅当工作区保留期设置为 30 天时适用。

示例

本示例将工作区的保留期设置为工作区默认值 30 天，并确保数据在 30 天后立即被删除并且不可恢复。

请求

PATCH https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "chinanorth2"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...}
    },
    ...
}

若要在 Log Analytics 工作区中设置 Analytics 表的默认分析保留期，请运行 az monitor log-analytics workspace update 命令并传递 --retention-time 参数。

此示例将表的分析保留期设置为 30 天：

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

使用 Set-AzOperationalInsightsWorkspace cmdlet 设置 Log Analytics 工作区中 Analytics 表的默认分析保留期。此示例将默认分析保留期设置为 30 天：

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

配置表级别的保留期

默认情况下，具有 Analytics 数据计划的所有表都继承 Log Analytics 工作区的默认保留设置，并且没有长期保留。可以将分析表的数据保留期延长至最多 730 天，但这会产生额外费用。

若要为采用任何数据计划的表增加长期保留期，请将总保留期设置为最多 12 年（4,383 天）。

注意

目前，可以通过 Azure 门户和 API 将总保留期设置为最长 12 年。 CLI 和 PowerShell 的总保留期限制为七年；随后将支持 12 年。

若要在 Azure 门户中修改表的保留期设置，请执行以下操作：

从“Log Analytics 工作区”菜单中，选择“表”。

“表”屏幕列出了工作区中的所有表。
选择要配置的表的上下文菜单，然后选择“管理表”。
在表配置屏幕的 数据保留设置 部分配置分析数据保留和总数据保留设置。

若要修改表的保留期设置，请调用表 - 更新 API：

PATCH https://management.chinacloudapi.cn/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

可以使用 PUT 或 PATCH，这二者具有以下差异：

如果你未设置非 null 值，PUT API 会将和 retentionInDays 设置为默认值。
PATCH API 不会更改或 retentionInDays 值（如果你未指定值）。

请求正文

请求正文包含下表中的值。

名称	类型	说明
properties.retentionInDays (保留天数)	整数	表的数据保留期（以天表示）。此值可介于 4 和 730 之间。将此属性设置为 null 会应用工作区保留期。对于“基本日志”和“辅助日志”表，该值始终为 30。
属性.总保留天数	整数	表的总数据保留期（包括长期保留期）。此值可以在 4 到 730 之间；或者为 1095、1460、1826、2191、2556、2922、3288、3653、4018 或 4383。如果你不想长期保留，请将此属性设置为 null。

示例

本示例将表的分析保留期设置为工作区默认值 30 天，总保留期设置为两年，这意味着长期保留期为 23 个月。

请求

PATCH https://management.chinacloudapi.cn/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

请求正文

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

响应

状态代码：200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

若要修改表的保留期设置，请运行 az monitor log-analytics workspace table update 命令并传递 --retention-time 和 --total-retention-time 参数。

本示例将表的分析保留期设置为 30 天，总保留期设置为两年，这意味着长期保留期为 23 个月：

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

若要将工作区的默认保留值重新应用到表，并将其总保留期重置为 0，请运行 az monitor log-analytics workspace table update 命令，并将参数 --retention-time 和 --total-retention-time 设置为 -1。

例如：

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

使用 Update-AzOperationalInsightsTable cmdlet 修改表的保留期设置。本示例将表的分析保留期设置为 30 天，总保留期设置为两年，这意味着长期保留期为 23 个月：

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

若要将工作区的默认保留值重新应用到表，并将其总保留期重置为 0，请运行 Update-AzOperationalInsightsTable cmdlet，并将参数 -RetentionInDays 和 -TotalRetentionInDays 设置为 -1。

例如：

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

使用此示例 ARM 模板和参数文件更新特定表的保留期。

模板文件

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "type": "string",
      "defaultValue": "sampleWorkspace",
      "metadata": {
        "description": "The number of days to retain the data."
      }
    },
    "tableName": {
      "type": "string",
      "defaultValue": "sampleTable",
      "metadata": {
        "description": "The name of the Log Analytics table to modify."
      }
    },
    "retentionInDays": {
      "type": "int",
      "defaultValue": 30,
      "metadata": {
        "description": "The number of days to retain the data."
      }
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/workspaces",
      "apiVersion": "2025-02-01",
      "name": "[parameters('workspaceName')]",
      "location": "[resourceGroup().location]",
      "resources": [
        {
          "type": "Microsoft.OperationalInsights/workspaces/tables",
          "apiVersion": "2025-02-01",
          "name": "[concat(parameters('workspaceName'), '/', parameters('tableName'))]",
          "properties": {
            "retentionInDays": "[parameters('retentionInDays')]"
          },
          "dependsOn": [ "[resourceId('Microsoft.OperationalInsights/workspaces/', parameters('workspaceName'))]" ]
        }
      ]
    }
  ]
}

参数文件

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "workspaceName": {
      "value": "MyWorkspace"
    },
    "tableName": {
      "value": "AppRequests"
    },
    "retentionInDays": {
      "value": 120
    }
  }
}

按表获取保留期设置

若要在 Azure 门户中查看表的保留期设置，请在“Log Analytics 工作区”菜单中选择“表”。

表屏幕页面显示工作区中所有表的分析数据保留期和数据总保留期。

若要获取某个特定表的保留设置（在此示例中为 SecurityEvent），请调用“表 - Get”API：

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

若要获取工作区中的所有表级保留设置，请不要设置表名。

例如：

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

若要获取某个特定表的保留设置，请运行 az monitor log-analytics workspace table show 命令。

例如：

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

若要获取特定表的保留策略，请运行 Get-AzOperationalInsightsTable cmdlet。

例如：

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

删除 Log Analytics 工作区中的表时数据会发生什么情况？

Log Analytics 工作区可以包含多个表类型。删除表时发生的情况因每个表而异：

表类型	数据保留	建议	恢复
Azure 表	Azure 表保存着 Azure 服务或解决方案所需的 Azure 资源或数据的日志，并且无法删除。停止从资源、服务或解决方案流式传输数据时，数据将保留在工作区中，直到为表定义的保留期结束，并相应地收费。	若要尽量减少费用，请在禁用解决方案（例如 Sentinel）之前，将相关表中的表级保留期设置为四天。	启用解决方案。数据恢复受表的保留期限制。
自定义日志表 (`table_CL`)	自定义日志表保存从日志引入API或者已弃用的HTTP数据收集器API生成的日志。删除表时，表名称将保留 14 天，并在该时间段后释放。删除 Analytics 或 Basic 计划中的表不会删除表中的数据，在数据保留期满 14 天后，表的保留设置将继承工作区的保留设置。删除辅助计划中的表将在14天后永久删除数据，保留策略将继承工作区的保留策略，但保留费用依然适用，并且遵循表中的保留设置。	为了最大程度地降低费用，请在删除表之前将表级保留期设置为四天。	分析或基本计划：创建具有相同名称和架构的表。数据恢复受表的保留期限制。辅助计划：在软删除期间创建具有相同名称和架构的表。
搜索结果表 (`table_SRCH`)	立即永久删除表和数据。
还原表`(table_RST`)	删除为还原预配的热缓存，但不会删除源表数据。

默认保留期为 90 天的日志表

默认情况下，Usage 和 AzureActivity 表中的数据会免费保留至少 90 天。如果将工作区保留期延长至 90 天以上，则也会延长这些表的保留期。这些表也不产生数据引入费用。

与 Application Insights 资源相关的表也会将数据保留 90 天，不收取任何费用。可以单独调整其中每个表的保留期：

AppAvailabilityResults
AppBrowserTimings
AppDependencies
AppExceptions
AppEvents
AppMetrics
AppPageViews
AppPerformanceCounters
AppRequests
AppSystemEvents
AppTraces

定价模型

分析和长期保留是根据 GB 数据量计算的，并保留数据的天数。数据保留的计费每天（基于 UTC 时区中的天数）。设置为 _IsBillable == false 的日志数据不受引入或保留费用的影响。

如需了解更多信息，请参阅以下文章：

保留计费。
Azure Monitor 保留定价。

了解有关以下方面的详细信息：

共用方式為

管理 Log Analytics 工作区中的数据保留

分析、长期保留率和总保留率

保留期修改的工作原理

所需的权限

配置 Analytics 表的默认分析保留期

配置表级别的保留期

按表获取保留期设置

删除 Log Analytics 工作区中的表时数据会发生什么情况？

默认保留期为 90 天的日志表

定价模型

相关内容

其他資源