Расчеты затрат и возможности журналов Azure Monitor

Наиболее значительные расходы для большинства реализаций Azure Monitor обычно связаны с приемом и хранением данных в рабочих областях службы Log Analytics. Некоторые функции в Azure Monitor не имеют прямых затрат, но добавляются в собранные данные рабочей области. В этой статье описывается, как вычисляются расходы на данные для рабочих областей Log Analytics и различные параметры конфигурации, влияющие на затраты.

Модель ценообразования

Цены по умолчанию для Log Analytics — это модель оплаты по мере использования, основанная на приеме объема данных и хранения данных. Каждая рабочая область Log Analytics оплачивается как отдельная служба и включается в счет за подписку Azure. Цены на журналы Azure Monitor устанавливаются по регионам. Объем приема данных может быть значительным в зависимости от:

• Набор решений управления, включенных и их конфигурация.
• Количество и тип отслеживаемых ресурсов.
• Типы данных, собранные из каждого отслеживаемого ресурса.

Список имен счетчиков выставления счетов Azure Monitor доступен здесь.

Если в рабочей области включен Microsoft Sentinel, Microsoft Sentinel тарифицирует прием данных для вспомогательных и базовых журналов. Если в рабочей области включён Microsoft Sentinel и используется упрощённый уровень плана Sentinel, то по счетчикам Sentinel тарифицируется приём данных для журналов Analytics. Если в Sentinel включено озеро данных, то Sentinel тарифицирует запросы, задания поиска и долгосрочное хранение в рабочей области.

Вычисление размера данных

Плата за журналы Azure Monitor взимается в зависимости от объема данных, отправляемых в рабочую область Log Analytics, в ГБ (10^9 байт).

Размер одной записи указан следующим образом:

• Для событий, поступающих как журналы Analytics и базовые журналы, Azure Monitor Logs вычисляет размер на основе строкового представления значений в столбцах, которые необходимо записать в рабочую область Log Analytics.

• Для событий, принимаемых как журналы Auxiliary Logs, Azure Monitor Logs вычисляет размер как несжатый размер записей в столбцах, которые необходимо записать в рабочую область Log Analytics.

Размер выставления счетов включает данные, собранные из источника данных или добавленные во время процесса приема. Например, это вычисление включает любые настраиваемые столбцы, добавленные API приема журналов, преобразования и настраиваемые поля. Если вы отправляете элементы столбцов, которые не соответствуют схеме целевой таблицы, Azure Monitor Logs взимает плату за эти элементы столбцов, даже если целевая таблица не может сохранить эти данные. Убедитесь, что правила сбора данных соответствуют схеме целевой таблицы, чтобы избежать расходов на данные, которые не может хранить целевая таблица.

Исключенные столбцы

Следующие стандартные столбцы являются общими для всех таблиц и исключаются в расчете размера записи для журналов Аналитики и базовых журналов. Все остальные столбцы, хранящиеся в Log Analytics, включаются в расчет размера записи. Стандартные столбцы:

• _ResourceId
• _SubscriptionId
• _ItemId
• _IsBillable
• _BilledSize
• _TenantId
• Type

Для вспомогательных журналов _ItemId, _IsBillable и _BilledSize исключаются при расчёте размера.

Исключенные таблицы

Некоторые таблицы, например AzureActivity, Heartbeat, Usage и Operation, полностью освобождены от платы за прием данных. Эти сведения всегда указываются в столбце _IsBillable , который показывает, была ли запись исключена из выставления счетов за прием данных и хранение.

Плата за другие решения и службы

Некоторые решения имеют более конкретные политики по поводу бесплатного приема данных. Например, Миграция Azure предоставляет данные визуализации зависимостей бесплатно в первые 180 дней оценки сервера. Такие службы, как Microsoft Defender для облака, Microsoft Sentinel и управление конфигурацией, имеют собственные модели ценообразования.

Узнайте из документации о различных службах и решениях для любых уникальных расчетов по выставлению счетов.

Уровни обязательств

В дополнение к модели оплаты по мере использования, Log Analytics предлагает уровни обязательств, которые могут сократить расходы до 30 процентов по сравнению с ценами модели оплаты по мере использования для журналов Аналитики. С ценовой моделью с фиксированными обязательствами вы можете заключить соглашение на обработку данных для рабочего пространства, начиная с 100 ГБ в день, по более низкой цене, чем при оплате по мере использования. Если объем использования превышает уровень обязательств, взимается плата по той же цене за ГБ, как указано для текущего уровня обязательств. (Плата за превышение взимается по той же системе учета, что и основной тарифный план. Например, если рабочая область использует тарифный план 200 ГБ/день и обрабатывает 300 ГБ за день, то использование рассчитывается как 1,5 биллинговых единиц в рамках тарифа 200 ГБ/день). Уровни обязательств имеют 31-дневный период обязательств с момента выбора или изменения уровня обязательств. Уровень подписки может быть снижен в течение 6 часов после настройки, чтобы компенсировать ошибочный выбор уровня.

• В течение периода обязательств вы можете переходить на более высокий уровень обязательств, который перезапускает 31-дневный период обязательств. Вы не можете вернуться на оплату по мере использования или на более низкий уровень обязательств до тех пор, пока не завершите период обязательств.
• В конце периода обязательств рабочая область сохраняет выбранный уровень обязательств, и вы можете переместить рабочую область на оплату по мере использования или на более низкий уровень обязательств в любое время.
• Если вы случайно перевели рабочую область на уровень с обязательствами, обратитесь в службу поддержки Microsoft, чтобы сбросить срок действия обязательств и вернуться к тарифу с оплатой по мере использования.

Выставление счетов за уровни обязательств выполняется по рабочей области ежедневно. Если рабочая область является частью выделенного кластера, выставление счетов выполняется для кластера. См. следующий раздел "Выделенные кластеры". Список уровней обязательств и их цен см. в разделе цен на Azure Monitor.

Скидки на обязательства Azure, такие как скидки, полученные от Соглашения Microsoft Enterprise, применяются к обязательствам уровня тарифов для Azure Monitor так же, как и для тарифов оплаты по мере использования. Скидки применяются, выставляются ли счета за использование на рабочую область или на выделенный кластер.

Выделенные кластеры

Выделенный кластер журналов Azure Monitor — это коллекция рабочих областей в одном управляемом кластере Azure Data Explorer. Выделенные кластеры поддерживают расширенные функции, такие как ключи, управляемые пользователем, и используют ту же модель ценообразования по обязательствам, что и рабочие области; при этом обязательный объем должен составлять не менее 100 ГБ в день. Если объем использования превышает уровень обязательств, взимается плата по той же цене за ГБ, как указано для текущего уровня обязательств. Для кластеров нет варианта оплаты по мере использования.

После увеличения уровня обязательств для уровня обязательств кластера действует обязательный 31-дневный период. В течение обязательного периода уровень обязательств невозможно уменьшить, но его можно увеличить в любое время. Когда рабочие области связаны с кластером, выставление счетов за прием данных для этих рабочих областей выполняется на уровне кластера с помощью настроенного уровня обязательств.

Существует два режима выставления счетов для кластера, который указывается при создании кластера:

• Кластер (по умолчанию) — уровень кластера обрабатывает выставление счетов за прием данных. Принятые объемы данных из каждой рабочей области, связанной с кластером, суммируются для вычисления ежедневного счета за кластер. Распределения по отдельным узлам из Microsoft Defender для облака применяются на уровне рабочей области, и лишь затем выполняется суммирование данных во всех рабочих областях в кластере.

• Рабочие области — каждая рабочая область относит затраты по уровню обязательств для вашего кластера пропорционально объёму приёма данных этой рабочей области (после учёта выделений на узел из Microsoft Defender для облака для каждой рабочей области).

  Если общий объем данных, полученный в кластер в течение дня, меньше уровня обязательств, то каждая рабочая область оплачивается за полученные данные по эффективной ставке за ГБ в соответствии с уровнем обязательств, при этом счет выставляется с учетом доли ставки уровня обязательств. Затем за неиспользуемую часть уровня обязательства выставляется плата кластерному ресурсу.
  
  Если общий объем данных, принимаемый в кластер в течение дня, превышает уровень обязательств, для каждой рабочей области оплачивается доля уровня обязательств, основанная на доле данных, принятых за день, и дополнительно оплачивается доля данных, превышающих уровень обязательств. Если общий объем данных, поступающий в рабочую область в течение дня, превышает уровень обязательств, с кластерного ресурса не взимается плата.

Вы можете найти здесь примеры того, как работает выставление счетов для кластера в каждом из этих режимов.

Прием данных для журналов Basic Logs и Auxiliary Logs, а также хранение данных тарифицируются отдельно для каждой рабочей области — так же, как и для рабочих областей, не подключенных к кластеру.

Плата за кластер начисляется при его создании независимо от того, связаны ли рабочие области с кластером.

При связывании рабочих пространств с кластером устанавливается кластерная ценовая категория, и плата за прием данных взимается на основе уровня обязательств кластера. У рабочих областей, связанных с кластером, больше нет собственной ценовой категории. Рабочие области могут быть отключены от кластера в любое время, а ценовой уровень может быть изменен на оплату за ГБ.

Если связанная рабочая область использует устаревшую ценовую категорию Per Node, плата взимается на основе данных, поступающих в пределах уровня обязательств кластера, а не по узлам. Распределение данных для каждого узла в Microsoft Defender для облака будет и дальше применяться.

При удалении кластера выставление счетов за кластер останавливается, даже если кластер находится в течение 31-дневного периода обязательств.

Дополнительные сведения о создании выделенного кластера и указании его типа выставления счетов см. в разделе "Создание выделенного кластера".

Планы таблиц

План таблицы определяет данные, хранящиеся в таблице рабочей области Log Analytics. Он определяет стоимость приёма данных, стоимость запросов, политику хранения и то, какие таблицы могут использовать этот план. Поскольку план задаётся для каждой таблицы отдельно, одна рабочая область может содержать таблицы всех трёх планов. Сравнение по сценариям использования см. в статье Таблицы в журналах Azure Monitor.

Дополнительные сведения о планах таблиц базовых журналов и вспомогательных журналов см. в разделе Azure Monitor Обзор журналов: планы таблиц.

Хранение данных журнала

Помимо приема данных, взимается плата за хранение данных в каждой рабочей области Log Analytics. Период хранения можно задать для всей рабочей области или для каждой таблицы. После этого периода данные удаляются или хранятся в долгосрочном хранении. В течение длительного периода хранения взимается сниженная плата за хранение, а также взимается плата за получение данных с помощью задания поиска. Используйте долгосрочное хранение, чтобы сократить затраты на данные, которые необходимо хранить для соответствия или случайного исследования. Дополнительные сведения о параметрах хранения и конфигурации.

Журналы Аналитики, базовые журналы и вспомогательные журналы используют одинаковую частоту на ГБ для долгосрочного хранения. Выставление счетов за хранение данных происходит ежедневно (в зависимости от дней в часовом поясе UTC).

Удаление пользовательской таблицы не удаляет данные, связанные с этой таблицей, поэтому интерактивные и долгосрочные расходы на хранение продолжают применяться.

Дополнительные сведения о хранении данных, включая настройку этих параметров и доступ к данным в долгосрочном хранении, см. в статье "Управление хранением данных в рабочей области Log Analytics".

Поиск работы

Извлеките данные из долгосрочного хранения, выполняя поисковые задания. Задания поиска — это асинхронные запросы, которые извлекают записи в новую таблицу поиска в вашей рабочей области для дальнейшей аналитики. Вы оплачиваете задания поиска в зависимости от объема просканированных данных в гигабайтах за каждый день, в который поиск обращается к данным.

Расходы на сканирование заданий поиска зависят от плана исходной таблицы:

• Журналы аналитики — вы платите только за данные, которые сканирует поисковое задание в долгосрочном хранилище. Плата за сканирование данных при хранении аналитических данных не взимается.

• Базовые журналы и Вспомогательные журналы — вы платите за все данные, которые сканирует поисковое задание в пределах запрошенного временного диапазона.

Сканируемые данные — это объем данных, принятых в запрашиваемую таблицу в пределах диапазона времени, указанного запросом.

Помимо платы за сканирование, вы платите по стандартному тарифу на прием данных для журналов Analytics Logs за результаты задания поиска, загруженные в новую таблицу результатов.

Восстановление данных журналов

Если требуется интенсивно запрашивать большие объемы данных или данные в долгосрочном хранении с полными возможностями аналитических запросов, функция восстановления данных — это мощное средство. Операция восстановления выводит в таблице данные за определенный диапазон времени в оперативном кэше для высокопроизводительных запросов. После завершения вы можете удалить данные. Плата за восстановление данных журнала взимается по объему восстановленных данных и по времени, в течение которого восстановление остается активным. Минимум, оплачиваемый в случае любого восстановления данных, составляет 2 ТБ и 12 часов. Данные, восстановленные в объеме более 2 ТБ и/или продолжительностью более 12 часов, оплачиваются пропорционально.

Экспорт данных журналов

Экспорт данных в рабочую область Log Analytics позволяет непрерывно экспортировать данные по выбранным таблицам в учетную запись служба хранилища Azure или Центры событий Azure по мере их поступления в конвейер Azure Monitor. Плата за использование экспорта данных зависит от объема экспортируемых данных. Размер экспортируемых данных — это количество байтов в экспортированных данных в формате JSON.

Выставление счетов за «Application Insights»

Поскольку ресурсы Application Insights, основанные на рабочей области хранят свои данные в рабочей области Log Analytics, выставление счетов за прием и хранение данных выполняется рабочей областью, где находятся данные Application Insights. По этой причине вы можете использовать все варианты модели ценообразования Log Analytics, включая уровни обязательств, а также оплату по мере использования.

Прием и хранение данных для ресурса Application Insights классического типа осуществляются по тем же расценкам платы за использование, что и для ресурсов на основе рабочих областей, но они не могут использовать уровни обязательств.

Данные телеметрии из тестов проверки пинга и многошаговых тестов тарифицируются так же, как и использование данных для другой телеметрии из вашего приложения. Использование веб-тестов и включение оповещений по пользовательским измерениям метрик по-прежнему выполняется через Application Insights. За использование Live Metrics Stream плата не взимается.

Дополнительные сведения об устаревших уровнях, доступных для ранних пользователей Application Insights, см. в разделе Устаревшие корпоративные уровни (на узел) ценообразования для Application Insights.

Рабочие пространства с Microsoft Sentinel

Если в рабочей области Log Analytics включен Microsoft Sentinel, все данные, собранные в этой рабочей области, подлежат начислению Microsoft Sentinel вместе с начислением Log Analytics. По этой причине вы часто разделяете данные безопасности и эксплуатационные данные в разных рабочих областях, чтобы избежать затрат Microsoft Sentinel за эксплуатационные данные.

В некоторых сценариях объединение этих данных может привести к экономии затрат. Как правило, эта ситуация возникает, когда вы не собираете достаточно данных безопасности и операционных данных для каждого уровня обязательств, но объединенные данные достаточно для достижения уровня обязательств. Дополнительные сведения см. в разделе:

• Проектирование архитектуры рабочей области Log Analytics
• Примеры проектов рабочих областей Log Analytics для Microsoft Sentinel

Рабочие пространства с Microsoft Defender для облака

Microsoft Defender для серверов (часть Defender для облака)выставляет счета по количеству отслеживаемых служб. Он предоставляет 500 МБ на сервер в день для выделения данных, применяемых к следующему подмножеству типов данных безопасности.

• SecurityAlert
• SecurityBaseline
• SecurityBaselineSummary
• SecurityDetection
• SecurityEvent
• WindowsFirewall
• ProtectionStatus
• Update и UpdateSummary, когда решение "Управление обновлениями" не выполняется в рабочей области или включено целевое назначение решения.
• События мониторинга целостности файла MDC
• WindowsEvent
• LinuxAuditLog

Если для рабочей области используется устаревшая ценовая категория "За узел", выделения Defender для облака и Log Analytics объединяются и совместно применяются ко всем подлежащим оплате принимаемым данным. Если в рабочей области включен Microsoft Sentinel и Sentinel использует классическую ценовую категорию, то выделение данных Defender применяется только к поглощению данных Log Analytics для выставления счетов, но не к классическому выставлению счетов Sentinel. Если Sentinel использует упрощенную ценовую категорию, выделение данных Defender применяется к единому выставлению счетов Sentinel. Дополнительные сведения о том, как клиенты Microsoft Sentinel могут воспользоваться преимуществами, см. на странице цен Microsoft Sentinel.

Количество серверов мониторинга рассчитывается с почасовой степенью детализации. Ежедневные распределения данных с каждого сервера мониторинга агрегируются на уровне рабочей области. Если для рабочей области используется ценовая категория "За узел" устаревшего типа, лимиты Microsoft Defender для облака и Log Analytics объединены и применяются совместно ко всем подлежащим оплате поступающим данным.

Устаревшие ценовые категории

Подписки, содержащие рабочую область Log Analytics или ресурс Application Insights на 2 апреля 2018 г. или связанные с Соглашением Enterprise, которое началось до 1 февраля 2019 г. и по-прежнему активно, будут иметь доступ к использованию следующих устаревших ценовых категорий:

• Автономный режим (за ГБ).
• На каждый узел (Operations Management Suite [OMS])

Доступ к устаревшей ценовой категории "Бесплатная пробная версия" был ограничен 1 июля 2022 года. Сведения о ценах для автономного и узлового уровней цен доступны здесь.

Список имен счетчиков выставления счетов Azure Monitor, включая устаревшие уровни, доступен здесь.

Ценовая категория бесплатной пробной версии

Рабочие области в категории цен "Бесплатная пробная версия" имеют ограничение на ежедневный объем принимаемых данных до 500 МБ (за исключением типов данных безопасности, собранных Microsoft Defender для Cloud). Срок хранения данных ограничен семь дней. Ценовая категория "Бесплатная пробная версия" предназначена только для целей оценки, а не для реальных производственных задач. Соглашение об уровне обслуживания не предоставляется для уровня "Бесплатная пробная версия".

Автономная ценовая категория

Вы оплачиваете использование по тарифу Standalone в зависимости от объема загруженных данных. Служба Log Analytics предоставляет сведения об использовании, а счётчик называется "Проанализированные данные". Рабочие области на ценовом уровне Standalone имеют настраиваемый пользователем срок хранения от 30 до 730 дней. Рабочие области на ценовом уровне Standalone не поддерживают планы таблиц Basic Logs и Auxiliary Logs.

Ценовая категория по узлу

Тарифный план «За узел» предусматривает почасовую оплату за каждую отслеживаемую виртуальную машину (узел). Для каждого отслеживаемого узла рабочая область получает 500 МБ данных в день, которые не оплачиваются. На уровне рабочего пространства это распределение агрегируется ежедневно и рассчитывается с почасовой детализацией. Вы платите за объем данных, принятых сверх общего дневного лимита данных, как за превышение лимита данных. Ценовая категория «Per Node» — это устаревшая ценовая категория, доступная только для существующих подписок, которые соответствуют требованиям для устаревших ценовых категорий.

В вашем счете услуга — Insight and Analytics для использования Log Analytics, если рабочая область находится в ценовой категории "На узел". Для рабочих пространств на уровне ценообразования "За узел" предусмотрен настраиваемый срок хранения от 30 до 730 дней. Рабочие области в ценовом плане Per Node не поддерживают планы таблиц Basic Logs и Auxiliary Logs. Сведения об использовании отображаются для трех счетчиков:

• Узел: использование для количества отслеживаемых узлов (виртуальных машин) в пересчёте на месяцы работы узлов.
• Превышение объемов данных на узел: количество ГБ данных, объемы которых превышают суммарно выделенное количество данных.
• Объём данных на узел: объём принятых данных, который покрывается совокупным распределением данных. Этот счетчик также используется, если рабочая область находится во всех ценовых категориях для отображения объема данных, охватываемых Microsoft Defender для облака.

Ценовые категории: "Стандартный" и "Премиум"

Вы не можете создавать рабочие области в ценовых категориях Standard или Premium либо перемещать их в эти ценовые категории с 1 октября 2016 года. Вы можете продолжать использовать рабочие области, которые уже находятся на этих тарифных уровнях, но если вы переведёте рабочую область с этих уровней, то не сможете вернуть её обратно. Ценовые категории "Стандартный" и "Премиум" имеют фиксированный срок хранения данных в 30 дней и 365 дней соответственно. Рабочие области в этих тарифных планах не поддерживают планы таблиц «Базовые журналы» и «Вспомогательные журналы» и не поддерживают долгосрочное хранение данных. Счетчики приема данных в счете Azure для этих устаревших ценовых категорий называются Data Analyzed.

Microsoft Defender для облака с устаревшими ценовыми уровнями

Следующие рекомендации относятся к устаревшим уровням Log Analytics и выставлению счетов за использование для Microsoft Defender для облака:

• Если рабочая область относится к уровню «Стандартный» или «Премиум», то Microsoft Defender для облака выставляет счета только за прием данных Log Analytics, а не за каждый узел.
• Если рабочая область использует устаревший тарифный план "За узел", Microsoft Defender для облака тарифицируется по текущей модели ценообразования Microsoft Defender для облака на основе узлов.
• В других ценовых категориях (включая уровни обязательств), если Microsoft Defender для облака был включен до 19 июня 2017 г., плата взимается только за прием данных Log Analytics. В противном случае плата за Microsoft Defender для облака взимается с помощью текущей модели ценообразования на основе узлов Microsoft Defender для облака.

Дополнительные сведения об ограничениях ценовой категории доступны в подписке Azure и ограничениях служб, квотах и ограничениях.

Ни одна из устаревших ценовых категорий не использует ценообразование на основе региона.

Оценка устаревшей ценовой категории "За узел"

Устаревший ценовой уровень Per Node предполагает сложные расчеты стоимости. Если вы не владеете лицензиями OMS, используйте одну из современных ценовых категорий, например оплату по мере использования или уровень обязательств.

Если у вас есть рабочая область, использующая устаревший тарифный план Per Node, вы можете сравнить свои расходы при использовании этого тарифного плана, экспортировав детализированные данные об использовании, с ежемесячными оценками затрат для тарифных планов с оплатой по мере использования или с обязательствами, приведёнными на странице Использование и предполагаемая стоимость вашей рабочей области.

Если рабочая область использует устаревший ценовой уровень Per Node, хранение данных оплачивается по счетчику Стандартное хранение данных (см. счетчики выставления счетов Azure Monitor). Этот счетчик имеет одну мировую цену, а не региональные варианты ценообразования текущего счетчика сохранения данных, используемого для оплаты по мере использования и выставления счетов на уровне обязательств.

Следующие шаги

• Описание различных типов расходов Azure Monitor и о том, как их анализировать в вашем счете Azure, см. раздел Azure Monitor Затраты и Использование.
• Дополнительные сведения о том, как анализировать данные в рабочей области, чтобы определить причины более высокого, чем ожидалось, объема использования и возможности уменьшить объем собираемых данных, см. в статье Анализ использования в рабочей области Log Analytics.
• Чтобы управлять затратами, настроив максимальный объем, который может быть приемлен в рабочей области каждый день, см. статью "Задать ежедневное ограничение" для рабочей области Log Analytics.
• Рекомендации по настройке и управлению Azure Monitor для минимизации расходов см. в Azure Monitor рекомендациях по управлению затратами.