Рабочая область Log Analytics
Рабочая область анализа журналов — это хранилище данных, куда можно собирать данные журналов любых типов из всех ваших ресурсов и приложений Azure, а также всех других ресурсов и приложений. Параметры конфигурации рабочей области позволяют управлять всеми данными журнала в одной рабочей области, чтобы обеспечить соответствие требованиям операций, анализа и аудита различных пользователей в организации с помощью следующих действий:
- Функции Azure Monitor, такие как встроенные аналитические возможности, оповещения и автоматические действия
- Другие службы Azure, такие как Microsoft Sentinel, Microsoft Defender для облака и Logic Apps
- Средства Майкрософт, такие как Power BI и Excel
- Интеграция с пользовательскими и сторонними приложениями
В этой статье представлен обзор концепций, связанных с рабочими областями Log Analytics.
Это важно
В документации Microsoft Sentinel используется термин рабочая область Microsoft Sentinel. Это та же рабочая область Log Analytics, которая описывается в этой статье, но с поддержкой Microsoft Sentinel. Все данные в рабочей области подлежат ценам На Microsoft Sentinel.
Таблицы журналов
Каждая рабочая область Log Analytics содержит несколько таблиц, в которых журналы Azure Monitor хранят собранные данные.
Журналы Azure Monitor автоматически создают таблицы, необходимые для хранения данных мониторинга, собранных из среды Azure. Вы создаете пользовательские таблицы для хранения данных, собранных из ресурсов и приложений, не относящихся к Azure, на основе модели данных журнала, которые вы собираете, и способов хранения и использования данных.
Параметры управления таблицами позволяют управлять доступом к определенным таблицам и управлять моделью данных, хранением и стоимостью данных в каждой таблице. Дополнительные сведения см. в разделе "Управление таблицами" в рабочей области Log Analytics.
Хранение данных
Рабочая область Log Analytics сохраняет данные в двух состояниях — интерактивное хранение и долгосрочное хранение.
В течение интерактивного периода хранения данные из таблицы извлекаются с помощью запросов, а данные доступны для визуализаций, оповещений и других функций и служб на основе плана таблицы.
Каждая таблица в рабочей области Log Analytics позволяет хранить данные до 12 лет в низкой стоимости, долгосрочном хранении. Получение определенных данных, необходимых от долгосрочного хранения к интерактивному хранению с помощью задания поиска. Это означает, что вы управляете данными журнала в одном месте, не перемещая данные во внешнее хранилище, и вы получаете полные возможности аналитики Azure Monitor на старых данных, когда это необходимо.
Дополнительные сведения см. в разделе "Управление хранением данных" в рабочей области Log Analytics.
Доступ к данным
Разрешение на доступ к данным в рабочей области Log Analytics определяется параметром режима управления доступом в каждой рабочей области. Вы можете предоставить пользователям явный доступ к рабочей области с помощью встроенной или настраиваемой роли. Кроме того, вы можете разрешить доступ к данным, собранным для ресурсов Azure пользователям с доступом к этим ресурсам.
Дополнительные сведения см. в статье "Управление доступом к данным журнала и рабочим областям в Azure Monitor".
Просмотр аналитических сведений о рабочей области Log Analytics
Log Analytics Workspace Insights помогает управлять и оптимизировать рабочие области Log Analytics с общим обзором использования рабочей области, производительности, состояния, поглощения, запросов и журнала изменений.
Преобразование данных, которые вы отправляете в рабочую область Log Analytics
Правила сбора данных (DCR), которые определяют данные, поступающие в Azure Monitor, могут включать преобразования, позволяющие фильтровать и преобразовывать данные перед вводом в рабочую область. Поскольку не все источники данных еще поддерживают DCR, каждая рабочая область может иметь преобразование DCR рабочей области.
Преобразования в DCR преобразования рабочих областей задаются для каждой таблицы в рабочей области и применяются ко всем данным, отправленным в эти таблицы, даже если они отправляются из нескольких источников. Эти преобразования применяются только к рабочим процессам, которые еще не используют DCR. Например, агент Azure Monitor использует DCR для определения данных, собранных с виртуальных машин. Эти данные не будут подвергаться каким-либо преобразованиям на этапе обработки данных, определенным в рабочей области.
Например, у вас могут быть параметры диагностики, которые отправляют журналы ресурсов в рабочее пространство для разных ресурсов Azure. Вы можете создать преобразование для таблицы, которая собирает журналы ресурсов, которые фильтруют эти данные только для нужных записей. Этот метод сокращает расходы на обработку записей, которые вам не нужны. Кроме того, может потребоваться извлечь важные данные из определенных столбцов и сохранить их в других столбцах рабочей области для поддержки более простых запросов.
Себестоимость
Нет прямых затрат на создание или обслуживание рабочей области. Плата взимается за данные, которые вы загружаете в рабочее пространство, а также за хранение данных, на основе плана каждой таблицы.
Дополнительные сведения о ценах см. в разделе Цены на Azure Monitor. Рекомендации по сокращению затрат см. в рекомендациях по управлению затратами в Azure Monitor. Если вы используете рабочую область Log Analytics со службами, отличными от Azure Monitor, сведения о ценах см. в документации по этим службам.
Разработка архитектуры рабочей области Log Analytics для решения конкретных бизнес-потребностей
Вы можете использовать одну рабочую область для всей коллекции данных. Однако можно также создать несколько рабочих областей на основе конкретных бизнес-требований, таких как нормативные или соответствующие требования для хранения данных в определенных расположениях, разделения выставления счетов и устойчивости.