Översikt över Log Analytics-arbetsyta
En Log Analytics-arbetsyta är en unik miljö för loggdata från Azure Monitor och andra Azure-tjänster, till exempel Microsoft Sentinel och Microsoft Defender för molnet. Varje arbetsyta har en egen datalagringsplats och konfiguration men kan kombinera data från flera tjänster. Den här artikeln innehåller en översikt över begrepp som rör Log Analytics-arbetsytor och innehåller länkar till annan dokumentation för mer information om var och en.
Viktigt!
Du kan se termen Microsoft Sentinel-arbetsyta som används i Microsoft Sentinel-dokumentationen . Den här arbetsytan är samma Log Analytics-arbetsyta som beskrivs i den här artikeln, men den är aktiverad för Microsoft Sentinel. Alla data på arbetsytan omfattas av Microsoft Sentinel-priser enligt beskrivningen i avsnittet Kostnad .
Du kan använda en enda arbetsyta för all datainsamling. Du kan också skapa flera arbetsytor baserat på krav som:
- Datans geografiska plats.
- Åtkomsträttigheter som definierar vilka användare som kan komma åt data.
- Konfigurationsinställningar som prisnivåer och datakvarhållning.
Information om hur du skapar en ny arbetsyta finns i Skapa en Log Analytics-arbetsyta i Azure-portalen. Mer information om hur du skapar flera arbetsytor finns i Designa en Log Analytics-arbetsytekonfiguration.
Datastruktur
Varje arbetsyta innehåller flera tabeller som är ordnade i separata kolumner med flera rader med data. Varje tabell definieras av en unik uppsättning kolumner. Rader med data som tillhandahålls av datakällan delar dessa kolumner. Loggfrågor definierar datakolumner för att hämta och tillhandahålla utdata till olika funktioner i Azure Monitor och andra tjänster som använder arbetsytor.
Varning
Tabellnamn används i faktureringssyfte så att de inte ska innehålla känslig information.
Kostnad
Det finns ingen direkt kostnad för att skapa eller underhålla en arbetsyta. Du debiteras för de data som skickas till den, vilket även kallas datainmatning. Du debiteras för hur länge dessa data lagras, vilket annars kallas datakvarhållning. Dessa kostnader kan variera beroende på loggdataplanen för varje tabell, enligt beskrivningen i Loggdataplan.
Information om priser finns i Prissättning för Azure Monitor. Vägledning om hur du minskar dina kostnader finns i Metodtips för Azure Monitor – Kostnadshantering. Om du använder din Log Analytics-arbetsyta med andra tjänster än Azure Monitor kan du läsa dokumentationen för dessa tjänster för prisinformation.
DCR för arbetsytetransformering
Datainsamlingsregler (DCR) som definierar data som kommer till Azure Monitor kan innehålla transformeringar som gör att du kan filtrera och transformera data innan de matas in på arbetsytan. Eftersom alla datakällor ännu inte stöder DCR kan varje arbetsyta ha en DCR för arbetsytetransformering.
Transformeringar i dcr för arbetsytetransformering definieras för varje tabell i en arbetsyta och gäller för alla data som skickas till den tabellen, även om de skickas från flera källor. Dessa transformeringar gäller endast för arbetsflöden som inte redan använder en DCR. Azure Monitor-agenten använder till exempel en DCR för att definiera data som samlas in från virtuella datorer. Dessa data kommer inte att omfattas av några inmatningstidstransformeringar som definierats på arbetsytan.
Du kan till exempel ha diagnostikinställningar som skickar resursloggar för olika Azure-resurser till din arbetsyta. Du kan skapa en transformering för tabellen som samlar in de resursloggar som filtrerar dessa data endast för poster som du vill använda. Den här metoden sparar inmatningskostnaden för poster som du inte behöver. Du kanske också vill extrahera viktiga data från vissa kolumner och lagra dem i andra kolumner på arbetsytan för att stödja enklare frågor.
Datakvarhållning och arkivering
Data i varje tabell på en Log Analytics-arbetsyta behålls under en angiven tidsperiod varefter de antingen tas bort eller arkiveras med en reducerad kvarhållningsavgift. Ange kvarhållningstiden för att balansera dina krav på att ha data tillgängliga, vilket minskar kostnaden för datakvarhållning.
För att få åtkomst till arkiverade data måste du först hämta data från dem i en analysloggtabell med någon av följande metoder:
| Metod | beskrivning |
|---|---|
| Sökjobb | Hämta data som matchar specifika villkor. |
| Återställa | Hämta data från ett visst tidsintervall. |
Behörigheter
Behörighet att komma åt data på en Log Analytics-arbetsyta definieras av åtkomstkontrollläget, vilket är en inställning på varje arbetsyta. Du kan ge användarna explicit åtkomst till arbetsytan med hjälp av en inbyggd eller anpassad roll. Eller så kan du tillåta åtkomst till data som samlas in för Azure-resurser till användare med åtkomst till dessa resurser.