共用方式為

管理 Log Analytics 工作区中的数据保留

Log Analytics 工作区以两种状态保留数据:

  • 分析保留期:在此状态下,数据可用于监视、故障排除和准实时分析。
  • 长期保留:在这种低成本状态下,数据不可用于表计划功能,但可以通过搜索作业进行访问

本文介绍 Log Analytics 工作区如何保留数据,以及如何管理工作区中表的数据保留。

分析、长期保留率和总保留率

默认情况下,Log Analytics 工作区中的所有表会将数据保留 30 天,但默认保留时间为 90 天的日志表除外。 属于 Analytics 计划的表使您的数据在此分析保留期内可用于实时查询。 所有表计划都可以通过查询或搜索作业检索存储的数据,并且数据可用于基于表计划的可视化效果、警报和其他功能和服务。

可以使用 Analytics 计划将表的分析保留期延长至两年。 基本计划表的查询期固定为 30 天,而辅助计划表可以查询总保留期。 但是,基本表和辅助表都有其他注意事项。 有关详细信息,请参阅 基本表和辅助表中的查询数据

注意

可以使用 API 或 CLI 将 Analytics 表的分析保留期减少到 4 天。 但是,由于引入价格中包含 31 天的分析保留期,因此将保留期降低到 31 天以下不会降低成本。

若要将同一表中的数据保留超过默认保留期,请将表的总保留期延长至最多 12 年。 分析保留期结束后,数据将在表中保留,直至您配置的总保留期的其余部分结束。 在此期间(长期保留期),可以运行搜索作业以从表中检索所需的特定数据,并使其可用于在搜索结果表中进行交互式查询。

显示 Azure Monitor 日志中的分析和长期保留的示意图。

保留期修改的工作原理

缩短表的总保留期时,Azure Monitor 日志会等待 30 天,然后删除数据,因此,如果配置中出现错误,你可以还原更改并避免数据丢失。

增加总保留期时,新的保留期将应用于已引入表中且尚未删除的所有数据。

当更改包含现有数据的表的长期保留期设置时,更改会立即生效。

示例:

  • 你有一个现有的 Analytics 表,其保留期为 180 天,并且没有长期保留。
  • 将分析保留期更改为 90 天,而不会更改总保留期 180 天。
  • Azure Monitor 会自动将剩余的 90 天总保留期视为低成本的长期保留,这样,超过 90-180 天的数据就不会丢失。

所需的权限

操作 所需的权限
为 Log Analytics 工作区中的 Analytics 表配置默认分析保留期 对 Log Analytics 工作区具有 Microsoft.OperationalInsights/workspaces/writemicrosoft.operationalinsights/workspaces/tables/write 权限,例如,Log Analytics 参与者内置角色所提供的权限
按表获取 Log Analytics 工作区的保留期设置 对 Log Analytics 工作区具有 Microsoft.OperationalInsights/workspaces/tables/read 权限,例如,Log Analytics 读者内置角色所提供的权限

配置 Analytics 表的默认分析保留期

Log Analytics 工作区中 Analytics 表的默认保留期为 30 天。 可以通过修改工作区级数据保留设置,将 Analytics 表的默认分析周期更改为长达两年。 基本表和辅助表只有一个总保持期,默认情况下为 30 天。

更改默认工作区级别的数据保留期设置会自动影响工作区中仍应用了默认设置的所有分析表。 如果已更改特定表的分析保留期,则更改工作区默认数据保留设置时,该表不会受到影响。

重要

保留期为 30 天的工作区可能会将数据保留 31 天。 如果你需要将数据保留 30 天以遵守隐私政策,请使用 API 将默认的工作区保留期配置为 30 天,并将 immediatePurgeDataOn30Days 工作区属性更新为 true。 目前仅支持使用工作区 - 更新 API 执行此操作。

若要在 Log Analytics 工作区中设置 Analytics 表的默认分析保留期,请执行以下作:

  1. 从 Azure 门户的“Log Analytics 工作区”菜单中选择你的工作区。

  2. “设置” 部分中,选择左窗格中的 “使用情况”和“估计成本 ”。

  3. 选择页面顶部的“数据保留”。

    屏幕截图显示如何更改工作区数据保留设置。

  4. 移动滑块以增加或减少天数,然后选择“确定”。

配置表级别的保留期

默认情况下,具有 Analytics 数据计划的所有表都继承 Log Analytics 工作区的默认保留设置 ,并且没有长期保留。 可以将分析表的数据保留期延长至最多 730 天,但这会产生额外费用

若要为采用任何数据计划的表增加长期保留期,请将总保留期设置为最多 12 年(4,383 天)

注意

目前,可以通过 Azure 门户和 API 将总保留期设置为最长 12 年。 CLI 和 PowerShell 的总保留期限制为七年;随后将支持 12 年。

若要在 Azure 门户中修改表的保留期设置,请执行以下操作:

  1. 从“Log Analytics 工作区”菜单中,选择“表”。

    “表”屏幕列出了工作区中的所有表。

  2. 选择要配置的表的上下文菜单,然后选择“管理表”。

    屏幕截图显示工作区中一个表的“管理表”按钮。

  3. 在表配置屏幕的 数据保留设置 部分配置分析数据保留和总数据保留设置。

    屏幕截图显示表配置屏幕上的数据保留设置。

按表获取保留期设置

若要在 Azure 门户中查看表的保留期设置,请在“Log Analytics 工作区”菜单中选择“表”

屏幕页面显示工作区中所有表的分析数据保留期和数据总保留期。

屏幕截图显示工作区中一个表的“管理表”按钮。

删除 Log Analytics 工作区中的表时数据会发生什么情况?

Log Analytics 工作区可以包含多个表类型。 删除表时发生的情况因每个表而异:

表类型 数据保留 建议 恢复
Azure 表 Azure 表保存着 Azure 服务或解决方案所需的 Azure 资源或数据的日志,并且无法删除。 停止从资源、服务或解决方案流式传输数据时,数据将保留在工作区中,直到为表定义的保留期结束,并相应地收费。 若要尽量减少费用,请在禁用解决方案(例如 Sentinel)之前,将相关表中的表级保留期设置为四天。 启用解决方案。 数据恢复受表的保留期限制。
自定义日志表 (table_CL) 自定义日志表保存从日志引入API或者已弃用的HTTP数据收集器API生成的日志。
删除表时,表名称将保留 14 天,并在该时间段后释放。 删除 AnalyticsBasic 计划中的表不会删除表中的数据,在数据保留期满 14 天后,表的保留设置将继承工作区的保留设置。
删除辅助计划中的表将在14天后永久删除数据,保留策略将继承工作区的保留策略,但保留费用依然适用,并且遵循表中的保留设置。
为了最大程度地降低费用,请在删除表之前将表级保留期设置为四天。 分析基本 计划:创建具有相同名称和架构的表。 数据恢复受表的保留期限制。
辅助 计划:在软删除期间创建具有相同名称和架构的表。
搜索结果表 (table_SRCH) 立即永久删除表和数据。
还原表(table_RST) 删除为还原预配的热缓存,但不会删除源表数据。

默认保留期为 90 天的日志表

默认情况下,UsageAzureActivity 表中的数据会免费保留至少 90 天。 如果将工作区保留期延长至 90 天以上,则也会延长这些表的保留期。 这些表也不产生数据引入费用。

与 Application Insights 资源相关的表也会将数据保留 90 天,不收取任何费用。 可以单独调整其中每个表的保留期:

  • AppAvailabilityResults
  • AppBrowserTimings
  • AppDependencies
  • AppExceptions
  • AppEvents
  • AppMetrics
  • AppPageViews
  • AppPerformanceCounters
  • AppRequests
  • AppSystemEvents
  • AppTraces

定价模型

添加分析保留期和长期保留的费用是根据保留的数据量计算的,以 GB 为单位,以及保留数据的天数或天数。 设置为 _IsBillable == false 的日志数据不受引入或保留费用的影响。

有关详细信息,请参阅 Azure Monitor 定价

了解有关以下方面的详细信息: