Gerir a retenção de dados numa área de trabalho do Log Analytics

Artigo
11/05/2024

Um espaço de trabalho do Log Analytics retém dados em dois estados:

Retenção interativa: nesse estado, os dados estão disponíveis para monitoramento, solução de problemas e análise quase em tempo real.
Retenção de longo prazo: nesse estado de baixo custo, os dados não estão disponíveis para recursos de plano de tabela, mas podem ser acessados por meio de vagas de pesquisa.

Este artigo explica como os espaços de trabalho do Log Analytics retêm dados e como gerenciar a retenção de dados de tabelas em seu espaço de trabalho.

Retenção interativa, de longo prazo e total

Por padrão, todas as tabelas em um espaço de trabalho do Log Analytics retêm dados por 30 dias, exceto as tabelas de log com retenção padrão de 90 dias. Durante esse período - o período de retenção interativo - você pode recuperar os dados da tabela por meio de consultas, e os dados estão disponíveis para visualizações, alertas e outros recursos e serviços, com base no plano da tabela.

Você pode estender o período de retenção interativo de tabelas com o plano do Google Analytics para até dois anos. Os planos Básico e Auxiliar têm um período fixo de retenção interativa de 30 dias.

Nota

Você pode reduzir o período de retenção interativo das tabelas do Google Analytics para apenas quatro dias usando a API ou a CLI. No entanto, como 31 dias de retenção interativa estão incluídos no preço de ingestão, reduzir o período de retenção abaixo de 31 dias não reduz os custos.

Para reter dados na mesma tabela além do período de retenção interativo, estenda a retenção total da tabela para até 12 anos. No final do período de retenção interativo, os dados permanecem na tabela pelo restante do período total de retenção configurado. Durante esse período - o período de retenção de longo prazo - execute um trabalho de pesquisa para recuperar os dados específicos que você precisa da tabela e disponibilizá-los para consultas interativas em uma tabela de resultados de pesquisa.

Como funcionam as modificações de retenção

Quando você reduz a retenção total de uma tabela, os Logs do Azure Monitor aguardam 30 dias antes de remover os dados, para que você possa reverter a alteração e evitar a perda de dados se tiver cometido um erro na configuração.

Quando você aumenta a retenção total, o novo período de retenção se aplica a todos os dados que já foram ingeridos na tabela e ainda não foram removidos.

Quando você altera as configurações de retenção de longo prazo de uma tabela com dados existentes, a alteração entra em vigor imediatamente.

Exemplo:

Você tem uma tabela do Google Analytics existente com 180 dias de retenção interativa e sem retenção de longo prazo.
Você altera a retenção interativa para 90 dias sem alterar o período total de retenção de 180 dias.
O Azure Monitor trata automaticamente os 90 dias restantes de retenção total como retenção de baixo custo e longo prazo, para que os dados com 90 a 180 dias não sejam perdidos.

Permissões necessárias

Ação	Permissões necessárias
Configurar retenção interativa padrão para tabelas do Google Analytics em um espaço de trabalho do Log Analytics	`Microsoft.OperationalInsights/workspaces/write`e `microsoft.operationalinsights/workspaces/tables/write` permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Colaborador do Log Analytics, por exemplo
Obter configuração de retenção por tabela para um espaço de trabalho do Log Analytics	`Microsoft.OperationalInsights/workspaces/tables/read`permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Log Analytics Reader, por exemplo

Configurar o período de retenção interativo padrão das tabelas do Google Analytics

O período de retenção interativo padrão de todas as tabelas em um espaço de trabalho do Log Analytics é de 30 dias. Você pode alterar o período interativo padrão das tabelas do Google Analytics para até dois anos modificando a configuração de retenção de dados no nível do espaço de trabalho. As tabelas Básica e Auxiliar têm um período de retenção interativo fixo de 30 dias.

A alteração da configuração padrão de retenção de dados no nível do espaço de trabalho afeta automaticamente todas as tabelas do Google Analytics às quais a configuração padrão ainda se aplica no seu espaço de trabalho. Se você já tiver alterado a retenção interativa de uma tabela específica, essa tabela não será afetada quando você alterar a configuração de retenção de dados padrão do espaço de trabalho.

Importante

Espaços de trabalho com retenção de 30 dias podem manter os dados por 31 dias. Se você precisar reter dados por 30 dias apenas para estar em conformidade com uma política de privacidade, configure a retenção padrão do espaço de trabalho para 30 dias usando a API e atualize a propriedade do immediatePurgeDataOn30Days espaço de trabalho para true. Atualmente, esta operação só é suportada usando a API Workspaces - Update.

Para definir o período de retenção interativo padrão das tabelas do Google Analytics em um espaço de trabalho do Log Analytics:

No menu Espaços de trabalho do Log Analytics no portal do Azure, selecione seu espaço de trabalho.
Selecione Uso e custos estimados no painel esquerdo.
Selecione Retenção de dados na parte superior da página.
Mova o controle deslizante para aumentar ou diminuir o número de dias e selecione OK.

Para definir o período de retenção interativo padrão das tabelas do Google Analytics em um espaço de trabalho do Log Analytics, chame a API Workspaces - Create Or Update:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Corpo do pedido

O corpo da solicitação inclui os valores na tabela a seguir.

Nome	Tipo	Description
`properties.retentionInDays`	integer	A retenção de dados do espaço de trabalho em dias. Os valores permitidos são por plano de preços. Consulte a documentação dos níveis de preços para obter detalhes.
`location`	string	A geolocalização do recurso.
`immediatePurgeDataOn30Days`	boolean	Sinalizador que indica se os dados são removidos imediatamente após 30 dias e não são recuperáveis. Aplicável apenas quando a retenção do espaço de trabalho é definida como 30 dias.

Exemplo

Este exemplo define a retenção do espaço de trabalho como padrão de 30 dias e garante que os dados sejam removidos imediatamente após 30 dias e não sejam recuperáveis.

Pedir

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

Para definir o período de retenção interativo padrão das tabelas do Google Analytics em um espaço de trabalho do Log Analytics, execute o comando az monitor log-analytics workspace update e passe o --retention-time parâmetro.

Este exemplo define a retenção interativa da tabela para 30 dias:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

Use o cmdlet Set-AzOperationalInsightsWorkspace para definir o período de retenção interativo padrão das tabelas do Google Analytics em um espaço de trabalho do Log Analytics. Este exemplo define o período de retenção interativo padrão como 30 dias:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Configurar retenção no nível da tabela

Por padrão, todas as tabelas com o plano de dados do Google Analytics herdam a configuração de retenção interativa padrão do espaço de trabalho do Log Analytics e não têm retenção de longo prazo. Você pode aumentar o período de retenção interativo das tabelas do Google Analytics para até 730 dias por um custo extra.

Para adicionar retenção de longo prazo a uma tabela com qualquer plano de dados, defina a retenção total para até 12 anos (4.383 dias). O plano de tabela auxiliar está atualmente em pré-visualização pública, durante a qual a retenção total do plano é fixada em 365 dias.

Nota

Atualmente, você pode definir a retenção total para até 12 anos por meio do portal e da API do Azure. CLI e PowerShell são limitadas a sete anos; Seguir-se-ão 12 anos de apoio.

Para modificar a configuração de retenção de uma tabela no portal do Azure:

No menu Espaços de trabalho do Log Analytics, selecione Tabelas.

A tela Tabelas lista todas as tabelas no espaço de trabalho.
Selecione o menu de contexto da tabela que deseja configurar e selecione Gerenciar tabela.
Configure as configurações de retenção interativa e retenção total na seção Configurações de retenção de dados da tela de configuração da tabela.

Para modificar a configuração de retenção de uma tabela, chame Tables - Update API:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Você pode usar PUT ou PATCH, com a seguinte diferença:

A API PUT define retentionInDays e totalRetentionInDays para o valor padrão se você não definir valores não nulos.
A API PATCH não altera os retentionInDays valores ou totalRetentionInDays se você não especificar valores.

Corpo do pedido

O corpo da solicitação inclui os valores na tabela a seguir.

Nome	Tipo	Description
properties.retentionInDays	integer	A retenção de dados da tabela em dias. Este valor pode estar entre 4 e 730. Definir essa propriedade como null aplica o período de retenção do espaço de trabalho. Para uma tabela Basic Logs, o valor é sempre 8.
propriedades.totalRetentionInDays	integer	A retenção total de dados da tabela, incluindo retenção de longo prazo. Este valor pode estar entre 4 e 730; ou 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 ou 4383. Defina essa propriedade como null se você não quiser retenção de longo prazo.

Exemplo

Este exemplo define a retenção interativa da tabela como o padrão do espaço de trabalho de 30 dias e a retenção total como dois anos, o que significa que o período de retenção de longo prazo é de 23 meses.

Pedir

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Corpo do pedido

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Response

Código de status: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

Para modificar as configurações de retenção de uma tabela, execute o comando az monitor log-analytics workspace table update e passe os --retention-time parâmetros and --total-retention-time .

Este exemplo define a retenção interativa da tabela para 30 dias e a retenção total para dois anos, o que significa que o período de retenção de longo prazo é de 23 meses:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Para reaplicar o valor de retenção interativo padrão do espaço de trabalho à tabela e redefinir sua retenção total para 0, execute o comando az monitor log-analytics workspace table update com os --retention-time parâmetros e --total-retention-time definidos como -1.

Por exemplo:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

Use o cmdlet Update-AzOperationalInsightsTable para modificar as configurações de retenção de uma tabela. Este exemplo define a retenção interativa da tabela para 30 dias e a retenção total para dois anos, o que significa que o período de retenção de longo prazo é de 23 meses:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Para reaplicar o valor de retenção interativo padrão do espaço de trabalho à tabela e redefinir sua retenção total para 0, execute o cmdlet Update-AzOperationalInsightsTable com os -RetentionInDays parâmetros e -TotalRetentionInDays definidos como -1.

Por exemplo:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Obter configurações de retenção por tabela

Para exibir as configurações de retenção de uma tabela no portal do Azure, no menu Espaços de trabalho do Log Analytics, selecione Tabelas.

A tela Tabelas mostra a retenção interativa e os períodos totais de retenção para todas as tabelas no espaço de trabalho.

Para obter a configuração de retenção de uma tabela específica (neste exemplo, SecurityEvent), chame Tables - Get API:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Para obter todas as configurações de retenção no nível da tabela em seu espaço de trabalho, não defina um nome de tabela.

Por exemplo:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

Para obter a configuração de retenção de uma tabela específica, execute o comando az monitor log-analytics workspace table show .

Por exemplo:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

Para obter a configuração de retenção de uma tabela específica, execute o cmdlet Get-AzOperationalInsightsTable .

Por exemplo:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

O que acontece com os dados quando você exclui uma tabela em um espaço de trabalho do Log Analytics?

Um espaço de trabalho do Log Analytics pode conter vários tipos de tabelas. O que acontece quando você exclui a tabela é diferente para cada um:

Tipo de tabela	Retenção de dados	Recomendações
Tabela do Azure	Uma tabela do Azure contém logs de um recurso ou dados do Azure exigidos por um serviço ou solução do Azure e não pode ser excluída. Quando você interrompe o streaming de dados do recurso, serviço ou solução, os dados permanecem no espaço de trabalho até o final do período de retenção definido para a tabela.	Para minimizar as cobranças, defina a retenção no nível da tabela para quatro dias antes de interromper o streaming de logs para a tabela.
Tabela de log personalizada (`table_CL`)	O software exclui a tabela até o final do período de retenção no nível da tabela ou do período de retenção do espaço de trabalho padrão. Durante o período de exclusão suave, você continua a pagar pela retenção de dados e pode recriar a tabela e acessar os dados configurando uma tabela com o mesmo nome e esquema. Quatorze dias após a exclusão de uma tabela personalizada, o Azure Monitor remove a configuração de retenção no nível da tabela e aplica a retenção de espaço de trabalho padrão.	Para minimizar as cobranças, defina a retenção no nível da tabela para quatro dias antes de excluir a tabela.
Tabela de resultados da pesquisa (`table_SRCH`)	Exclui a tabela e os dados imediata e permanentemente.
Tabela restaurada `(table_RST`)	Exclui o hot cache provisionado para a restauração, mas os dados da tabela de origem não são excluídos.

Tabelas de log com retenção padrão de 90 dias

Por padrão, as tabelas e AzureActivity mantêm os Usage dados por pelo menos 90 dias sem nenhum custo. Quando você aumenta a retenção do espaço de trabalho para mais de 90 dias, também aumenta a retenção dessas tabelas. Estas tabelas também estão isentas de taxas de ingestão de dados.

As tabelas relacionadas aos recursos do Application Insights também mantêm os dados por 90 dias sem nenhum custo. Você pode ajustar a retenção de cada uma dessas tabelas individualmente:

AppAvailabilityResults
AppBrowserTimings
AppDependencies
AppExceptions
AppEvents
AppMetrics
AppPageViews
AppPerformanceCounters
AppRequests
AppSystemEvents
AppTraces

Modelo de preços

A taxa para adicionar retenção interativa e retenção de longo prazo é calculada com base no volume de dados que você retém, em GB, e o número ou dias para os quais você retém os dados. Os dados de registo que têm _IsBillable == false não estão sujeitos a encargos de ingestão ou retenção.

Para obter mais informações, consulte Preços do Azure Monitor.

Próximos passos

Saiba mais sobre:

Partilhar via

Gerir a retenção de dados numa área de trabalho do Log Analytics

Retenção interativa, de longo prazo e total

Como funcionam as modificações de retenção

Permissões necessárias

Configurar o período de retenção interativo padrão das tabelas do Google Analytics

Configurar retenção no nível da tabela

Obter configurações de retenção por tabela

O que acontece com os dados quando você exclui uma tabela em um espaço de trabalho do Log Analytics?

Tabelas de log com retenção padrão de 90 dias

Modelo de preços

Próximos passos

Comentários

Recursos adicionais