Regras de exportação de dados Log Analytics no Azure Monitor

As regras de exportação de dados num espaço de trabalho Log Analytics permitem-lhe exportar continuamente dados por tabela selecionada. Exportar para uma conta Armazenamento de Blobs do Azure ou Hubs de Eventos do Azure à medida que os dados chegam ao Azure Monitor. Este artigo fornece detalhes sobre esta funcionalidade e passos para configurar regras de exportação de dados nos seus espaços de trabalho.

Descrição geral

Os dados no Log Analytics estão disponíveis para o período de retenção definido no seu espaço de trabalho. Ele é usado em várias experiências fornecidas no Azure Monitor e nos serviços do Azure. Há casos em que você precisa usar outras ferramentas:

Conformidade do arquivo protegido contra adulteração: Os dados não podem ser alterados no Log Analytics após a ingestão, mas podem ser eliminados. Exporte para uma conta de armazenamento com políticas de imutabilidade para manter a proteção contra manipulação de dados.
Integração com serviços do Azure e outras ferramentas: exporte para Hubs de Eventos à medida que os dados chegam e são processados no Azure Monitor.
Retenção a longo prazo de dados de auditoria e segurança: Exporte para uma conta de armazenamento na região da área de trabalho. Replica dados para outras regiões usando qualquer uma das opções de redundância do Armazenamento do Azure, incluindo GRS e GZRS.

Depois de configurar regras de exportação de dados num espaço de trabalho Log Analytics, novos dados para tabelas nas regras são exportados do pipeline do Azure Monitor para a sua conta de armazenamento ou para os Event Hubs à medida que chegam. O tráfego de exportação de dados está na rede backbone do Azure e não sai da rede Azure.

Os dados são exportados sem filtro. Por exemplo, quando você configura uma regra de exportação de dados para uma tabela SecurityEvent , todos os dados enviados para a tabela SecurityEvent são exportados a partir do momento da configuração. Alternativamente, filtre ou modifique os dados exportados configurando transformações no seu espaço de trabalho. As transformações aplicam-se aos dados recebidos antes de estes serem enviados para o seu espaço de trabalho Log Analytics e para os destinos de exportação.

Outras opções de exportação

As regras de exportação de dados do Log Analytics exportam continuamente os dados que são enviados para o seu espaço de trabalho do Log Analytics. Outras opções exportam dados para estes cenários particulares:

Para exportar registos históricos de uma única tabela por consulta e intervalo temporal para o Armazenamento de Blobs do Azure, execute um trabalho de exportação (Preview). Um trabalho de exportação foi concebido especificamente para exportar dados históricos a pedido em grande escala e grava os resultados em formato Parquet.
Se um recurso do Azure já estiver enviando logs para a sua área de trabalho do Log Analytics por meio das suas configurações de log de diagnóstico, considere atualizar diretamente as configurações de diagnóstico no recurso do Azure para adicionar o novo destino em vez de realizar regularmente uma exportação de dados. Essa abordagem tem latência menor em comparação com uma exportação de dados, mas não envia dados históricos.
Agende uma exportação de dados com base em uma consulta de log definida com a API de consulta do Log Analytics. Use o Azure Data Factory, o Funções do Azure ou os Aplicativos Lógicos do Azure para orquestrar consultas em seu espaço de trabalho e exportar dados para um destino. Esse método é semelhante ao recurso de exportação de dados, mas você pode usá-lo para exportar dados históricos do seu espaço de trabalho usando filtros e agregação. Esse método está sujeito a limites de consulta de log e não se destina a escala. Para mais informações, consulte Exportar dados de um espaço de trabalho Log Analytics para uma conta de armazenamento usando Logic Apps.
Use uma exportação única para uma máquina local usando um script do PowerShell. Para obter mais informações, consulte Invoke-AzOperationalInsightsQueryExport.

Permissões necessárias

Ação	Permissões necessárias
Criar ou atualizar regra de exportação de dados	`Microsoft.OperationalInsights/workspaces/dataexports/write`permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna de Colaborador do Log Analytics, por exemplo
Excluir regra de exportação de dados	`Microsoft.OperationalInsights/workspaces/dataexports/delete`permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna de Colaborador do Log Analytics, por exemplo
Exportar para conta de armazenamento	`Microsoft.Storage/storageAccounts/blobServices/containers/write` permissões para a conta de armazenamento, tal como as concedidas pela função incorporada Contribuidor da Conta de Armazenamento, por exemplo
Exportar para o Hub de Eventos	`Microsoft.EventHub/namespaces/eventhubs/write`, `Microsoft.EventHub/namespaces/eventhubs/messages/write`, `Microsoft.EventHub/namespaces/authorizationRules/listkeys/action` permissões para o Hub de Eventos, conforme fornecido pelas funções incorporadas de Proprietário de Dados dos Hubs de Eventos do Azure, tais como
Consultar registos numa tabela	`Microsoft.OperationalInsights/workspaces/query/<table>/read`permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna Log Analytics Reader, por exemplo
Logs de consulta numa tabela (ação na tabela)	`Microsoft.OperationalInsights/workspaces/tables/query/read`permissões para o espaço de trabalho do Log Analytics, conforme fornecido pela função interna Log Analytics Reader, por exemplo

Considerations

Os logs personalizados criados usando a API HTTP Data Collector não podem ser exportados, incluindo logs de texto processados pelo agente do Log Analytics. Os logs personalizados criados usando regras de coleta de dados, incluindo logs baseados em texto, podem ser exportados.
A exportação de dados suportará gradualmente mais tabelas. Consulte a secção Tabelas não suportadas .
O número máximo de regras ativas por espaço de trabalho é 10, cada uma pode incluir várias tabelas.
A conta de armazenamento deve ser única entre as regras do espaço de trabalho.
Os planos de tabela suportados são Analytics e Basic. O plano auxiliar não é suportado.
Os destinos devem estar na mesma região que o espaço de trabalho do Log Analytics.
Exportar para uma conta de armazenamento Premium não é suportado.

Exaustividade dos dados

A exportação de dados é otimizada para mover grandes volumes de dados para seus destinos. No caso de um destino com capacidade ou disponibilidade insuficientes, o processo de repetição continua durante até 12 horas e pode resultar na duplicação de uma parte dos registos exportados. Siga as recomendações para os destinos de conta de armazenamento e de Event Hubs para melhorar a fiabilidade. Se os destinos ainda estiverem indisponíveis após o período de novas tentativas, os dados serão descartados.

Para obter mais informações sobre limites de destino e alertas recomendados, consulte Criar ou atualizar uma regra de exportação de dados.

Modelo de preços

As taxas de exportação de dados são baseadas no número de bytes exportados para destinos em dados formatados em JSON e medidos em GB (10^9 bytes). O tamanho da tabela reportado no Azure Monitor Logs é menor do que o tamanho dos dados que chegam ao destino de exportação. Esta discrepância deve-se aos seguintes fatores:

O Azure Monitor Logs exclui certos campos do cálculo do tamanho faturável.
Os dados exportados para armazenamento são não comprimidos.
Os dados exportados incluem nomes de propriedades com cada registo para garantir que cada registo é JSON válido.
Quando os próprios registos de log são pequenos, os metadados representam uma sobrecarga significativa, tornando mais acentuado o aumento relativo do tamanho.

Os cálculos de tamanho de exportação de dados não podem ser feitos com uma consulta de espaço de trabalho, pois o cálculo de tamanho não inclui a sobrecarga de formatação JSON. Ao comparar o tamanho reportado no Azure Monitor Logs com o que aparece na conta de armazenamento, espere diferenças substanciais. No Azure Monitor Logs, pequenos eventos ometem metadados como nomes de propriedades, enquanto o blob de armazenamento inclui tanto os metadados como o JSON não comprimido, tornando os registos consideravelmente maiores.

Para uma estimativa precisa, execute uma exportação representativa para um contentor de blob de teste e meça o resultado usando este script PowerShell de exemplo que calcula o tamanho total de faturação de um contentor de blob. Atualmente, não há cobrança para exportação para nuvens soberanas. Uma notificação será enviada antes da habilitação.

As regras de exportação de dados são cobradas ao abrigo do tarifário Log Analytics Data Export. O mesmo contador é utilizado pelas tarefas de exportação (pré-visualização). Para distinguir os dois na sua fatura ou na análise de custos, verifique o campo Informação Adicional , onde as regras de exportação de dados estão marcadas com ExportType:Data export rule.

Para obter mais informações, incluindo a linha do tempo de cobrança de exportação de dados, consulte Preços do Azure Monitor. A cobrança para exportação de dados foi habilitada no início de outubro de 2023.

Destinos de exportação

O destino da exportação de dados deve estar disponível antes de criar regras de exportação em seu espaço de trabalho. Os destinos podem estar em diferentes subscrições. Com o Azure Lighthouse, também é possível enviar dados para destinos em outro tenant da Microsoft Entra.

Conta de armazenamento

Previna falhas de entrada de armazenamento devido à latência ou ao excesso dos limites de taxa usando uma conta de armazenamento existente que não tenha outros dados que não sejam monitorizados. Esta abordagem ajuda a controlar melhor o acesso aos dados e melhora a fiabilidade da exportação de dados.

Para enviar dados para uma conta de armazenamento imutável, defina a política imutável para a conta de armazenamento conforme descrito em Set e gere políticas de imutabilidade para o Armazenamento de Blobs do Azure. Você deve seguir todas as etapas neste artigo, incluindo a habilitação de escrita de blobs de acréscimo protegidos.

Necessidade de armazenamento	Detail
Nível da conta	StorageV1 ou versões posteriores. O Premium não é suportado.
Região	Na mesma região do espaço de trabalho do Log Analytics. Use as opções de redundância do Armazenamento do Azure (GRS, GZRS) para replicação entre regiões.
Nomeação de contentores	Um contentor por tabela, chamado am- seguido do nome da tabela (por exemplo, am-SecurityEvent).
Estrutura de pastas	Pastas de 5 minutos: WorkspaceResourceId=/subscrições/.../y=<ano>/m=<mês>/d=<dia>/h=<hora>/m=<minuto>/PT05M.json
Formato Blob	Linhas JSON, delimitadas por novas linhas, sem matriz exterior.
Limite para anexar	50 000 operações de escrita por blob. Blobs adicionais adicionados como PT05M_#.json.

Nota

Os acréscimos aos blobs são escritos com base no campo "TimeGenerated" e ocorrem quando recebem dados de origem. Os dados que chegam ao Azure Monitor com atraso, ou tentados novamente após restrições de capacidade dos destinos, são gravados em blobs de acordo com o TimeGenerated.

O formato dos blobs numa conta de armazenamento é em linhas JSON, onde cada registo é delimitado por uma nova linha, sem array externo de registos e sem vírgulas entre registos JSON.

Hubs de Eventos

Evite usar um Hub de Eventos que tenha dados existentes e sem monitoramento. Essa prática recomendada ajuda a evitar falhas de entrada devido à latência ou à superação dos limites de taxa.

Os dados são enviados para o Hub de Eventos à medida que chegam ao Azure Monitor e são exportados para destinos localizados em uma região de espaço de trabalho. Crie várias regras de exportação para o mesmo namespace do Hub de Eventos fornecendo uma diferente Event Hub name na regra. Quando um Event Hub name não é fornecido, um Hub de Eventos padrão é criado para tabelas que você exporta com o nome am- seguido pelo nome da tabela. Por exemplo, a tabela SecurityEvent seria enviada para um Hub de Eventos chamado am-SecurityEvent.

O número de Hubs de Eventos suportados nas camadas de namespace Basic e Standard é 10. Quando você estiver exportando mais de 10 tabelas para essas camadas, divida as tabelas entre várias regras de exportação para diferentes namespaces de Hubs de Eventos ou forneça um nome de Hub de Eventos para exportar todas as tabelas para ele.

Nota

A camada de namespace Basic Event Hubs é limitada. Ele suporta tamanho de evento menor e não possui a opção Auto-inflate para aumentar automaticamente a escala e o número de unidades de taxa de transferência. Como o volume de dados para o seu espaço de trabalho aumenta com o tempo e, como consequência, o dimensionamento do Hub de Eventos é necessário, use as camadas Hubs de Eventos Standard, Premium ou Dedicado com o recurso de autoescalação habilitado. Para obter mais informações, consulte Aumentar automaticamente as unidades de throughput dos Hubs de Eventos do Azure.
Não podes usar um hub de eventos compactado porque exige que a mensagem tenha uma chave de partição, que o Azure Monitor não inclui.
A exportação de dados não pode alcançar os recursos dos Hubs de Eventos quando as redes virtuais estão habilitadas. Você precisa marcar a caixa de seleção Permitir que os serviços do Azure na lista de serviços confiáveis acessem essa Conta de Armazenamento para ignorar essa configuração de firewall em um Hub de Eventos para conceder acesso aos seus Hubs de Eventos.

Consultar dados exportados

Exportar dados de espaços de trabalho para contas de armazenamento ajuda a satisfazer vários cenários mencionados na visão geral e pode ser consumido por ferramentas que conseguem ler blobs de contas de armazenamento. Os métodos a seguir permitem consultar dados usando a linguagem de consulta do Log Analytics, que é a mesma para o Azure Data Explorer.

Use Azure Data Explorer para consultar dados em Azure Data Lake Storage.
Use o Azure Data Explorer para ingerir dados de uma conta de armazenamento.
Use o espaço de trabalho Log Analytics para consultar dados ingeridos usando a API de Ingestão de Logs. Os dados ingeridos são enviados para uma tabela de log personalizada e não para a tabela original.

Habilitar exportação de dados

As etapas a seguir devem ser executadas para habilitar a exportação de dados do Log Analytics.

Registrar o provedor de recursos
Permitir serviços confiáveis da Microsoft
Criar ou atualizar uma regra de exportação de dados

Depois de criar uma regra de exportação de dados, monitorize os seus destinos para garantir operações de exportação fiáveis.

Registar o fornecedor de recursos

O provedor de recursos do Azure Microsoft.Insights precisa ser registrado em sua assinatura para habilitar a exportação de dados do Log Analytics.

Esse provedor de recursos provavelmente já está registrado para a maioria dos usuários do Azure Monitor. Para verificar, vá para Assinaturas no portal do Azure. Selecione a sua subscrição e, em seguida, selecione Fornecedores de recursos na secção Definições do menu. Localize Microsoft.Insights. Se o seu estado for Registado, então já está registado. Caso contrário, selecione Registrar para registrá-lo.

Você também pode usar qualquer um dos métodos disponíveis para registrar um provedor de recursos conforme descrito em Provedores e tipos de recursos do Azure. O comando de exemplo a seguir usa a CLI do Azure:

az provider register --namespace 'Microsoft.insights'

O comando de exemplo a seguir usa o PowerShell:

Register-AzResourceProvider -ProviderNamespace Microsoft.insights

Permitir serviços confiáveis da Microsoft

Se configurares a tua conta de armazenamento para permitir o acesso a partir de redes selecionadas, precisas de adicionar uma exceção para permitir que o Azure Monitor escreva na conta. Em Firewalls e redes virtuais da sua conta de armazenamento, selecione Permitir que os serviços do Azure na lista de serviços fidedignos acedam a esta conta de armazenamento.

Monitore destinos

Importante

Os destinos de exportação têm limites. Monitorize-os para minimizar o estrangulamento, as falhas e a latência. Para mais informações, consulte escalabilidade da conta de armazenamento e quotas de namespace dos Event Hubs.

As métricas a seguir estão disponíveis para operações e alertas de exportação de dados:

Nome da métrica	Descrição
Bytes exportados	Número total de bytes exportados para o destino do espaço de trabalho do Log Analytics dentro do intervalo de tempo selecionado. O tamanho dos dados exportados é o número de bytes nos dados formatados em JSON exportados. 1 GB = 10^9 bytes.
Falhas de exportação	Número total de solicitações de exportação com falha para o destino do espaço de trabalho do Log Analytics dentro do intervalo de tempo selecionado. Esse número inclui falhas de tentativas de exportação devido à limitação de recursos de destino, erro de acesso proibido ou qualquer erro do servidor. Um processo de repetição lida com tentativas falhadas e o número não é uma indicação de dados ausentes.
Discos Exportados	Número total de registros exportados do espaço de trabalho do Log Analytics dentro do intervalo de tempo selecionado. Este número contabiliza os registos das operações que terminaram com sucesso.

Monitorizar uma conta de armazenamento

Use uma conta de armazenamento separada para exportação.

Configurar um alerta para a métrica:

Âmbito	Espaço de nomes de métricas	Métrica	Agregação	Limiar
nome do armazenamento	Conta	Entrada	Soma	80% da entrada máxima por período de avaliação de alerta. Por exemplo, o limite é de 60 Gbps para v2 de uso geral no oeste dos EUA. O limiar de alerta é de 1676 GiB por período de avaliação de 5 minutos.

Ações de correção de alerta:
- Use uma conta de armazenamento separada para exportação que não seja partilhada com dados que não estejam a monitorizar.
- As contas do Padrão de Armazenamento do Azure oferecem suporte a um limite de entrada mais alto por solicitação. Para solicitar um aumento, entre em contato com o Suporte do Azure.
- Divida as tabelas entre mais contas de armazenamento.

Monitorizar Hubs de Eventos

Configure alertas nas métricas:

Âmbito	Espaço de nomes de métricas	Métrica	Agregação	Limiar
nome do namespace	Métricas padrão dos Hubs de Eventos	Bytes de entrada	Soma	80% da entrada máxima por período de avaliação de alerta. Por exemplo, o limite é de 1 MB/s por unidade (TU ou PU) e cinco unidades usadas. O limiar é de 228 MiB por período de avaliação de 5 minutos.
nome do namespace	Métricas padrão dos Hubs de Eventos	Pedidos recebidos	Contar	80% do número máximo de eventos por período de avaliação do alerta. Por exemplo, o limite é de 1.000 por segundo por unidade (TU ou PU), com cinco unidades a serem utilizadas. O limiar é de 1.200.000 por período de avaliação de 5 minutos.
nome do namespace	Métricas padrão dos Hubs de Eventos	Erros de quota excedida	Contar	Cerca de 1% da solicitação. Por exemplo, as solicitações por 5 minutos são 600.000. O limiar é de 6.000 por período de avaliação de 5 minutos.

Ações de correção de alerta:
- Use um namespace de Hubs de Eventos separado para exportação que não seja compartilhado com dados que não sejam de monitoramento.
- Configure a funcionalidade de Auto-inflate para escalar automaticamente e aumentar o número de unidades de throughput, de modo a atender às necessidades de utilização.
- Verifique o aumento das unidades de throughput para acomodar o volume de dados.
- Divida tabelas entre mais namespaces.
- Use os níveis Premium ou Dedicated para obter uma taxa de transferência mais alta.

Criar ou atualizar uma regra de exportação de dados

Uma regra de exportação de dados define o destino e as tabelas para as quais os dados são exportados. O provisionamento da regra leva cerca de 30 minutos antes do início da operação de exportação. Considerações sobre as regras de exportação de dados:

A conta de armazenamento deve ser única entre as regras do espaço de trabalho.
Várias regras podem usar o mesmo namespace do Event Hubs ao enviar para Hubs de Eventos separados.
Exportar para uma conta de armazenamento: Um contentor separado é criado na conta de armazenamento para cada tabela.
Exportar para Hubs de Eventos: Se um nome de Hub de Eventos não for fornecido, um Hub de Eventos separado será criado para cada tabela. O número de Hubs de Eventos suportados nas camadas de namespace Basic e Standard é 10. Quando você estiver exportando mais de 10 tabelas para essas camadas, divida as tabelas entre várias regras de exportação para namespaces de Hubs de Eventos diferentes ou forneça um nome de Hub de Eventos na regra para exportar todas as tabelas para ela.

A partir do portal Azure, aceda ao seu espaço de trabalho Log Analytics.
No menu à esquerda, em Definições, selecione Regras.
Selecione o separador Regras de exportação de dados.
Selecione Nova regra de exportação na parte superior do painel.
Siga as etapas e selecione Criar. Apenas as tabelas com dados são exibidas na guia "Fonte".

Use o comando seguinte para criar uma regra de exportação de dados para uma conta de armazenamento usando a CLI. Este processo cria um recipiente separado para cada tabela.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
storageAccountName="myStorageAccountName"

# Build destination storage account resource ID
storagePath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
storageProvider="Microsoft.Storage/storageAccounts/$storageAccountName"
storageAccountResourceId="$storagePath/providers/$storageProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$storageAccountResourceId"

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos específico usando a CLI. Todas as tabelas são exportadas para o nome do Hub de Eventos fornecido e podem ser filtradas pelo campo Tipo para separar tabelas.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"
eventHubName="myEventHub"

# Build destination Event Hub resource ID
eventHubPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubProvider="Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
eventHubResourceId="$eventHubPath/providers/$eventHubProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubResourceId"

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos usando a CLI. Quando não indicar um nome específico de Centro de Eventos, o processo cria um contentor separado para cada tabela, até ao número de Centros de Eventos suportados pelo escalão do serviço Event Hubs. Se tiver mais tabelas para exportar, forneça um nome de Event Hub para exportar qualquer número de tabelas, ou defina uma nova regra para exportar as tabelas restantes para outro espaço de nomes de Event Hubs.

# User input
subscriptionId="aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e"
resourceGroupName="myResourceGroupName"
eventHubNamespace="myEventHubNamespace"

# Build destination Event Hub namespace resource ID
eventHubNsPath="/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
eventHubNsProvider="Microsoft.EventHub/namespaces/$eventHubNamespace"
eventHubNamespaceResourceId="$eventHubNsPath/providers/$eventHubNsProvider"

az monitor log-analytics workspace data-export create \
  --resource-group "$resourceGroupName" \
  --workspace-name myWorkspaceName \
  --name myRuleName \
  --tables SecurityEvent Heartbeat \
  --destination "$eventHubNamespaceResourceId"

Para criar ou atualizar uma regra de exportação de dados, use este PUT pedido para o grupo de operações Regras de exportação de dados da API REST de gestão de registos. Utilize as últimas apiVersion informações documentadas lá.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

O corpo da solicitação especifica o destino da tabela. O exemplo a seguir é um exemplo de corpo para a solicitação REST.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2" 
        ],
        "enable": true
    }
}

O exemplo a seguir é um modelo de corpo para uma solicitação REST num Hub de Eventos.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

O exemplo a seguir é um corpo de exemplo para a solicitação REST para um Hub de Eventos onde o nome do Hub de Eventos é fornecido. Neste caso, todos os dados exportados são enviados para ele.

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "metaData": {
                "EventHubName": "myEventHub"
            }
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": true
    }
}

Use o comando seguinte para criar uma regra de exportação de dados para uma conta de armazenamento usando o PowerShell. Um contêiner separado é criado para cada tabela.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$storageAccountName = 'myStorageAccountName'

# Build destination storage account resource ID
$storagePath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$storageProvider = "Microsoft.Storage/storageAccounts/$storageAccountName"
$storageAccountResourceId = "$storagePath/providers/$storageProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $storageAccountResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos específico usando o PowerShell. O comando exporta todas as tabelas para o nome fornecido do Event Hub. Filtre pelo campo Type para tabelas separadas.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'
$eventHubName = 'myEventHub'

# Build destination Event Hub resource ID
$eventHubPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace/eventhubs/$eventHubName"
$eventHubResourceId = "$eventHubPath/providers/$eventHubProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubResourceId
    EventHubName      = $eventHubName
}
New-AzOperationalInsightsDataExport @dataExportParams

Use o comando a seguir para criar uma regra de exportação de dados para um Hub de Eventos usando o PowerShell. Quando não fornece um nome específico de Hub de Eventos, o comando cria um contentor separado para cada tabela, até ao número de Hubs de Eventos suportados em cada nível de Hubs de Eventos. Para exportar mais tabelas, forneça um nome de Hub de Eventos na regra. Ou você pode definir outra regra e exportar as tabelas restantes para outro namespace de Hubs de Eventos.

# User input
$subscriptionId = 'aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e'
$resourceGroupName = 'myResourceGroupName'
$eventHubNamespace = 'myEventHubNamespace'

# Build destination Event Hub namespace resource ID
$eventHubNsPath = "/subscriptions/$subscriptionId/resourceGroups/$resourceGroupName"
$eventHubNsProvider = "Microsoft.EventHub/namespaces/$eventHubNamespace"
$eventHubNamespaceResourceId = "$eventHubNsPath/providers/$eventHubNsProvider"

$dataExportParams = @{
    ResourceGroupName = $resourceGroupName
    WorkspaceName     = 'myWorkspaceName'
    DataExportName    = 'myRuleName'
    TableName         = 'SecurityEvent,Heartbeat'
    ResourceId        = $eventHubNamespaceResourceId
}
New-AzOperationalInsightsDataExport @dataExportParams

Implemente o seguinte modelo Bicep para criar uma regra de exportação de dados para uma conta de armazenamento. O modelo cria um contentor separado para cada tabela.

param workspaceName string
param workspaceLocation string
param storageAccountRuleName string
param storageAccountResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: storageAccountRuleName
  properties: {
    destination: {
      resourceId: storageAccountResourceId
    }
    tableNames: [
      'Heartbeat'
      'InsightsMetrics'
      'VMConnection'
      'Usage'
    ]
    enable: true
  }
}

Implemente o seguinte modelo Bicep para criar uma regra de exportação de dados para um Event Hub. O modelo cria um Hub de Eventos separado para cada tabela.

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

Implemente o seguinte modelo Bicep para criar uma regra de exportação de dados para um Event Hub específico. O template exporta todas as tabelas para esse Event Hub.

param workspaceName string
param workspaceLocation string
param eventhubRuleName string
param namespacesResourceId string
param eventhubName string

resource workspace 'Microsoft.OperationalInsights/workspaces@2023-09-01' = {
  name: workspaceName
  location: workspaceLocation
}

resource dataExport 'Microsoft.OperationalInsights/workspaces/dataExports@2023-09-01' = {
  parent: workspace
  name: eventhubRuleName
  properties: {
    destination: {
      resourceId: namespacesResourceId
      metaData: {
        eventHubName: eventhubName
      }
    }
    tableNames: [
      'Usage'
      'Heartbeat'
    ]
    enable: true
  }
}

Implemente o seguinte modelo ARM para criar uma regra de exportação de dados para uma conta de armazenamento.

Criar regra de exportação para enviar para uma conta de armazenamento

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "storageAccountRuleName": {
            "defaultValue": "myStorageAccountRuleName",
            "type": "string"
        },
        "storageAccountResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
                {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/' , parameters('storageAccountRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('storageAccountResourceId')]"
                      },
                      "tableNames": [
                          "Heartbeat",
                          "InsightsMetrics",
                          "VMConnection",
                          "Usage"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Implemente o seguinte modelo ARM para criar uma regra de exportação de dados para um Hub de Eventos. O modelo cria um Hub de Eventos separado para cada tabela.

Criar regra de exportação para enviar para o namespace do Event Hub

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]"
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Implemente o seguinte modelo ARM para criar uma regra de exportação de dados para um Event Hub específico. A regra exporta todas as tabelas para este Event Hub.

Criar regra de exportação para enviar para um Event Hub específico

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "workspaceName": {
            "defaultValue": "myWorkspaceName",
            "type": "String"
        },
        "workspaceLocation": {
            "defaultValue": "myWorkspaceLocation",
            "type": "string"
        },
        "eventhubRuleName": {
            "defaultValue": "myEventHubRuleName",
            "type": "string"
        },
        "namespacesResourceId": {
            "defaultValue": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.EventHub/namespaces/myEventHubNamespace",
            "type": "String"
        },
        "eventhubName": {
            "defaultValue": "myEventHub",
            "type": "string"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "microsoft.operationalinsights/workspaces",
            "apiVersion": "2023-09-01",
            "name": "[parameters('workspaceName')]",
            "location": "[parameters('workspaceLocation')]",
            "resources": [
              {
                  "type": "microsoft.operationalinsights/workspaces/dataexports",
                  "apiVersion": "2023-09-01",
                  "name": "[concat(parameters('workspaceName'), '/', parameters('eventhubRuleName'))]",
                  "dependsOn": [
                      "[resourceId('microsoft.operationalinsights/workspaces', parameters('workspaceName'))]"
                  ],
                  "properties": {
                      "destination": {
                          "resourceId": "[parameters('namespacesResourceId')]",
                          "metaData": {
                              "eventHubName": "[parameters('eventhubName')]"
                          }
                      },
                      "tableNames": [
                          "Usage",
                          "Heartbeat"
                      ],
                      "enable": true
                  }
              }
            ]
        }
    ]
}

Ver configuração da regra de exportação de dados

A partir do portal Azure, aceda ao seu espaço de trabalho Log Analytics.
No menu à esquerda, em Definições, selecione Regras.
Selecione o separador de regras de exportação de dados para visualizar todas as regras de exportação no espaço de trabalho.
Selecione uma regra para uma visualização de configuração.

Use o comando a seguir para exibir a configuração de uma regra de exportação de dados usando a CLI.

az monitor log-analytics workspace data-export show \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

Para visualizar a configuração de uma regra de exportação de dados, use este GET pedido para o grupo de operações de regras de exportação de dados da API REST de gestão de registos. Utilize as últimas apiVersion informações documentadas lá.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

Use o comando a seguir para exibir a configuração de uma regra de exportação de dados usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Get-AzOperationalInsightsDataExport @dataExportParams

Desativar ou atualizar uma regra de exportação

Desative as regras de exportação para parar a exportação durante um determinado período, como quando os testes estão a decorrer.

A partir do portal Azure, aceda ao seu espaço de trabalho Log Analytics.
No menu à esquerda, em Definições, selecione Regras.
Selecione o separador Regras de exportação de dados.
Selecione a alternância Status para desabilitar ou habilitar a regra de exportação.

Você pode desabilitar as regras de exportação para interromper a exportação por um determinado período, como quando o teste está sendo realizado. Use o comando a seguir para desabilitar ou atualizar os parâmetros da regra usando a CLI.

az monitor log-analytics workspace data-export update \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName \
  --tables SecurityEvent Heartbeat \
  --enable false

Use este método para desativar uma regra de exportação durante um determinado período, como durante os testes. Para desativar ou atualizar os parâmetros das regras, utilize este PUT pedido para o grupo de operações da API REST de gestão de registosRegras de exportação de dados. Utilize as últimas apiVersion informações documentadas lá.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}
Content-Type: application/json

{
    "properties": {
        "destination": {
            "resourceId": "/subscriptions/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/resourceGroups/myResourceGroupName/providers/Microsoft.Storage/storageAccounts/myStorageAccountName"
        },
        "tableNames": [
            "table1",
            "table2"
        ],
        "enable": false
    }
}

Para parar temporariamente de exportar uma regra, como para testes, desative a regra definindo Enable para $false. Use o seguinte comando para desativar a regra ou atualizar os seus parâmetros usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
    TableName         = 'SecurityEvent,Heartbeat'
    Enable            = $false
}
Update-AzOperationalInsightsDataExport @dataExportParams

Excluir uma regra de exportação

A partir do portal Azure, aceda ao seu espaço de trabalho Log Analytics.
No menu à esquerda, em Definições, selecione Regras.
Selecione o separador Regras de exportação de dados.
Selecione o ícone de reticências à direita da regra e selecione Eliminar.

Use o comando a seguir para excluir uma regra de exportação de dados usando a CLI.

az monitor log-analytics workspace data-export delete \
  --resource-group resourceGroupName \
  --workspace-name workspaceName \
  --name ruleName

Para eliminar uma regra de exportação de dados, utilize este DELETE pedido para o grupo de operações Regras de exportação de dadosda API REST de gestão de registos. Utilize as últimas apiVersion informações documentadas lá.

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports/{dataExportName}?api-version={apiVersion}
Authorization: Bearer {accessToken}

Use o comando a seguir para excluir uma regra de exportação de dados usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
    DataExportName    = 'ruleName'
}
Remove-AzOperationalInsightsDataExport @dataExportParams

Exibir todas as regras de exportação de dados em um espaço de trabalho

A partir do portal Azure, aceda ao seu espaço de trabalho Log Analytics.
No menu à esquerda, em Definições, selecione Regras.
Selecione o separador de regras de exportação de dados para visualizar todas as regras de exportação no espaço de trabalho.

Use o comando a seguir para exibir todas as regras de exportação de dados em um espaço de trabalho usando a CLI.

az monitor log-analytics workspace data-export list \
  --resource-group resourceGroupName \
  --workspace-name workspaceName

Para ver todas as regras de exportação de dados num espaço de trabalho, use este GET pedido para o grupo de operações API REST de gestão de registosRegras de exportação de dados. Utilize as últimas apiVersion informações documentadas lá.

GET https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/dataexports?api-version={apiVersion}
Authorization: Bearer {accessToken}

Use o comando a seguir para exibir todas as regras de exportação de dados em um espaço de trabalho usando o PowerShell.

$dataExportParams = @{
    ResourceGroupName = 'resourceGroupName'
    WorkspaceName     = 'workspaceName'
}
Get-AzOperationalInsightsDataExport @dataExportParams

Tabelas não suportadas

Nota

Se a regra de exportação de dados incluir uma tabela sem suporte, a configuração será bem-sucedida, mas nenhum dado será exportado para essa tabela. Quando a tabela é suportada, a exportação de dados será iniciada em seguida. Estamos em um processo de adicionar suporte para mais tabelas. Por favor, verifique este artigo regularmente.

Tabela	Limitações
Alerta	Suporte parcial. A ingestão de dados para alertas do Zabbix não é suportada.
Histórico de alertas
AzureActivity	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.
AzureDiagnostics
Mudança de Configuração	Suporte parcial. Alguns dos dados são ingeridos através de serviços internos que não são suportados na exportação. Atualmente, essa parcela está faltando na exportação.
Dados de Configuração	Suporte parcial. Alguns dos dados são ingeridos através de serviços internos que não são suportados na exportação. Atualmente, essa parcela está faltando na exportação.
Databricks Databricks SQL
DatabricksSQL
LançamentoDeAplicaçãoNoDispositivo
Calendário do Dispositivo
Sessão de Conexão de Dispositivos
DeviceEtw	Suporte parcial. Alguns dos dados são ingeridos através de serviços internos que não são suportados na exportação. Atualmente, essa parcela está faltando na exportação.
BatimentoCardíacoDoDispositivo
ETWEvent	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.
Evento	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.
Sessões de rede
Operação	Suporte parcial. Alguns dos dados são ingeridos através de serviços internos que não são suportados na exportação. Atualmente, essa parcela está faltando na exportação.
Status de proteção
SecurityEvent	Suporte parcial. Alguns dos dados são ingeridos através de serviços internos que não são suportados na exportação. Atualmente, essa parcela está faltando na exportação.
Evento Operacional do Service Fabric	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.
ServiceFabricReliableActorEvent (Evento de Ator Confiável do ServiceFabric)	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.
EventoDeServiçoConfiávelDoServiceFabric	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.
Syslog	Suporte parcial. Alguns dos dados são ingeridos através de serviços internos que não são suportados na exportação. Atualmente, essa parcela está faltando na exportação.
W3CIISLog	Suporte parcial. Os dados que chegam do agente do Log Analytics ou do Azure Monitor Agent são totalmente suportados na exportação. Os dados que chegam através do agente de extensão Diagnostics são recolhidos através do armazenamento. Este caminho não é suportado na exportação.

Consultar os dados exportados do Azure Data Explorer

Comentários

Esta página foi útil?

Last updated on 2026-07-07

Regras de exportação de dados Log Analytics no Azure Monitor

Descrição geral

Outras opções de exportação

Permissões necessárias

Considerations

Exaustividade dos dados

Modelo de preços

Destinos de exportação

Conta de armazenamento

Hubs de Eventos

Consultar dados exportados

Habilitar exportação de dados

Registar o fornecedor de recursos

Permitir serviços confiáveis da Microsoft

Monitore destinos

Monitorizar uma conta de armazenamento

Monitorizar Hubs de Eventos

Criar ou atualizar uma regra de exportação de dados

Ver configuração da regra de exportação de dados

Desativar ou atualizar uma regra de exportação

Excluir uma regra de exportação

Exibir todas as regras de exportação de dados em um espaço de trabalho

Tabelas não suportadas

Conteúdo relacionado

Comentários

Recursos adicionais