在 Azure 監視器記錄中建立和管理專用叢集

  • 發行項

將 Log Analytics 工作區連結至 Azure 監視器中的專用叢集可提供進階功能和更高的查詢使用率。 叢集每天至少需要 100 GB 的擷取承諾。 您可以從專用叢集連結和取消連結工作區，而不會中斷任何數據遺失或服務。

進階功能

需要專用叢集的功能：

  • 客戶管理的金鑰 - 使用您提供的金鑰加密叢集資料並控制。
  • Lockbox - 控制 Microsoft 支援工程師存取您的數據要求。
  • 雙重加密 - 防範其中一種加密演算法或密鑰可能遭到入侵的案例。 在此情況下，額外的加密層會繼續保護您的數據。
  • 跨查詢優化 - 當工作區位於相同叢集時，跨工作區查詢的執行速度會更快。
  • 成本優化 - 將相同區域中的工作區連結至叢集，以取得所有工作區的承諾層折扣，甚至是符合承諾層折扣資格的低擷取工作區。
  • 可用性區域 - 藉由依賴不同實體位置的數據中心，配備獨立電源、冷卻和網路功能，保護您的數據免於數據中心故障。 區域和獨立基礎結構中的實體區隔使得事件的可能性要低得多，因為工作區可以依賴來自任何區域的資源。 Azure 監視器可用性區域 涵蓋服務更廣泛的部分，並在您的區域中可用時，自動擴充您的 Azure 監視器復原能力。 根據預設，Azure 監視器會在支持的區域中建立專用叢集作為可用性區域啟用 （isAvailabilityZonesEnabled： 'true'）。 目前所有區域都不支援專用叢集可用性區域 。
  • 從 Azure 事件中樞 擷取 - 可讓您直接從事件中樞內嵌數據到Log Analytics工作區。 專用叢集可讓您在從所有連結工作區擷取並符合承諾用量層時使用功能。

叢集定價模式

Log Analytics 專用叢集使用承諾層定價模式，每天至少 100 GB。 層層級以上的任何使用量，會根據該承諾用量層級的每 GB 費率產生費用。 如需專用叢集的定價詳細數據，請參閱 Azure 監視器記錄定價詳細數據。 承諾用量層在選取承諾用量層的時間有 31 天的承諾期間。

必要條件

  • 專用叢集每天至少需要 100 GB 的擷取承諾。
  • 建立專用叢集時，您無法將它命名為與過去兩周內刪除的叢集同名。

所需的權限

若要執行叢集相關動作，您需要下列許可權：

動作 需要的許可權或角色
建立專用叢集 Microsoft.Resources/deployments/*和Microsoft.OperationalInsights/clusters/write許可權，如 Log Analytics 參與者內建角色提供，例如
變更叢集屬性 Microsoft.OperationalInsights/clusters/write許可權，如Log Analytics參與者內建角色提供，例如
將工作區連結至叢集 Microsoft.OperationalInsights/clusters/write、Microsoft.OperationalInsights/workspaces/write、 和 Microsoft.OperationalInsights/workspaces/linkedservices/write 許可權，如 Log Analytics 參與者內建角色所提供，例如
檢查工作區連結狀態 Microsoft.OperationalInsights/workspaces/read工作區的許可權，例如Log Analytics讀取器內建角色所提供的許可權
取得叢集或檢查叢集的布建狀態 Microsoft.OperationalInsights/clusters/read許可權，如 Log Analytics 讀取器內建角色提供，例如
更新叢集中的承諾用量層或 billingType Microsoft.OperationalInsights/clusters/write許可權，如Log Analytics參與者內建角色提供，例如
授與必要的許可權 具有*/write許可權的擁有者或參與者角色，或具有Microsoft.OperationalInsights/*許可權的Log Analytics參與者內建角色
從叢集取消連結工作區 Microsoft.OperationalInsights/workspaces/linkedServices/delete許可權，如Log Analytics參與者內建角色提供，例如
刪除專用叢集 Microsoft.OperationalInsights/clusters/delete許可權，如Log Analytics參與者內建角色提供，例如

如需 Log Analytics 許可權的詳細資訊，請參閱 管理 Azure 監視器中記錄數據和工作區的存取權。

建立專用叢集

建立新的專用叢集時，請提供下列屬性：

  • ClusterName：資源群組必須是唯一的。
  • ResourceGroupName：使用中央 IT 資源群組，因為組織中的許多小組通常會共用叢集。 如需更多設計考慮，請檢閱 設計Log Analytics工作區設定。
  • 地點
  • SkuCapacity：您可以將承諾層設定為 100、200、300、400、500、1000、2000、5000、10000、25000、每天 50000 GB。 CLI 中支援的最低承諾用量層級目前為 500。 使用 REST 來設定最低 100 個承諾用量層級。 如需叢集成本的詳細資訊，請參閱 Dedicate 叢集。
  • 受控識別：叢集支援兩 種受控識別類型：

    • 系統指派的受控識別 - 當身 type 分識別設定為 「SystemAssigned」 時，會在叢集建立時自動產生。 此身分識別稍後可用來將記憶體存取權授與 金鑰保存庫 包裝和解除包裝作業。

      叢集 REST 呼叫中的身分識別

      {
  "identity": {
    "type": "SystemAssigned"
    }
}

    • 使用者指派的受控識別 - 可讓您在叢集建立時設定客戶管理的密鑰，在叢集建立之前授與 金鑰保存庫 的許可權。

      叢集 REST 呼叫中的身分識別

      {
"identity": {
  "type": "UserAssigned",
    "userAssignedIdentities": {
      "subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/UserAssignedIdentities/<cluster-assigned-managed-identity>"
    }
  }  
}

建立叢集資源之後，您可以編輯 sku、*keyVaultProperties 或 billingType 等屬性。 請參閱下方的詳細數據。

刪除的叢集需要兩周的時間才能完全移除。 每個訂用帳戶和區域最多可以有七個叢集、五個作用中，以及過去兩周刪除的兩個叢集。

注意

叢集建立會觸發資源配置和布建。 此作業可能需要數小時才能完成。 不論數據擷取為何，專用叢集都會計費，建議您準備部署以加速布建和工作區連結至叢集。 驗證下列項目：

  • 識別要連結至叢集的初始工作區清單
  • 您具有訂用帳戶的許可權，該訂用帳戶適用於叢集和要連結的任何工作區

N/A

檢查叢集布建狀態

Log Analytics 叢集的布建需要一段時間才能完成。 使用下列其中一種方法來檢查 ProvisioningState 屬性。 此值為 ProvisioningAccount ，而布建完成時為 Succeeded 。

N/A

注意

  • 只有在Log Analytics叢集布建完成之後，才能執行連結工作區。
  • 將工作區連結至叢集牽涉到同步處理多個後端元件和快取凍結，最多可能需要兩小時的時間。
  • 連結 Log Analytics 工作區工作區時，工作區計費方案已變更為 LACluster，而您應該移除工作區範本中的 SKU，以避免在工作區部署期間發生衝突。
  • 除了叢集方案所控管的計費層面以外，所有工作區組態和查詢層面在鏈接期間和之後都會保持不變。

您需要工作區和叢集資源的「寫入」許可權，才能進行工作區連結作業：

  • 在工作區中： Microsoft.OperationalInsights/workspaces/write
  • 在叢集資源中： Microsoft.OperationalInsights/clusters/write

Log Analytics 工作區連結至專用叢集之後，傳送至工作區的新數據會內嵌至您的專用叢集，而先前內嵌的數據會保留在 Log Analytics 叢集中。 連結工作區不會影響工作區作業，包括擷取和查詢體驗。 Log Analytics 查詢引擎會自動從舊叢集和新叢集縫合數據，而且查詢的結果已完成。

使用客戶管理的金鑰設定專用叢集時，新的內嵌數據會使用您的密鑰加密，而較舊的數據仍會使用 Microsoft 管理的金鑰 （MMK） 加密。 Log Analytics 會擷取密鑰組態，而且跨舊和新數據加密的查詢會順暢地執行。

叢集可以連結至最多 1,000 個工作區，且工作區位於具有叢集的相同區域中。 工作區無法連結至每月兩次以上的叢集，以防止數據分散。

工作區和叢集可以位於不同的訂用帳戶中。 如果 Azure Lighthouse 用來將工作區和叢集對應至單一租使用者，則工作區和叢集可能會位於不同的租使用者中。

使用下列步驟將工作區連結至叢集。 您可以使用自動化連結多個工作區：

N/A

使用客戶管理的金鑰設定叢集時，在連結作業完成之後內嵌至工作區的數據會以您的受控密鑰加密。 工作區連結作業最多可能需要 90 分鐘才能完成，而且您可以將 Get 要求傳送至工作區，並觀察 clusterResourceId 屬性是否存在於功能下的回應中，以檢查狀態。

  1. 開啟 Log Analytics 工作區功能表，然後選取您的工作區。
  2. 在 [概 觀] 頁面上，選取 [ JSON 檢視]。

變更叢集屬性

建立叢集資源並完全佈建之後，您可以使用 CLI、PowerShell 或 REST API 來編輯叢集屬性。 您可以在佈建叢集之後設定的屬性包括：

  • keyVaultProperties - 包含具有下列參數的 Azure 金鑰保存庫 密鑰：KeyVaultUri、KeyName、KeyVersion。 請參閱 使用金鑰標識碼詳細資料更新叢集。
  • 身分識別 - 用來向 金鑰保存庫 進行驗證的身分識別。 這可以是系統指派或使用者指派。
  • billingType - 叢集資源及其數據的計費屬性。 包含下列值：
    • 叢集 （預設值）-您的叢集成本會歸為叢集資源。
    • Workspaces--您的叢集成本會依比例歸因於叢集中的工作區，如果當天的總內嵌數據位於承諾層之下，叢集資源會按部分使用量計費。 若要深入瞭解叢集定價模式，請參閱 Log Analytics專用叢集 。

重要

叢集更新不應在相同的作業中包含身分識別和密鑰標識碼詳細數據。 如果您需要更新兩者，更新應該會連續兩個作業。

注意

CLI 不支援 billingType 屬性。

取得資源群組中的所有叢集

N/A

取得訂用帳戶中的所有叢集

N/A

更新叢集中的承諾用量層

當連結工作區的數據磁碟區隨著時間變更時，您可以適當地更新承諾層層級，以將成本優化。 層是以 GB 為單位來指定，而且值可以是 100、200、300、400、500、1000、2000、5000、5000、10000、25000、每天 50000 GB。 您不需要提供完整的 REST 要求本文，但必須包含 SKU。

在承諾期間，您可以變更為較高的承諾用量層級，這會重新啟動 31 天的承諾期間。 在完成承諾期間之前，您無法回到隨用隨付或降低承諾用量層級。

N/A

更新叢集中的 billingType

billingType 屬性會決定叢集及其數據的計費屬性：

  • 叢集 （預設值） -- 計費屬性為叢集資源
  • 工作區 -- 計費會依比例歸因於連結的工作區。 當來自所有連結工作區的數據磁碟區低於承諾層層級時，剩餘磁碟區的帳單會歸因於叢集

N/A

您可以隨時從叢集取消連結工作區。 工作區定價層會變更為每 GB、在取消連結作業保留在叢集中之前內嵌至叢集的數據，而工作區的新數據會擷取至Log Analytics。

警告

取消連結工作區並不會將工作區數據移出叢集。 連結至叢集時針對工作區收集的任何數據，都會在工作區中定義的保留期間保留在叢集中，而且只要不會刪除叢集即可存取。

取消連結工作區且服務順暢地執行跨叢集查詢時，查詢不會受到影響。 如果叢集已使用客戶管理的密鑰 （CMK） 進行設定，則會在連結時擷取至工作區的數據，仍會使用您的密鑰加密並可供存取，而您的密鑰和 金鑰保存庫 許可權仍維持不變。

注意

  • 特定工作區在一個月內有兩個鏈接作業的限制，以防止數據分散到叢集。 如果您達到限制，請連絡支持人員。
  • 未連結的工作區會移至隨用隨付定價層。

使用下列命令從叢集取消連結工作區：

N/A

刪除叢集

您必須擁有 叢集資源的寫入 許可權。

叢集刪除作業應該謹慎完成，因為作業無法復原。 所有從連結工作區擷取至叢集的數據，都會永久刪除。

叢集的計費會在刪除叢集時停止，而不論叢集中定義的 31 天承諾用量層為何。

如果您刪除具有連結工作區的叢集，工作區會自動從叢集取消連結，工作區會移至隨用隨付定價層，而工作區的新數據會改為內嵌至 Log Analytics 叢集。 您可以在工作區連結至叢集之前查詢工作區的時間範圍，並在取消鏈接之後，服務順暢地執行跨叢集查詢。

注意

  • 每個訂用帳戶和區域有七個叢集的限制，五個作用中，加上過去兩周已刪除的兩個叢集。
  • 叢集的名稱在刪除後兩周仍保留，且無法用於建立新的叢集。

使用下列命令來移除叢集：

N/A

限制和條件約束

  • 每個區域和訂用帳戶最多可以建立五個作用中的叢集。

  • 每個訂用帳戶和區域最多允許七個叢集，五個作用中，加上過去 2 周刪除的兩個叢集。

  • 最多可以連結 1,000 個 Log Analytics 工作區至叢集。

  • 在 30 天內，最多允許特定工作區上的兩個工作區連結作業。

  • 目前不支援將叢集移至另一個資源群組或訂用帳戶。

  • 不支援將叢集移至另一個區域。

  • 叢集更新不應在相同的作業中包含身分識別和密鑰標識碼詳細數據。 如果您需要更新這兩者，更新應該在兩個連續作業中。

  • 加密箱目前在中國無法使用。

  • 雙精度浮點加密 會自動設定為在支持區域中從 2020 年 10 月建立的叢集。 您可以藉由在叢集上傳送 GET 要求，並觀察 isDoubleEncryptionEnabled 值為 true 已啟用 Double 加密的叢集，以確認叢集是否已設定為雙重加密。

    • 如果您建立叢集並收到錯誤「區域名稱不支援叢集雙重加密」，您仍然可以藉由在 REST 要求本文中新增 "properties": {"isDoubleEncryptionEnabled": false} 來建立沒有雙重加密的叢集。
    • 建立叢集之後，就無法變更雙重加密設定。

  • 連結至叢集時，允許刪除工作區。 如果您決定在虛刪除期間復原工作區，工作區會回到先前的狀態，並維持與叢集的連結。

  • 在承諾期間，您可以變更為較高的承諾用量層級，這會重新啟動 31 天的承諾期間。 在完成承諾期間之前，您無法回到隨用隨付或降低承諾用量層級。

疑難排解

  • 如果您在建立叢集時收到衝突錯誤，則可能在過去 2 周和刪除程式中遭到刪除。 叢集名稱會在 2 周的刪除期間保留保留，您無法使用該名稱建立新的叢集。

  • 如果您在叢集處於布建或更新狀態時更新叢集，更新將會失敗。

  • 某些作業很長，可能需要一些時間才能完成。 這些是 叢集建立、 叢集金鑰更新 和 叢集刪除。 您可以將 GET 要求傳送至叢集或工作區並觀察回應，以檢查作業狀態。 例如，未連結的工作區在功能下不會有 clusterResourceId。

  • 如果您嘗試連結已連結至另一個叢集的Log Analytics工作區，作業將會失敗。

錯誤訊息

叢集建立

  • 400--叢集名稱無效。 叢集名稱可以包含 a-z、A-Z、0-9 和長度 3-63 的字元。
  • 400--要求主體為 Null 或格式不正確。
  • 400--SKU 名稱無效。 將 SKU 名稱設定為 capacityReservation。
  • 已提供 400--Capacity，但 SKU 不是 capacityReservation。 將 SKU 名稱設定為 capacityReservation。
  • 400--SKU 中的遺漏容量。 將容量值設定為 100、200、300、400、500、1000、2000、5000、10000、25000、每天 50000 GB。
  • 400--容量已鎖定 30 天。 更新後30天允許減少容量。
  • 400--未設定 SKU。 將 SKU 名稱設定為 capacityReservation，並將容量值設定為 100、200、300、400、500、1000、2000、5000、10000、25000、50000 GB。
  • 400--Identity 為 Null 或空白。 使用 systemAssigned 類型設定 Identity。
  • 建立時會設定 400--KeyVaultProperties。 在叢集建立之後更新 KeyVaultProperties。
  • 400--作業現在無法執行。 異步操作處於非成功狀態。 叢集必須先完成其作業，才能執行任何更新作業。

叢集更新

  • 400--Cluster 處於刪除狀態。 異步操作正在進行中。 叢集必須先完成其作業，才能執行任何更新作業。
  • 400--KeyVaultProperties 不是空的，但格式不正確。 請參閱 金鑰識別碼更新。
  • 400--無法驗證 金鑰保存庫 中的金鑰。 可能是因為許可權不足，或密鑰不存在時。 確認您已在 金鑰保存庫 中設定金鑰和存取原則。
  • 400--金鑰無法復原。 金鑰保存庫 必須設定為虛刪除和清除保護。 請參閱 金鑰保存庫檔
  • 400--作業現在無法執行。 等候異步作業完成，然後再試一次。
  • 400--Cluster 處於刪除狀態。 等候異步作業完成，然後再試一次。

叢集取得

  • 404--找不到叢集，可能已刪除叢集。 如果您嘗試建立具有該名稱且發生衝突的叢集，叢集會進行刪除程式。

叢集刪除

  • 409--無法在布建狀態時刪除叢集。 等候異步作業完成，然後再試一次。
  • 404--找不到工作區。 您指定的工作區不存在或已刪除。
  • 409--工作區連結或正在解除鏈接作業。
  • 400--找不到叢集，您指定的叢集不存在或已刪除。
  • 404--找不到工作區。 您指定的工作區不存在或已刪除。
  • 409--工作區連結或正在解除鏈接作業。

下一步