Hantera tabeller på en Log Analytics-arbetsyta

Artikel
11/05/2024

Med en Log Analytics-arbetsyta kan du samla in loggdata från Azure- och icke-Azure-resurser till ett utrymme för analys, använda andra tjänster, till exempel Sentinel, och utlösa aviseringar och åtgärder, till exempel med hjälp av Azure Logic Apps. Log Analytics-arbetsytan består av tabeller som du kan konfigurera för att hantera din datamodell, dataåtkomst och loggrelaterade kostnader. Den här artikeln beskriver konfigurationsalternativen för tabeller i Azure Monitor-loggar och hur du anger tabellegenskaper baserat på dina dataanalys- och kostnadshanteringsbehov.

Tabellegenskaper

Det här diagrammet ger en översikt över tabellkonfigurationsalternativen i Azure Monitor-loggar:

Tabelltyp och schema

En tabells schema är den uppsättning kolumner som utgör tabellen, där Azure Monitor-loggar samlar in loggdata från en eller flera datakällor.

Log Analytics-arbetsytan kan innehålla följande typer av tabeller:

Tabelltyp	Data source	Schema
Azure Table	Loggar från Azure-resurser eller som krävs av Azure-tjänster och -lösningar.	Azure Monitor-loggar skapar Azure-tabeller automatiskt baserat på Azure-tjänster som du använder och diagnostikinställningar som du konfigurerar för specifika resurser. Varje Azure-tabell har ett fördefinierat schema. Du kan lägga till kolumner i en Azure-tabell för att lagra transformerade loggdata eller berika data i Azure-tabellen med data från en annan källa.
Anpassad tabell	Icke-Azure-resurser och andra datakällor, till exempel filbaserade loggar.	Du kan definiera en anpassad tabells schema baserat på hur du vill lagra data som du samlar in från en viss datakälla.
Sökresultat	Alla data som lagras på en Log Analytics-arbetsyta.	Schemat för en sökresultattabell baseras på den fråga som du definierar när du kör sökjobbet. Du kan inte redigera schemat för befintliga sökresultattabeller.
Återställde loggar	Data som lagras i en specifik tabell på en Log Analytics-arbetsyta.	En återställd loggtabell har samma schema som tabellen som du återställer loggar från. Du kan inte redigera schemat för befintliga återställde loggtabeller.

Tabellplan

Konfigurera en tabells plan baserat på hur ofta du kommer åt data i tabellen:

Analysplanen lämpar sig för kontinuerlig övervakning, realtidsidentifiering och prestandaanalys. Den här planen gör loggdata tillgängliga för interaktiva frågor med flera tabeller och används av funktioner och tjänster i 30 dagar till två år.
Basic-planen lämpar sig för felsökning och incidenthantering. Den här planen erbjuder rabatterad inmatning och optimerade frågor med en tabell i 30 dagar.
Extraplanen lämpar sig för lågtrycksdata, till exempel utförliga loggar och data som krävs för granskning och efterlevnad. Den här planen erbjuder lågkostnadsinmatning och ooptimerade frågor med en tabell i 30 dagar.

Fullständig information om tabellplaner för Azure Monitor-loggar finns i Azure Monitor-loggar: Tabellplaner.

Långsiktig kvarhållning

Långsiktig kvarhållning är en billig lösning för att behålla data som du inte använder regelbundet på din arbetsyta för efterlevnad eller tillfälliga undersökningar. Använd kvarhållningsinställningar på tabellnivå för att lägga till eller utöka långsiktig kvarhållning.

Kör ett sökjobb för att komma åt data i långsiktig kvarhållning.

Inmatningstidstransformeringar

Minska kostnaderna och analysarbetet genom att använda datainsamlingsregler för att filtrera bort och transformera data före inmatning baserat på det schema som du definierar för din anpassade tabell.

Kommentar

Tabeller med tabellplanen Auxiliary stöder för närvarande inte datatransformering. Mer information finns i Begränsningar för förhandsversionen av extratabellplan.

Visa tabellegenskaper

Kommentar

Tabellnamnet är skiftlägeskänsligt.

Så här visar och anger du tabellegenskaper i Azure Portal:

Från Log Analytics-arbetsytan väljer du Tabeller.

Skärmen Tabeller visar tabellkonfigurationsinformation för alla tabeller i Log Analytics-arbetsytan.
Välj ellipsen (...) till höger om en tabell för att öppna menyn för tabellhantering.

Tillgängliga alternativ för tabellhantering varierar beroende på tabelltyp.
1. Välj Hantera tabell för att redigera tabellegenskaperna.
2. Välj Redigera schema för att visa och redigera tabellschemat.

Om du vill visa tabellegenskaper anropar du Tabeller – Hämta API:

GET https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2021-12-01-preview

Svarstext

Namn	Type	Beskrivning
properties.plan	sträng	Tabellplanen. `Analytics`, `Basic`, eller `Auxiliary`.
properties.retentionInDays	integer	Tabellens interaktiva kvarhållning i dagar. För `Basic` och `Auxiliiary`är det här värdet 30 dagar. För `Analytics`är värdet mellan fyra och 730 dagar.
properties.totalRetentionInDays	integer	Tabellens totala datakvarhållning, inklusive interaktiv och långsiktig kvarhållning.
properties.archiveRetentionInDays	integer	Tabellens långsiktiga kvarhållningsperiod (skrivskyddad, beräknad).
properties.lastPlanModifiedDate	String	Senaste gången planen angavs för den här tabellen. Null om ingen ändring någonsin har gjorts från standardinställningarna (skrivskyddad).

Exempelbegäran

GET https://management.azure.com/subscriptions/ContosoSID/resourcegroups/ContosoRG/providers/Microsoft.OperationalInsights/workspaces/ContosoWorkspace/tables/ContainerLogV2?api-version=2021-12-01-preview

Exempelsvar

Statuskod: 200

{
    "properties": {
        "retentionInDays": 8,
        "totalRetentionInDays": 8,
        "archiveRetentionInDays": 0,
        "plan": "Basic",
        "lastPlanModifiedDate": "2022-01-01T14:34:04.37",
        "schema": {...},
        "provisioningState": "Succeeded"        
    },
    "id": "subscriptions/ContosoSID/resourcegroups/ContosoRG/providers/Microsoft.OperationalInsights/workspaces/ContosoWorkspace",
    "name": "ContainerLogV2"
}

Om du vill ange tabellegenskaper anropar du API:et Tabeller – Skapa eller uppdatera.

Om du vill visa tabellegenskaper med Hjälp av Azure CLI kör du kommandot az monitor log-analytics workspace table show .

Till exempel:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --output table

Om du vill ange tabellegenskaper med Hjälp av Azure CLI kör du kommandot az monitor log-analytics workspace table update .

Om du vill visa tabellegenskaper med PowerShell kör du:

Invoke-AzRestMethod -Path "/subscriptions/ContosoSID/resourcegroups/ContosoRG/providers/microsoft.operationalinsights/workspaces/ContosoWorkspace/tables/Heartbeat?api-version=2021-12-01-preview" -Method GET

Exempelsvar

{
  "properties": {
    "totalRetentionInDays": 30,
    "archiveRetentionInDays": 0,
    "plan": "Analytics",
    "retentionInDaysAsDefault": true,
    "totalRetentionInDaysAsDefault": true,
    "schema": {
      "tableSubType": "Any",
      "name": "Heartbeat",
      "tableType": "Microsoft",
      "standardColumns": [
        {
          "name": "TenantId",
          "type": "guid",
          "description": "ID of the workspace that stores this record.",
          "isDefaultDisplay": true,
          "isHidden": true
        },
        {
          "name": "SourceSystem",
          "type": "string",
          "description": "Type of agent the data was collected from. Possible values are OpsManager (Windows agent) or Linux.",
          "isDefaultDisplay": true,
          "isHidden": false
        },
        {
          "name": "TimeGenerated",
          "type": "datetime",
          "description": "Date and time the record was created.",
          "isDefaultDisplay": true,
          "isHidden": false
        },
        <OMITTED>
        {
          "name": "ComputerPrivateIPs",
          "type": "dynamic",
          "description": "The list of private IP addresses of the computer.",
          "isDefaultDisplay": true,
          "isHidden": false
        }
      ],
      "solutions": [
        "LogManagement"
      ],
      "isTroubleshootingAllowed": false
    },
    "provisioningState": "Succeeded",
    "retentionInDays": 30
  },
  "id": "/subscriptions/{guid}/resourceGroups/{rg name}/providers/Microsoft.OperationalInsights/workspaces/{ws id}/tables/Heartbeat",
  "name": "Heartbeat"
}

Använd cmdleten Update-AzOperationalInsightsTable för att ange tabellegenskaper.

Nästa steg

Lär dig att:

Dela via