Regras de exportação de dados do Log Analytics no Azure Monitor

As regras de exportação de dados em um workspace Log Analytics permitem exportar continuamente dados por tabelas selecionadas. Exporte para uma conta de Armazenamento de Blobs do Azure ou Hubs de Eventos do Azure à medida que os dados chegam ao Azure Monitor. Este artigo fornece detalhes sobre esse recurso e as etapas para configurar regras de exportação de dados em seus workspaces.

Visão geral

Os dados no Log Analytics ficam disponíveis pelo período de retenção definido em sua área de trabalho. Eles são usados em várias experiências fornecidas no Azure Monitor e nos serviços do Azure. Há casos em que você precisa usar outras ferramentas:

Conformidade com o armazenamento protegido contra adulteração: os dados não podem ser alterados no Log Analytics após a ingestão, mas podem ser excluídos permanentemente. Exporte para uma conta de armazenamento configurada com políticas de imutabilidade para manter os dados protegidos contra adulteração.
Integração com serviços do Azure e outras ferramentas: exporte para Hubs de Eventos à medida que os dados chegarem e forem processados no Azure Monitor.
Retenção de longo prazo de dados de auditoria e segurança: Exporte para uma conta de armazenamento na região do espaço de trabalho. Replicar dados para outras regiões usando qualquer uma das opções de redundância de Armazenamento do Azure, incluindo GRS e GZRS.

Depois de configurar regras de exportação de dados em um workspace do Log Analytics, os novos dados das tabelas incluídas nas regras são exportados do pipeline do Azure Monitor para sua conta de armazenamento ou para o Event Hubs, conforme eles chegam. O tráfego de exportação de dados está na rede de backbone Azure e não sai da rede Azure.

Os dados são exportados sem um filtro. Por exemplo, quando você configura uma regra de exportação de dados para uma tabela SecurityEvent, todos os dados enviados à tabela SecurityEvent são exportados a partir do momento da configuração. Como alternativa, filtre ou modifique os dados exportados configurando transformações em seu workspace. As transformações se aplicam aos dados de entrada antes que eles sejam enviados ao seu workspace do Log Analytics e aos destinos de exportação.

Outras opções de exportação

As regras de exportação de dados do Log Analytics exportam continuamente os dados enviados para seu espaço de trabalho do Log Analytics. Outras opções exportam dados para estes cenários específicos:

Para exportar registros históricos de uma única tabela por consulta e intervalo de tempo para Armazenamento de Blobs do Azure, execute um trabalho de exportação (versão prévia). Um trabalho de exportação foi projetado especificamente para exportar, sob demanda, dados históricos em grande escala e gravar os resultados no formato Parquet.
Se um recurso do Azure já estiver enviando logs para o seu espaço de trabalho do Log Analytics por meio das configurações de log de diagnóstico, considere atualizar diretamente as configurações de diagnóstico no recurso do Azure para adicionar o novo destino, em vez de utilizar regularmente uma exportação de dados. Essa abordagem tem menor latência em comparação com uma exportação de dados, mas não envia dados históricos.
Agende uma exportação de dados com base em uma consulta de log que você define com a API de consulta do Log Analytics. Use o Azure Data Factory, o Azure Functions ou os Aplicativos Lógicos do Azure para orquestrar consultas em seu workspace e exportar dados para um destino. Esse método é semelhante ao recurso de exportação de dados, mas você pode usá-lo para exportar dados históricos do workspace usando filtros e a agregação. Esse método está sujeito a limites de consulta de log e não é destinado à escala. Para obter mais informações, consulte Exportar dados de um workspace do Log Analytics para uma conta de armazenamento por meio do Logic Apps.
Use uma exportação única para um computador local usando um script do PowerShell. Para saber mais, confira Invoke-AzOperationalInsightsQueryExport.

Permissões necessárias

Ação	Permissões necessárias
Criar ou atualizar regra de exportação de dados	`Microsoft.OperationalInsights/workspaces/dataexports/write` permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Log Analytics Contributor, por exemplo
Excluir regra de exportação de dados	`Microsoft.OperationalInsights/workspaces/dataexports/delete` permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Log Analytics Contributor, por exemplo
Exportar para a conta de armazenamento	Permissões `Microsoft.Storage/storageAccounts/blobServices/containers/write` para a conta de armazenamento, conforme fornecido pela função interna Colaborador da Conta de Armazenamento, por exemplo.
Exportar para o Hub de Eventos	`Microsoft.EventHub/namespaces/eventhubs/write`, `Microsoft.EventHub/namespaces/eventhubs/messages/write`, `Microsoft.EventHub/namespaces/authorizationRules/listkeys/action` permissões para o Hubs de Eventos do Azure, conforme fornecido pelas funções internas do Proprietário de Dados do Hub de Eventos do Azure, por exemplo
Logs de consulta em uma tabela	`Microsoft.OperationalInsights/workspaces/query/<table>/read` permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Log Analytics Reader, por exemplo
Consultar logs em uma tabela (ação de tabela)	`Microsoft.OperationalInsights/workspaces/tables/query/read` permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna do Log Analytics Reader, por exemplo

Considerações

Os logs personalizados criados usando a API do Coletor de Dados HTTP não podem ser exportados, incluindo logs baseados em texto consumidos pelo agente do Log Analytics. Logs personalizados criados usando regras de coleta de dados, incluindo logs baseados em texto podem ser exportados.
A exportação de dados dará suporte gradualmente a mais tabelas. Consulte a seção Tabelas sem suporte .
O número máximo de regras ativas por workspace é 10, cada uma pode incluir várias tabelas.
A conta de armazenamento deve ser única entre as regras do espaço de trabalho.
Os planos de tabela com suporte são Analytics e Básico. O plano auxiliar não é suportado.
Os destinos precisam estar na mesma região que o espaço de trabalho do Log Analytics.
Não há suporte para exportar para uma conta de armazenamento Premium.

Integridade dos dados

A exportação de dados é otimizada para mover grandes volumes de dados para seus destinos. No caso de um destino com escala ou disponibilidade insuficiente, um processo de repetição continua por até 12 horas e pode resultar em uma fração dos registros exportados sendo duplicados. Siga as recomendações para a conta de armazenamento e os destinos dos Hubs de Eventos para melhorar a confiabilidade. Se os destinos ainda não estiverem disponíveis após o período de repetição, os dados serão descartados.

Para saber mais sobre os limites de destino e os alertas recomendados, confira Criar ou atualizar uma regra de exportação de dados.

Modelo de preços

Os encargos de exportação de dados são baseados no número de bytes exportados para destinos em dados formatados em JSON e medidos em GB (10^9 bytes). O tamanho da tabela informado nos Logs do Azure Monitor é menor do que o tamanho dos dados gravados no destino de exportação. Essa discrepância se deve aos seguintes fatores:

Azure Monitor Logs exclui determinados campos do cálculo de tamanho faturável.
Os dados exportados para o armazenamento não são compactados.
Os dados exportados incluem nomes de propriedade com cada registro para garantir que cada registro seja JSON válido.
Quando os registros de log reais são pequenos, os metadados representam uma sobrecarga significativa, o que torna mais pronunciado o aumento relativo do tamanho.

Os cálculos de tamanho de exportação de dados não podem ser feitos usando uma consulta no workspace, pois o cálculo de tamanho não leva em conta o overhead da formatação JSON. Ao comparar o tamanho relatado em logs de Azure Monitor com o que aparece na conta de armazenamento, espere diferenças substanciais. Em logs de Azure Monitor, pequenos eventos omitem metadados, como nomes de propriedade, enquanto o blob de armazenamento inclui os metadados e o JSON não compactado, tornando os registros consideravelmente maiores.

Para obter uma estimativa precisa, execute uma exportação representativa para um contêiner de blob de teste e meça o resultado usando este script de exemplo do PowerShell que calcula o tamanho total de cobrança de um contêiner de blob. No momento, não há cobrança por exportação para nuvens soberanas. Uma notificação será enviada antes da habilitação.

As regras de exportação de dados são cobradas no medidor de Exportação de Dados do Log Analytics. O mesmo medidor é usado por trabalhos de exportação (versão preliminar). Para distinguir os dois na fatura ou na análise de custo, verifique o campo Informações adicionais , no qual as regras de exportação de dados são marcadas com ExportType:Data export rule.

Para obter mais informações, incluindo a linha do tempo de cobrança de exportação de dados, consulte os Preços do Azure Monitor. A cobrança pela exportação de dados foi habilitada no início de outubro de 2023.

Destinos de exportação

O destino da exportação de dados precisa estar disponível antes da criação das regras de exportação no workspace. Os destinos podem estar em assinaturas diferentes. Com o Azure Lighthouse, também é possível enviar dados para destinos em outro locatário do Microsoft Entra.

Conta de armazenamento

Evite falhas de entrada de armazenamento devido à latência ou à exceção dos limites de taxa usando uma conta de armazenamento existente que não tenha outros dados de não monitoramento. Essa abordagem ajuda a controlar melhor o acesso aos dados e melhora a confiabilidade de exportação de dados.

Para enviar dados para uma conta de armazenamento imutável, defina a política imutável para a conta de armazenamento, conforme descrito em Definir e gerenciar políticas de imutabilidade para Armazenamento de Blobs do Azure. Você deve seguir todos os passos deste artigo, incluindo habilitar gravações de blobs de acréscimo protegidos.

Requisito de armazenamento	Detalhes
Escalão da conta	StorageV1 ou posterior. Não há suporte para Premium.
Região	Na mesma região do espaço de trabalho do Log Analytics. Use as opções de redundância do Armazenamento do Azure (GRS, GZRS) para replicação entre regiões.
Nomeação de contêiner	Um contêiner por tabela, chamado am- seguido pelo nome da tabela (por exemplo, am-SecurityEvent).
Estrutura de pastas	Pastas de 5 minutos: WorkspaceResourceId=/subscriptions/.../y=<ano>/m=<mês>/d=<dia>/h=<hora>/m=<minuto>/PT05M.json
Formato Blob	Linhas JSON, delimitadas por nova linha, sem matriz externa.
Limite de anexação	50.000 gravações por blob. Blobs adicionais adicionados como PT05M_#.json.

Observação

Os acréscimos aos blobs são escritos com base no campo "TimeGenerated" e ocorrem ao receber dados de origem. Os dados que chegam ao Azure Monitor com atraso ou são repetidos após a limitação de destinos são gravados em blobs de acordo com seu TimeGenerated.

O formato de blobs em uma conta de armazenamento está em linhas JSON, em que cada registro é delimitado por uma nova linha, sem matriz de registros externos e sem vírgulas entre registros JSON.

Hubs de Eventos

Evite usar um Hub de Eventos que tenha dados existentes e sem monitoramento. Essa prática recomendada ajuda a evitar falhas de entrada devido à latência ou ao exceder os limites de taxa.

Os dados são enviados para o seu Hub de Eventos à medida que chegam ao Azure Monitor e são exportados para destinos localizados em uma região do workspace. Crie várias regras de exportação para o mesmo namespace dos Hubs de Eventos fornecendo um Event Hub name diferente na regra. Quando um Event Hub name não for fornecido, um Hub de Eventos padrão será criado para as tabelas que você exportar com o nome am- seguido do nome da tabela. Por exemplo, a tabela SecurityEvent seria enviada a um Hub de Eventos chamado am-SecurityEvent.

O número de Hubs de Eventos com suporte nos níveis de namespaces Básico e Standard é 10. Ao exportar mais de 10 tabelas para esses níveis, divida as tabelas entre várias regras de exportação para diferentes namespaces dos Hubs de Eventos ou forneça um nome de um Hub de Eventos para o qual exportar todas as tabelas.

Observação

A camada do namespace Básico dos Hubs de Eventos é limitada. Ela oferece suporte a um tamanho de evento menor e não possui a opção de Auto-inflate para escalar automaticamente e aumentar o número de unidades de taxa de transferência. Como o volume de dados no seu espaço de trabalho aumenta com o tempo e, como consequência, o dimensionamento do Hubs de Eventos do Azure é necessário, use os níveis Standard, Premium ou Dedicated Event Hubs com o recurso Auto-inflate habilitado. Para obter mais informações, veja Dimensionar automaticamente as unidades de taxa de transferência dos Hubs de Eventos do Azure.
Você não pode usar um hub de eventos compactado porque ele requer que a mensagem tenha uma chave de partição, que o Azure Monitor não inclui.
A exportação de dados não consegue acessar recursos dos Hubs de Eventos quando as redes virtuais estão habilitadas. Você precisa selecionar a caixa de seleção Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa Conta de Armazenamento para ignorar essa configuração do firewall em um Hub de Eventos de modo a conceder acesso aos seus Hubs de Eventos.

Consultar dados exportados

Exportar dados de espaços de trabalho para contas de armazenamento ajuda a atender a vários cenários mencionados na visão geral, e os dados exportados podem ser usados por ferramentas capazes de ler blobs em contas de armazenamento. Os métodos a seguir permite consultar dados usando a linguagem de consulta do Log Analytics, que é a mesma para o Azure Data Explorer.

Use Azure Data Explorer para consultar dados em Azure Data Lake Storage.
Use Azure Data Explorer para ingerir dados de uma conta de armazenamento.
Use Log Analytics workspace para consultar dados ingeridos usando a API de Ingestão de Logs. Os dados ingeridos são enviados para uma tabela de log personalizada e não para a tabela original.

Habilitar exportação de dados

As etapas a seguir devem ser executadas para habilitar a exportação de dados do Log Analytics.

Registrar o provedor de recursos
Permitir serviços confiáveis da Microsoft
Criar ou atualizar uma regra de exportação de dados

Depois de criar uma regra de exportação de dados, monitore seus destinos para garantir operações de exportação confiáveis.

Registre o provedor de recursos

O provedor de recursos do Azure Microsoft.Insights precisa ser registrado na assinatura para habilitar a exportação de dados do Log Analytics.

Provavelmente, esse provedor de recursos provavelmente já é registrado para a maioria dos usuários do Azure Monitor. Para verificar, acesse Assinaturas no portal do Azure. Selecione sua assinatura e Provedores de recursos na seção Configurações do menu. Localize Microsoft.Insights. Se seu status for Registrado, então ele já está registrado. Caso contrário, selecione Registrar para registrá-lo.

Você também pode usar qualquer um dos métodos disponíveis para registrar um provedor de recursos, conforme descrito em Provedores de recursos do Azure e tipos. O seguinte comando de exemplo usa a CLI do Azure:

az provider register --namespace 'Microsoft.insights'

O seguinte comando de exemplo usa o PowerShell:

Register-AzResourceProvider -ProviderNamespace Microsoft.insights

Permitir serviços confiáveis da Microsoft

Se você configurar sua conta de armazenamento para permitir o acesso de redes selecionadas, precisará adicionar uma exceção para permitir que Azure Monitor escrevam na conta. Em Firewalls e redes virtuais da sua conta de armazenamento, selecione Permitir que os serviços do Azure da lista de serviços confiáveis acessem esta conta de armazenamento.

Monitorar destinos

Importante

Destinos de exportação têm limites. Monitore-os para minimizar a limitação, falhas e latência. Para obter mais informações, consulte a escalabilidade da conta de armazenamento e as cotas de namespace dos Hubs de Eventos.

As métricas a seguir estão disponíveis para a operação de exportação de dados e alertas

Nome da métrica	Descrição
Bytes Exportados	Número total de bytes exportados para o destino do espaço de trabalho do Log Analytics dentro do intervalo de tempo selecionado. O tamanho dos dados exportados é o número de bytes nos dados formatados JSON exportados. 1 GB = 10^9 bytes.
Falhas de importação	Número total de solicitações de exportação com falha para o destino do espaço de trabalho do Log Analytics dentro do intervalo de tempo selecionado. Esse número inclui falha de tentativas de exportação devido à limitação de recursos de destino, erro de acesso proibido ou qualquer erro de servidor. Um processo de repetição lida com tentativas com falha e o número não é uma indicação de dados ausentes.
Registros Exportados	Número total de registros exportados do workspace do Log Analytics dentro do intervalo de tempo selecionado. Esse número conta registros para operações que terminaram com êxito.

Monitorar uma conta de armazenamento

Use uma conta de armazenamento separada para exportação.

Configurar um alerta na métrica:

Scope	Namespace da métrica	Métrica	Agregação	Limite
nome-do-armazenamento	Conta	Entrada	Soma	80% da entrada máxima por período de avaliação de alerta. Por exemplo, o limite é de 60 Gbps para uso geral v2 no Oeste dos EUA. O limite de alerta é de 1676 GiB por período de avaliação de 5 minutos.

Ações de remediação de alertas:
- Use uma conta de armazenamento separada para exportação que não seja compartilhada com dados sem monitoramento.
- As contas Standard do Armazenamento do Azure dão suporte a limites de entrada mais altos por solicitação. Para solicitar um aumento, entre em contato com o Suporte do Azure.
- Dividir tabelas entre mais contas de armazenamento.

Monitorar os Hubs de Eventos

Configure alertas nas métricas:

Scope	Namespace da métrica	Métrica	Agregação	Limite
namespaces-name	Métricas padrão dos Hubs de Eventos	Bytes recebidos	Soma	80% da entrada máxima por período de avaliação de alerta. Por exemplo, o limite é de 1 MB/s por unidade (TU ou PU) e cinco unidades usadas. O limite é de 228 MiB por período de avaliação de 5 minutos.
namespaces-name	Métricas padrão dos Hubs de Eventos	Solicitações de entrada	Contagem	80% do máximo de eventos por período de avaliação de alerta. Por exemplo, o limite é de 1.000/s por unidade (TU ou PU) e cinco unidades são usadas. O limite é de 1.200.000 por período de avaliação de 5 minutos.
namespaces-name	Métricas padrão dos Hubs de Eventos	Erros de cota excedida	Contagem	Entre 1% da solicitação. Por exemplo, as solicitações por 5 minutos são 600.000. O limite é de 6.000 por período de avaliação de 5 minutos.

Ações de remediação de alertas:
- Utilize um namespace distinto dos Hubs de Eventos para exportação que não seja compartilhado com dados não relacionados a monitoramento.
- Configure o recurso de Ampliação automática para escalar automaticamente e aumentar o número de unidades de vazão para atender às necessidades de uso.
- Verifique o aumento das unidades de produtividade para acomodar o volume de dados.
- Divida as tabelas entre mais namespaces.
- Use as camadas Premium ou Dedicado para uma taxa de transferência mais alta.

Criar ou atualizar uma regra de exportação de dados

Uma regra de exportação de dados define o destino e as tabelas para as quais os dados são exportados. O provisionamento da regra leva cerca de 30 minutos antes do início da operação de exportação. Considerações sobre regras de exportação de dados:

A conta de armazenamento deve ser única entre as regras do espaço de trabalho.
Várias regras podem usar o mesmo namespace dos Hubs de Eventos quando você enviá-las para Hubs de Eventos separados.
Exportar para uma conta de armazenamento: um contêiner separado é criado na conta de armazenamento para cada tabela.
Exportar para os Hubs de Eventos: se o nome de um Hub de Eventos não for fornecido, um Hub de Eventos diferente será criado para cada tabela. O número de Hubs de Eventos com suporte nos níveis de namespaces Básico e Standard é 10. Ao exportar mais de 10 tabelas para esses níveis, divida as tabelas entre várias regras de exportação para diferentes namespaces de Hubs de Eventos ou forneça o nome de um Hub de Eventos na regra para o qual exportar todas as tabelas.

No Portal do Azure, acesse o workspace do Log Analytics.
No menu à esquerda, em Configurações, selecione Regras.
Selecione a guia Regras de exportação de dados .
Selecione Nova regra de exportação na parte superior do painel.
Siga as etapas e selecione Criar. Somente as tabelas com dados são exibidas na guia "Fonte".

Use o comando a seguir para criar uma regra de exportação de dados para uma conta de armazenamento usando a CLI. Esse processo cria um contêiner separado para cada tabela.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
storageAccountName="myStorageAccountName"

# Build destination storage account resource ID
storagePath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
storageProvider="Microsoft.Storage/storageAccounts/$storageAccountName"
storageAccountResourceId="$storagePath/providers/$storageProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$storageAccountResourceId"

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos específico usando a CLI. Todas as tabelas são exportadas para o nome do Hub de Eventos fornecido e podem ser filtradas pelo campo Tipo para separar as tabelas.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"
eventHubName="myEventHub"

# Build destination Event Hub resource ID
eventHubPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubProvider="Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
eventHubResourceId="$eventHubPath/providers/$eventHubProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubResourceId"

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos usando a CLI. Quando você não fornece um nome específico do Hub de Eventos, o processo cria um contêiner separado para cada tabela, até o número de Hubs de Eventos com suporte para sua camada de Hubs de Eventos. Se você tiver mais tabelas para exportar, forneça um nome do Hub de Eventos para exportar qualquer número de tabelas ou defina uma nova regra para exportar as tabelas restantes para outro namespace dos Hubs de Eventos.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"

# Build destination Event Hub namespace resource ID
eventHubNsPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubNsProvider="Microsoft.EventHub/namespaces/$eventHubNamespace"
eventHubNamespaceResourceId="$eventHubNsPath/providers/$eventHubNsProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubNamespaceResourceId"

Para criar ou atualizar uma regra de exportação de dados, use essa PUT solicitação para o grupo de operações de regras de exportação de dadosda API REST de gerenciamento de logs. Use o mais recente apiVersion documentado ali.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

O corpo da solicitação especifica o destino da tabela. O exemplo a seguir é um exemplo de corpo da solicitação REST.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2" 
        ],
        "enable": true
    }
}

O exemplo a seguir é uma amostra do corpo da solicitação REST para um Hub de Eventos.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

O exemplo a seguir é uma amostra do corpo da solicitação REST para um Hub de Eventos em que o nome do Hub de Eventos é fornecido. Nesse caso, todos os dados exportados são enviados para ele.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "metaData": {
                "EventHubName": "myEventHub"
            }
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

Use o comando a seguir para criar uma regra de exportação de dados para uma conta de armazenamento usando o PowerShell. Um contêiner diferente é criado para cada tabela.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$storageAccountName = 'myStorageAccountName'

# Build destination storage account resource ID
$storagePath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$storageProvider = "Microsoft.Storage/storageAccounts/$storageAccountName"
$storageAccountResourceId = "$storagePath/providers/$storageProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $storageAccountResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos específico usando o PowerShell. O comando exporta todas as tabelas para o nome do Hub de Eventos fornecido. Filtre pelo campo Tipo para separar tabelas.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'
$eventHubName = 'myEventHub'

# Build destination Event Hub resource ID
$eventHubPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
$eventHubResourceId = "$eventHubPath/providers/$eventHubProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubResourceId
    EventHubName      = $eventHubName
}
New-AzOperationalInsightsDataExport @dataExportParams

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos usando o PowerShell. Quando você não fornece um nome específico do Hub de Eventos, o comando cria um contêiner separado para cada tabela, até o número de Hubs de Eventos com suporte em cada camada de Hubs de Eventos. Para exportar mais tabelas, forneça um nome de Hub de Eventos na regra. Ou você pode definir outra regra e exportar as tabelas restantes para outro namespace dos Hubs de Eventos.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'

# Build destination Event Hub namespace resource ID
$eventHubNsPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubNsProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace"
$eventHubNamespaceResourceId = "$eventHubNsPath/providers/$eventHubNsProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubNamespaceResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

Implante o modelo de Bicep a seguir para criar uma regra de exportação de dados em uma conta de armazenamento. O modelo cria um contêiner separado para cada tabela.

param workspaceName string
param workspaceLocation string
param storageAccountRuleName string
param storageAccountResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: storageAccountRuleName
  properties: {
    destination: {
      resourceId: storageAccountResourceId
    }
    tableNames: [
      'Heartbeat'
      'InsightsMetrics'
      'VMConnection'
      'Usage'
    ]
    enable: true
  }
}

Implante o modelo de Bicep a seguir para criar uma regra de exportação de dados para um Hub de Eventos. O modelo cria um Hub de Eventos separado para cada tabela.

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

Implante o modelo de Bicep a seguir para criar uma regra de exportação de dados para um Hub de Eventos específico. O modelo exporta todas as tabelas para esse Hub de Eventos.

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string
param eventhubName string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
      metaData: {
        eventHubName: eventhubName
      }
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

Implante o modelo arm a seguir para criar uma regra de exportação de dados em uma conta de armazenamento.

Criar regra de exportação para enviar para uma conta de armazenamento

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "storageAccountRuleName": {
            "defaultValue": "myStorageAccountRuleName",
            "type": "string"
        },
        "storageAccountResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
                {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/' , parameters('storageAccountRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('storageAccountResourceId')]"
                      },
                      "tableNames": [
                          "Heartbeat",
                          "InsightsMetrics",
                          "VMConnection",
                          "Usage"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Implante o modelo arm a seguir para criar uma regra de exportação de dados em um Hub de Eventos. O modelo cria um Hub de Eventos separado para cada tabela.

Criar regra de exportação para enviar para o namespace do Hub de Eventos

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]"
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Implante o modelo arm a seguir para criar uma regra de exportação de dados em um Hub de Eventos específico. A regra exporta todas as tabelas para este Hub de Eventos.

Criar regra de exportação para enviar para um Hub de Eventos específico

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        },
        "eventhubName": {
            "defaultValue": "myEventHub",
            "type": "string"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]",
                          "metaData": {
                              "eventHubName": "[parameters('eventhubName')]"
                          }
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Exibir configuração da regra de exportação de dados

No Portal do Azure, acesse o workspace do Log Analytics.
No menu à esquerda, em Configurações, selecione Regras.
Selecione a guia Regras de exportação de dados para exibir todas as regras de exportação no workspace.
Selecione uma regra para exibição da configuração.

Use o comando a seguir para exibir a configuração de uma regra de exportação de dados usando a CLI.

az monitor log-analytics workspace data-export show \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

Para exibir a configuração de uma regra de exportação de dados, use essa GET solicitação para o grupo de operações de regras de exportação de dadosda API REST de gerenciamento de logs. Use o mais recente apiVersion documentado ali.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

Use o comando a seguir para exibir a configuração de uma regra de exportação de dados usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Get-AzOperationalInsightsDataExport @dataExportParams

Desabilitar ou atualizar uma regra de exportação

Desabilite as regras de exportação para interromper a exportação por um determinado período, como quando o teste está sendo realizado.

No Portal do Azure, acesse o workspace do Log Analytics.
No menu à esquerda, em Configurações, selecione Regras.
Selecione a guia Regras de exportação de dados .
Selecione a alternância Status para desabilitar ou habilitar a regra de exportação.

Você pode desabilitar as regras de exportação para interromper a exportação por determinado período, como quando o teste está sendo realizado. Use o comando a seguir para desabilitar ou atualizar parâmetros de regra usando a CLI.

az monitor log-analytics workspace data-export update \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName \
  --tables SecurityEvent Heartbeat \
  --enable false

Use esse método para desabilitar uma regra de exportação por um determinado período, como durante o teste. Para desabilitar ou atualizar parâmetros de regra, use essa PUT solicitação para o grupo de operações de regras de exportação de dados da API REST de gerenciamento de logs. Use o mais recente apiVersion documentado ali.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": false
    }
}

Para interromper temporariamente a exportação de uma regra, por exemplo, para testes, desative a regra definindo Enable como $false. Use o comando a seguir para desabilitar a regra ou atualizar seus parâmetros usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
    TableName         = 'SecurityEvent,Heartbeat'
    Enable            = $false
}
Update-AzOperationalInsightsDataExport @dataExportParams

Excluir uma regra de exportação

No Portal do Azure, acesse o workspace do Log Analytics.
No menu à esquerda, em Configurações, selecione Regras.
Selecione a guia Regras de exportação de dados .
Selecione as reticências à direita da regra e selecione Excluir.

Use o comando a seguir para excluir uma regra de exportação de dados usando a CLI.

az monitor log-analytics workspace data-export delete \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

Para excluir uma regra de exportação de dados, use essa DELETE solicitação para o grupo de operações de regras de exportação de dadosda API REST de gerenciamento de logs. Use o mais recente apiVersion documentado ali.

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

Use o comando a seguir para excluir uma regra de exportação de dados usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Remove-AzOperationalInsightsDataExport @dataExportParams

Exibir todas as regras de exportação de dados em um espaço de trabalho

No Portal do Azure, acesse o workspace do Log Analytics.
No menu à esquerda, em Configurações, selecione Regras.
Selecione a guia Regras de exportação de dados para exibir todas as regras de exportação no workspace.

Use o comando a seguir para exibir todas as regras de exportação de dados em um espaço de trabalho usando a CLI.

az monitor log-analytics workspace data-export list \
  --resource-group resourceGroupName \
  --workspace-name workspaceName

Para visualizar todas as regras de exportação de dados em um espaço de trabalho, use esta solicitação GET para o grupo de operações Regras de exportação de dados da API REST de gerenciamento de logs. Use o mais recente apiVersion documentado ali.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports?api-version={apiVersion}
Authorization: Bearer {accessToken}

Use o comando a seguir para exibir todas as regras de exportação de dados em um workspace usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
}
Get-AzOperationalInsightsDataExport @dataExportParams

Tabelas sem suporte

Observação

Se a regra de exportação de dados incluir uma tabela sem suporte, a configuração terá sucesso, mas nenhum dado será exportado para essa tabela. Quando houver suporte para a tabela, a exportação de dados será iniciada em seguida. Estamos em um processo de adição de suporte para mais tabelas. Verifique este artigo regularmente.

Tabela	Limitações
Alerta	Suporte parcial. Não há suporte para a ingestão de dados para alertas do Zabbix.
Histórico de Alertas
AzureActivity	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.
AzureDiagnostics
Mudança de Configuração	Suporte parcial. Alguns dos dados são ingeridos por meio de serviços internos que não têm suporte para exportação. No momento, essa parte está ausente na exportação.
Dados de Configuração	Suporte parcial. Alguns dos dados são ingeridos por meio de serviços internos que não têm suporte para exportação. No momento, essa parte está ausente na exportação.
DatabricksDatabricksSQL
DatabricksSQL
Lançamento de Aplicativo do Dispositivo
Calendário do Dispositivo
SessãoDeConexãoDoDispositivo
DeviceEtw	Suporte parcial. Alguns dos dados são ingeridos por meio de serviços internos que não têm suporte para exportação. No momento, essa parte está ausente na exportação.
DeviceHeartbeat
ETWEvent	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.
Evento	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.
Sessões de Rede
Operação	Suporte parcial. Alguns dos dados são ingeridos por meio de serviços internos que não têm suporte para exportação. No momento, essa parte está ausente na exportação.
Status de Proteção
SecurityEvent	Suporte parcial. Alguns dos dados são ingeridos por meio de serviços internos que não têm suporte para exportação. No momento, essa parte está ausente na exportação.
Evento Operacional do Service Fabric	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.
ServiceFabricReliableActorEvent	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.
ServiceFabricReliableServiceEvent	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.
Syslog	Suporte parcial. Alguns dos dados são ingeridos por meio de serviços internos que não têm suporte para exportação. No momento, essa parte está ausente na exportação.
W3CIISLog	Suporte parcial. Os dados que chegam do agente de Log Analytics ou do Azure Monitor Agent têm suporte completo na exportação. Os dados que chegam por meio do agente de extensão Diagnostics são coletados por meio de armazenamento. Não há suporte para esse caminho na exportação.

Consultar os dados exportados no Azure Data Explorer

Comentários

Esta página foi útil?

Last updated on 2026-07-07

Regras de exportação de dados do Log Analytics no Azure Monitor

Visão geral

Outras opções de exportação

Permissões necessárias

Considerações

Integridade dos dados

Modelo de preços

Destinos de exportação

Conta de armazenamento

Hubs de Eventos

Consultar dados exportados

Habilitar exportação de dados

Registre o provedor de recursos

Permitir serviços confiáveis da Microsoft

Monitorar destinos

Monitorar uma conta de armazenamento

Monitorar os Hubs de Eventos

Criar ou atualizar uma regra de exportação de dados

Exibir configuração da regra de exportação de dados

Desabilitar ou atualizar uma regra de exportação

Excluir uma regra de exportação

Exibir todas as regras de exportação de dados em um espaço de trabalho

Tabelas sem suporte

Conteúdo relacionado

Comentários

Recursos adicionais