Retenção de dados e arquivamento nos Logs do Azure Monitor

O Azure Monitor Logs retém dados em dois estados:

• Retenção interativa: permite reter logs do Google Analytics para consultas interativas de até 2 anos.
• Arquivar: permite que você mantenha dados mais antigos e menos usados em seu espaço de trabalho a um custo reduzido. Você pode acessar dados no estado arquivado usando trabalhos de pesquisa e restauração. Você pode manter os dados arquivados por até 12 anos.

Este artigo descreve como configurar a retenção e o arquivamento de dados.

Como funcionam a retenção e o arquivamento

Cada espaço de trabalho tem uma configuração de retenção padrão que é aplicada a todas as tabelas. Você pode definir uma configuração de retenção diferente em tabelas individuais.

Durante o período de retenção interativa, os dados estão disponíveis para monitoramento, solução de problemas e análise. Quando você não usa mais os logs, mas ainda precisa manter os dados para conformidade ou investigação ocasional, arquive os logs para economizar custos.

Os dados arquivados permanecem na mesma tabela, juntamente com os dados disponíveis para consultas interativas. Quando você define um período de retenção total maior do que o período de retenção interativo, o Log Analytics arquiva automaticamente os dados relevantes imediatamente no final do período de retenção.

Você pode acessar dados arquivados executando um trabalho de pesquisa ou restaurando logs arquivados.

Nota

O período de arquivamento só pode ser definido no nível da tabela, não no nível do espaço de trabalho.

Ajustes nas configurações de retenção e arquivamento

Quando você encurta uma configuração de retenção existente, o Azure Monitor aguarda 30 dias antes de remover os dados, para que você possa reverter a alteração e evitar a perda de dados no caso de um erro na configuração. Você pode limpar os dados imediatamente quando necessário.

Quando você aumenta a configuração de retenção, o novo período de retenção se aplica a todos os dados que já foram ingeridos na tabela e ainda não foram limpos ou removidos.

Se você alterar as configurações de arquivamento em uma tabela com dados existentes, os dados relevantes na tabela também serão afetados imediatamente. Por exemplo, você pode ter uma tabela existente com 180 dias de retenção interativa e sem período de arquivamento. Você decide alterar a configuração de retenção para 90 dias de retenção interativa sem alterar o período total de retenção de 180 dias. O Log Analytics arquiva imediatamente todos os dados com mais de 90 dias e nenhum deles é excluído.

O que acontece com os dados quando você exclui uma tabela em um espaço de trabalho do Log Analytics

Um espaço de trabalho do Log Analytics pode conter vários tipos de tabelas. O que acontece quando você exclui a tabela é diferente para cada um:

Tipo de tabela	Retenção de dados	Recomendações
Tabela do Azure	Uma tabela do Azure contém logs de um recurso ou dados do Azure exigidos por um serviço ou solução do Azure e não pode ser excluída. Quando você interrompe o streaming de dados do recurso, serviço ou solução, os dados permanecem no espaço de trabalho até o final do período de retenção definido para a tabela ou para a retenção do espaço de trabalho padrão, se você não definir a retenção no nível da tabela.	Para minimizar as cobranças, defina a retenção no nível da tabela para quatro dias antes de interromper o streaming de logs para a tabela.
Tabela restaurada(table_RST)	Exclui o hot cache provisionado para a restauração, mas os dados da tabela de origem não são excluídos.
Tabela de resultados da pesquisa (table_SRCH)	Exclui a tabela e os dados imediata e permanentemente.
Tabela de log personalizada (table_CL)	O software exclui a tabela até o final do período de retenção no nível da tabela ou do período de retenção do espaço de trabalho padrão. Durante o período de exclusão suave, você continua a pagar pela retenção de dados e pode recriar a tabela e acessar os dados configurando uma tabela com o mesmo nome e esquema. Quatorze dias após a exclusão de uma tabela personalizada, o Azure Monitor remove a configuração de retenção no nível da tabela e aplica a retenção de espaço de trabalho padrão.	Para minimizar as cobranças, defina a retenção no nível da tabela para quatro dias antes de excluir a tabela.

Permissões necessárias

Ação	Permissões necessárias
Configurar políticas de retenção e arquivamento de dados para um espaço de trabalho do Log Analytics	Microsoft.OperationalInsights/workspaces/writee microsoft.operationalinsights/workspaces/tables/write permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Colaborador do Log Analytics, por exemplo
Obter a política de retenção e arquivamento por tabela para um espaço de trabalho do Log Analytics	Microsoft.OperationalInsights/workspaces/tables/readpermissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Log Analytics Reader, por exemplo
Limpar dados de um espaço de trabalho do Log Analytics	Microsoft.OperationalInsights/workspaces/purge/actionpermissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna Colaborador do Log Analytics, por exemplo

Configurar a retenção de espaço de trabalho padrão

Você pode definir a retenção padrão de um espaço de trabalho do Log Analytics no portal do Azure para 30, 31, 60, 90, 120, 180, 270, 365, 550 e 730 dias. Você pode aplicar uma configuração diferente a tabelas específicas configurando a retenção e o arquivamento no nível da tabela. Se você estiver no nível gratuito , precisará atualizar para o nível pago para alterar o período de retenção de dados.

Importante

Os espaços de trabalho com retenção de 30 dias podem manter os dados por 31 dias. Se você precisar reter dados por 30 dias apenas para estar em conformidade com uma política de privacidade, configure a retenção padrão do espaço de trabalho para 30 dias usando a API e atualize a propriedade do immediatePurgeDataOn30Days espaço de trabalho para true. Atualmente, esta operação só é suportada usando a API Workspaces - Update.

Portal

Para definir a retenção de espaço de trabalho padrão:

1. No menu Espaços de trabalho do Log Analytics no portal do Azure, selecione seu espaço de trabalho.

2. Selecione Uso e custos estimados no painel esquerdo.

3. Selecione Retenção de dados na parte superior da página.

   

4. Mova o controle deslizante para aumentar ou diminuir o número de dias e selecione OK.

API

Para definir a duração da retenção e do arquivamento de uma tabela, chame a API Workspaces - Create Or Update:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

Corpo do pedido

O corpo da solicitação inclui os valores na tabela a seguir.

Nome	Tipo	Description
properties.retentionInDays	integer	A retenção de dados do espaço de trabalho em dias. Os valores permitidos são por plano de preços. Consulte a documentação dos níveis de preços para obter detalhes.
location	string	A geolocalização do recurso.
immediatePurgeDataOn30Days	boolean	Sinalizador que indica se os dados são removidos imediatamente após 30 dias e não são recuperáveis. Aplicável apenas quando a retenção do espaço de trabalho é definida como 30 dias.

Exemplo

Este exemplo define a retenção do espaço de trabalho como o padrão do espaço de trabalho de 30 dias e garante que os dados sejam removidos imediatamente após 30 dias e não sejam recuperáveis.

Pedir

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}?api-version=2023-09-01

{
  "properties": {
    "retentionInDays": 30,
    "features": {"immediatePurgeDataOn30Days": true}
    },
"location": "australiasoutheast"
}

**Response**

Status code: 200

```http
{
  "properties": {
    ...
    "retentionInDays": 30,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "immediatePurgeDataOn30Days": true,
      ...
    },
    ...

CLI

Para definir a duração de retenção e arquivamento de uma tabela, execute o comando az monitor log-analytics workspace update e passe o --retention-time parâmetro.

Este exemplo define a retenção interativa da tabela para 30 dias e a retenção total para dois anos, o que significa que a duração do arquivamento é de 23 meses:

az monitor log-analytics workspace update --resource-group myresourcegroup --retention-time 30 --workspace-name myworkspace

PowerShell

Use o cmdlet Set-AzOperationalInsightsWorkspace para definir a retenção para um espaço de trabalho. Este exemplo define a retenção do espaço de trabalho para 30 dias:

Set-AzOperationalInsightsWorkspace -ResourceGroupName "myResourceGroup" -Name "MyWorkspace" -RetentionInDays 30

Configurar retenção e arquivamento no nível da tabela

Por padrão, todas as tabelas em seu espaço de trabalho herdam a configuração de retenção interativa do espaço de trabalho e não têm arquivamento. Você pode modificar as configurações de retenção e arquivamento de tabelas individuais, exceto para espaços de trabalho no nível de preço da Avaliação Gratuita herdada.

O plano de dados de log do Google Analytics inclui 31 dias de retenção interativa para espaços de trabalho em níveis de preços da geração atual (níveis de pagamento conforme o uso e de compromisso, bem como os níveis autônomo e por nó herdados). Você pode aumentar o período de retenção interativo para até 730 dias a um custo adicional. Se necessário, você pode reduzir o período de retenção interativo para apenas quatro dias usando a API ou a CLI. No entanto, como 31 dias de retenção interativa estão incluídos no preço de ingestão, reduzir o período de retenção abaixo de 31 dias não reduz os custos. Você pode definir o período de arquivamento para um tempo total de retenção de até 4.383 dias (12 anos).

Nota

Atualmente, você pode definir a retenção total para até 12 anos por meio do portal e da API do Azure. CLI e PowerShell são limitadas a sete anos; Seguir-se-ão 12 anos de apoio.

Portal

Para definir a duração da retenção e do arquivamento de uma tabela no portal do Azure:

1. No menu Espaços de trabalho do Log Analytics, selecione Tabelas.

   A tela Tabelas lista todas as tabelas no espaço de trabalho.

2. Selecione o menu de contexto da tabela que deseja configurar e selecione Gerenciar tabela.

   

3. Configure a duração da retenção e do arquivamento na seção Configurações de retenção de dados da tela de configuração da tabela.

   

API

Para definir a duração da retenção e do arquivamento de uma tabela, chame a API Tables - Update:

PATCH https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{tableName}?api-version=2022-10-01

Nota

Você não especifica explicitamente a duração do arquivo na chamada da API. Em vez disso, você define a retenção total, que é a soma da retenção interativa mais a duração do arquivamento.

Você pode usar PUT ou PATCH, com a seguinte diferença:

• A API PUT define retentionInDays e totalRetentionInDays para o valor padrão se você não definir valores não nulos.
• A API PATCH não altera os retentionInDays valores ou totalRetentionInDays se você não especificar valores.

Corpo do pedido

O corpo da solicitação inclui os valores na tabela a seguir.

Nome	Tipo	Description
properties.retentionInDays	integer	A retenção de dados da tabela em dias. Este valor pode estar entre 4 e 730. Definir essa propriedade como null aplica o período de retenção do espaço de trabalho. Para uma tabela Basic Logs, o valor é sempre 8.
propriedades.totalRetentionInDays	integer	A retenção total de dados da tabela, incluindo o período de arquivamento. Este valor pode estar entre 4 e 730; ou 1095, 1460, 1826, 2191, 2556, 2922, 3288, 3653, 4018 ou 4383. Defina essa propriedade como null se não quiser arquivar dados.

Exemplo

Este exemplo define a retenção interativa da tabela como o padrão do espaço de trabalho de 30 dias e a retenção total como dois anos, o que significa que a duração do arquivamento é de 23 meses.

Pedir

PATCH https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/CustomLog_CL?api-version=2022-10-01

Corpo do pedido

{
    "properties": {
        "retentionInDays": null,
        "totalRetentionInDays": 730
    }
}

Response

Código de status: 200

{
    "properties": {
        "retentionInDays": 30,
        "totalRetentionInDays": 730,
        "archiveRetentionInDays": 700,
        ...        
    },
   ...
}

CLI

Para definir a duração da retenção e do arquivamento de uma tabela, execute o comando az monitor log-analytics workspace table update e passe os --retention-time parâmetros and --total-retention-time .

Este exemplo define a retenção interativa da tabela para 30 dias e a retenção total para dois anos, o que significa que a duração do arquivamento é de 23 meses:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name AzureMetrics --retention-time 30 --total-retention-time 730

Para reaplicar o valor de retenção interativo padrão do espaço de trabalho à tabela e redefinir sua retenção total para 0, execute o comando az monitor log-analytics workspace table update com os --retention-time parâmetros e --total-retention-time definidos como -1.

Por exemplo:

az monitor log-analytics workspace table update --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name Syslog --retention-time -1 --total-retention-time -1

PowerShell

Use o cmdlet Update-AzOperationalInsightsTable para definir a duração da retenção e do arquivamento de uma tabela. Este exemplo define a retenção interativa da tabela para 30 dias e a retenção total para dois anos, o que significa que a duração do arquivamento é de 23 meses:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName AzureMetrics -RetentionInDays 30 -TotalRetentionInDays 730

Para reaplicar o valor de retenção interativo padrão do espaço de trabalho à tabela e redefinir sua retenção total para 0, execute o cmdlet Update-AzOperationalInsightsTable com os -RetentionInDays parâmetros e -TotalRetentionInDays definidos como -1.

Por exemplo:

Update-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -TableName Syslog -RetentionInDays -1 -TotalRetentionInDays -1

Obter configurações de retenção e arquivamento por tabela

Portal

Para exibir a duração da retenção e do arquivamento de uma tabela no portal do Azure, no menu Espaços de trabalho do Log Analytics, selecione Tabelas.

A tela Tabelas mostra o período interativo de retenção e arquivamento de todas as tabelas no espaço de trabalho.

API

Para obter a configuração de retenção de uma tabela específica (neste exemplo, SecurityEvent), chame Tables - Get API:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables/SecurityEvent?api-version=2022-10-01

Para obter todas as configurações de retenção no nível da tabela em seu espaço de trabalho, não defina um nome de tabela.

Por exemplo:

GET /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/MyResourceGroupName/providers/Microsoft.OperationalInsights/workspaces/MyWorkspaceName/Tables?api-version=2022-10-01

CLI

Para obter a configuração de retenção de uma tabela específica, execute o comando az monitor log-analytics workspace table show .

Por exemplo:

az monitor log-analytics workspace table show --subscription ContosoSID --resource-group ContosoRG --workspace-name ContosoWorkspace --name SecurityEvent

PowerShell

Para obter a configuração de retenção de uma tabela específica, execute o cmdlet Get-AzOperationalInsightsTable .

Por exemplo:

Get-AzOperationalInsightsTable -ResourceGroupName ContosoRG -WorkspaceName ContosoWorkspace -tableName SecurityEvent

Tabelas com períodos de retenção exclusivos

Por padrão, Usage dois tipos de dados e AzureActivity, mantêm os dados por pelo menos 90 dias sem nenhum custo. Quando você aumenta a retenção do espaço de trabalho para mais de 90 dias, também aumenta a retenção desses tipos de dados. Estas tabelas também estão isentas de taxas de ingestão de dados.

As tabelas relacionadas aos recursos do Application Insights também mantêm os dados por 90 dias sem nenhum custo. Você pode ajustar a retenção de cada uma dessas tabelas individualmente:

• AppAvailabilityResults
• AppBrowserTimings
• AppDependencies
• AppExceptions
• AppEvents
• AppMetrics
• AppPageViews
• AppPerformanceCounters
• AppRequests
• AppSystemEvents
• AppTraces

Modelo de preços

A taxa pela manutenção de logs arquivados é calculada com base no volume de dados arquivados, em GB, e no número ou dias para os quais você arquiva os dados. Os dados de registo que têm _IsBillable == false não estão sujeitos a encargos de retenção ou arquivamento.

Para obter mais informações, consulte Preços do Azure Monitor.

Próximos passos

Saiba mais sobre:

• Gerir dados pessoais nos Registos do Azure Monitor
• Criar um trabalho de pesquisa para recuperar dados de arquivo que correspondam a critérios específicos
• Restaurar dados de arquivamento dentro de um intervalo de tempo específico