Erstellen und Verwalten eines dedizierten Clusters in Azure Monitor-Protokollen

Ein dedizierter Cluster in Azure Monitor ermöglicht erweiterte Sicherheits- und Kontrollfunktionen und Kostenoptimierung. Sie können neue oder vorhandene Arbeitsbereiche ohne Unterbrechung der Erfassungs- und Abfragevorgänge mit dem Cluster verknüpfen.

Erweiterte Funktionen

Folgende Funktionen erfordern dedizierte Cluster:

• Kundenseitig verwaltete Schlüssel: Verschlüsseln Sie Daten mithilfe eines Schlüssels, den Sie bereitstellen und steuern.
• Lockbox: Steuern Sie den Zugriff von Mitarbeitern des Microsoft-Supports auf Ihre Daten.
• Mehrfachverschlüsselung: Sorgen Sie für eine zusätzliche Verschlüsselungsebene für Ihre Daten.
• Abfragenübergreifende Optimierung: Arbeitsbereichübergreifende Abfragen laufen schneller, wenn sie sich auf demselben Cluster befinden.
• Kostenoptimierung: Verknüpfen Sie Arbeitsbereiche in derselben Region mit dem Cluster, und nutzen Sie den Mindestmengenrabatt für Daten, die aus allen verknüpften Arbeitsbereichen erfasst werden.
• Verfügbarkeitszonen: Schützen Sie Ihre Daten mithilfe von Rechenzentren an verschiedenen physischen Standorten, die mit unabhängiger Stromversorgung, Kühlung und Netzwerktechnologie ausgestattet sind. Azure Monitor-Verfügbarkeitszonen decken einen größeren Teil des Diensts ab und erweitern die Azure Monitor-Resilienz automatisch, wenn sie in Ihrer Region verfügbar sind. Azure Monitor erstellt dedizierte Cluster standardmäßig als „Verfügbarkeitszonen“ (isAvailabilityZonesEnabled: „true“) in unterstützten Regionen. Dedizierte Clusterverfügbarkeitszonen werden derzeit nicht in allen Regionen unterstützt.
• Erfassung aus Azure Event Hubs: Ermöglicht das Erfassen von Daten direkt aus Event Hubs in einen Log Analytics-Arbeitsbereich.

Preismodell für Cluster

Dedizierte Log Analytics-Cluster verwenden ein Preismodell mit Mindestmenge, beginnend bei 100 GB/Tag. Erfassungen, die die Mindestmenge überschreiten, werden nach dem GB-Preis abgerechnet. Die Mindestmenge kann jederzeit erhöht werden, hat jedoch einen Verpflichtungszeitraum von 31 Tagen, bevor sie reduziert werden kann. Weitere Informationen zur Mindestmenge finden Sie unter Azure Monitor-Protokolle: Preisdetails.

Es gibt zwei Werte für den Abrechnungstyp, die die Abrechnungszuordnung für erfasste Daten bestimmen:

• Cluster (Standard): Die Kosten für Ihren Cluster werden der Clusterressource zugeordnet.
• Arbeitsbereiche: Die Kosten für Ihren Cluster werden proportional den Arbeitsbereichen im Cluster zugeordnet. Wenn die Gesamtmenge der erfassten Daten unter der Mindestabnahme liegt, wird ein Teil des Verbrauchs über die Clusterressource abgerechnet. Weitere Informationen zum Clusterpreismodell finden Sie unter Dedizierte Log Analytics-Cluster.

Erforderliche Berechtigungen

Zum Ausführen clusterbezogener Aktionen benötigen Sie die folgenden Berechtigungen:

Weitere Informationen zu den Log Analytics-Berechtigungen finden Sie unter Verwalten des Zugriffs auf Protokolldaten und Arbeitsbereiche in Azure Monitor.

Resource Manager-Beispielvorlagen

Dieser Artikel enthält Beispiele für Azure Resource Manager-Vorlagen (ARM) zum Erstellen und Konfigurieren von Log Analytics-Clustern in Azure Monitor. Jedes Beispiel umfasst eine Vorlagendatei und eine Parameterdatei mit Beispielwerten für die Vorlage.

Vorlagenreferenzen

• Microsoft.OperationalInsights-Cluster

Vorbereitungen

Die Abrechnung des Clusters mit Mindestmenge beginnt nach der Erstellung, unabhängig von der Datenerfassung. Bevor Sie beginnen, sollten Sie die folgenden Vorbereitungen treffen.

1. Ein Abonnement, in dem der Cluster erstellt wird
2. Liste der Arbeitsbereiche, die Sie mit dem Cluster verknüpfen möchten. Sie müssen sich in derselben Region wie der Cluster befinden.
3. Schließen Sie den Abrechnungstyp und die Zuordnung ab, entweder mit dem Cluster (Standard) oder proportional mit den verknüpften Arbeitsbereichen.
4. Überprüfen Sie die Berechtigungen zum Erstellen eines Clusters und zum Verknüpfen von Arbeitsbereichen.

Erstellen eines dedizierten Clusters

Geben Sie die folgenden Eigenschaften an, wenn Sie einen neuen dedizierten Cluster erstellen:

• ClusterName: Muss für die Ressourcengruppe eindeutig sein.
• ResourceGroupName: Verwenden Sie eine zentrale IT-Ressourcengruppe, da Cluster in der Regel von vielen Teams in der Organisation gemeinsam genutzt werden. Weitere Überlegungen zum Entwurf finden Sie unter Entwerfen einer Log Analytics-Arbeitsbereichskonfiguration.
• Location
• SkuCapacity: Sie können die Mindestabnahme auf 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000 oder 50000 GB pro Tag festlegen. Die geringste Mindestabnahme, die in der Befehlszeilenschnittstelle unterstützt wird, beträgt derzeit 500. Verwenden Sie REST, um geringere Mindestabnahmen mit dem Mindestwert 100 zu konfigurieren. Weitere Informationen zu den Clusterkosten finden Sie unter Dedizierte Cluster.
• Verwaltete Identität: Cluster unterstützen zwei Typen verwalteter Identitäten:

  • Systemseitig zugewiesene verwaltete Identität: Sie wird bei der Erstellung des Clusters automatisch generiert, wenn type für die Identität auf SystemAssigned festgelegt ist. Diese Identität kann später genutzt werden, um Zugriff auf Ihre Key Vault-Instanz zu gewähren, damit Vorgänge zum Umschließen bzw. Aufheben der Umschließung durchgeführt werden können.

    Identität im REST-Aufruf des Clusters

    {
      "identity": {
        "type": "SystemAssigned"
        }
    }
    

  • Benutzerseitig zugewiesene verwaltete Identität: Sie können einen kundenseitig verwalteten Schlüssel bei der Clustererstellung konfigurieren, wenn Sie ihm vor der Clustererstellung Berechtigungen in Ihrer Key Vault-Instanz erteilen.

    Identität im REST-Aufruf des Clusters

    {
    "identity": {
      "type": "UserAssigned",
        "userAssignedIdentities": {
          "subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.ManagedIdentity/UserAssignedIdentities/<cluster-assigned-managed-identity>"
        }
      }  
    }
    

Nachdem Sie die Clusterressource erstellt haben, können Sie weitere Eigenschaften wie sku, *keyVaultProperties oder billingType bearbeiten. Weitere Einzelheiten finden Sie unten.

Es dauert zwei Wochen, bis gelöschte Clusters vollständig entfernt sind. Sie können bis zu sieben Cluster pro Abonnement und Region haben – fünf aktive Cluster und zwei gelöschte in den vergangenen zwei Wochen.

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster create --no-wait --resource-group "resource-group-name" --name "cluster-name" --location "region-name" --sku-capacity "daily-ingestion-gigabyte"

# Wait for job completion when `--no-wait` was used
$clusterResourceId = az monitor log-analytics cluster list --resource-group "resource-group-name" --query "[?contains(name, 'cluster-name')].[id]" --output tsv
az resource wait --created --ids $clusterResourceId --include-response-body true

Select-AzSubscription "cluster-subscription-id"

New-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name" -ClusterName "cluster-name" -Location "region-name" -SkuCapacity "daily-ingestion-gigabyte" -AsJob

# Check when the job is done when `-AsJob` was used
Get-Job -Command "New-AzOperationalInsightsCluster*" | Format-List -Property *

PUT https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.OperationalInsights/clusters/<cluster-name>?api-version=2022-10-01
Authorization: Bearer <token>
Content-type: application/json

{
  "identity": {
    "type": "systemAssigned"
    },
  "sku": {
    "name": "capacityReservation",
    "Capacity": 100
    },
  "properties": {
    "billingType": "Cluster",
    },
  "location": "<region>",
}

@description('Specify the name of the Log Analytics cluster.')
param clusterName string

@description('Specify the location of the resources.')
param location string = resourceGroup().location

@description('Specify the capacity reservation value.')
@allowed([
  100
  200
  300
  400
  500
  1000
  2000
  5000
])
param CommitmentTier int

@description('Specify the billing type settings. Can be \'Cluster\' (default) or \'Workspaces\' for proportional billing on workspaces.')
@allowed([
  'Cluster'
  'Workspaces'
])
param billingType string

resource cluster 'Microsoft.OperationalInsights/clusters@2021-06-01' = {
  name: clusterName
  location: location
  identity: {
    type: 'SystemAssigned'
  }
  sku: {
    name: 'CapacityReservation'
    capacity: CommitmentTier
  }
  properties: {
    billingType: billingType
  }
}

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "value": "MyCluster"
    },
    "CommitmentTier": {
      "value": 500
    },
    "billingType": {
      "value": "Cluster"
    }
  }
}

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "type": "string",
      "metadata": {
        "description": "Specify the name of the Log Analytics cluster."
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Specify the location of the resources."
      }
    },
    "CommitmentTier": {
      "type": "int",
      "allowedValues": [
        100,
        200,
        300,
        400,
        500,
        1000,
        2000,
        5000
      ],
      "metadata": {
        "description": "Specify the capacity reservation value."
      }
    },
    "billingType": {
      "type": "string",
      "allowedValues": [
        "Cluster",
        "Workspaces"
      ],
      "metadata": {
        "description": "Specify the billing type settings. Can be 'Cluster' (default) or 'Workspaces' for proportional billing on workspaces."
      }
    }
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/clusters",
      "apiVersion": "2021-06-01",
      "name": "[parameters('clusterName')]",
      "location": "[parameters('location')]",
      "identity": {
        "type": "SystemAssigned"
      },
      "sku": {
        "name": "CapacityReservation",
        "capacity": "[parameters('CommitmentTier')]"
      },
      "properties": {
        "billingType": "[parameters('billingType')]"
      }
    }
  ]
}

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "value": "MyCluster"
    },
    "CommitmentTier": {
      "value": 500
    },
    "billingType": {
      "value": "Cluster"
    }
  }
}

Überprüfen des Bereitstellungsstatus für den Cluster

Es dauert eine Weile, bis die Bereitstellung des Log Analytics-Clusters abgeschlossen ist. Verwenden Sie eine der folgenden Methoden, um die Eigenschaft ProvisioningState zu überprüfen: Während der Bereitstellung lautet dieser Wert ProvisioningAccount, und nach Abschluss des Vorgangs lautet er Succeeded.

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster show --resource-group "resource-group-name" --name "cluster-name"

Select-AzSubscription "cluster-subscription-id"

Get-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name" -ClusterName "cluster-name"

GET https://management.azure.com/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.OperationalInsights/clusters/cluster-name?api-version=2022-10-01
Authorization: Bearer <token>

{
  "identity": {
    "type": "SystemAssigned",
    "tenantId": "tenant-id",
    "principalId": "principal-id"
  },
  "sku": {
    "name": "capacityreservation",
    "capacity": 100
  },
  "properties": {
    "provisioningState": "ProvisioningAccount",
    "clusterId": "cluster-id",
    "billingType": "Cluster",
    "lastModifiedDate": "last-modified-date",
    "createdDate": "created-date",
    "isDoubleEncryptionEnabled": false,
    "isAvailabilityZonesEnabled": false,
    "capacityReservationProperties": {
      "lastSkuUpdate": "last-sku-modified-date",
      "minCapacity": 100
    }
  },
  "id": "/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.OperationalInsights/clusters/cluster-name",
  "name": "cluster-name",
  "type": "Microsoft.OperationalInsights/clusters",
  "location": "cluster-region"
}

Verknüpfen eines Arbeitsbereichs mit einem Cluster

Sie benötigen Schreibberechtigungen für den Arbeitsbereich und die Clusterressource, um einen Arbeitsbereich zu verknüpfen:

• Im Arbeitsbereich: Microsoft.OperationalInsights/workspaces/write
• In der Clusterressource: Microsoft.OperationalInsights/clusters/write

Sobald der Log Analytics-Arbeitsbereich mit einem dedizierten Cluster verknüpft ist, werden neue Daten, die an den Arbeitsbereich gesendet werden, in Ihren dedizierten Cluster aufgenommen, während zuvor aufgenommene Daten im Log Analytics-Cluster verbleiben. Das Verknüpfen eines Arbeitsbereichs hat keine Auswirkungen auf den Arbeitsbereichsvorgang, einschließlich Erfassung und Abfrageerfahrung. Das Log Analytics-Abfragemodul fügt Daten aus alten und neuen Clustern automatisch zusammen, und die Ergebnisse der Abfragen sind vollständig und genau.

Cluster sind regional und können mit bis zu 1.000 Arbeitsbereichen in derselben Region wie der Cluster verknüpft werden. Zur Vermeidung von Datenfragmentierung kann ein Arbeitsbereich maximal zweimal pro Monat mit einem Cluster verknüpft werden.

Verknüpfte Arbeitsbereiche können sich in anderen Abonnements befinden als das Abonnement, in dem sich der Cluster befindet. Der Arbeitsbereich und der Cluster können sich in unterschiedlichen Mandanten befinden, wenn Azure Lighthouse verwendet wird, um beide einem einzelnen Mandanten zuzuordnen.

Wenn ein dedizierter Cluster mit einem kundenseitig verwalteten Schlüssel (CMK) konfiguriert ist, werden neu erfasste Daten mit Ihrem Schlüssel verschlüsselt, während ältere Daten mit einem von Microsoft verwalteten Schlüssel (MMK) verschlüsselt bleiben. Die Schlüsselkonfiguration wird von Log Analytics abstrahiert, und die Abfrage zwischen alten und neuen Datenverschlüsselungen wird nahtlos ausgeführt.

Führen Sie die folgenden Schritte aus, um einen Arbeitsbereich mit einem Cluster zu verknüpfen. Sie können die Automatisierung zum Verknüpfen mehrerer Arbeitsbereiche verwenden:

# Find cluster resource ID
az account set --subscription "cluster-subscription-id"
$clusterResourceId = az monitor log-analytics cluster list --resource-group "resource-group-name" --query "[?contains(name, 'cluster-name')].[id]" --output tsv

# Link workspace
az account set --subscription "workspace-subscription-id"
az monitor log-analytics workspace linked-service create --no-wait --name cluster --resource-group "resource-group-name" --workspace-name "workspace-name" --write-access-resource-id $clusterResourceId

# Wait for job completion when `--no-wait` was used
$workspaceResourceId = az monitor log-analytics workspace list --resource-group "resource-group-name" --query "[?contains(name, 'workspace-name')].[id]" --output tsv
az resource wait --deleted --ids $workspaceResourceId --include-response-body true

Select-AzSubscription "cluster-subscription-id"

# Find cluster resource ID
$clusterResourceId = (Get-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name" -ClusterName "cluster-name").id

Select-AzSubscription "workspace-subscription-id"

# Link the workspace to the cluster
Set-AzOperationalInsightsLinkedService -ResourceGroupName "resource-group-name" -WorkspaceName "workspace-name" -LinkedServiceName cluster -WriteAccessResourceId $clusterResourceId -AsJob

# Check when the job is done
Get-Job -Command "Set-AzOperationalInsightsLinkedService" | Format-List -Property *

PUT https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/microsoft.operationalinsights/workspaces/<workspace-name>/linkedservices/cluster?api-version=2020-08-01 
Authorization: Bearer <token>
Content-type: application/json

{
  "properties": {
    "WriteAccessResourceId": "/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/microsoft.operationalinsights/clusters/<cluster-name>"
    }
}

Überprüfen des Verknüpfungsstatus des Arbeitsbereichs

Das Verknüpfen des Arbeitsbereichs kann bis zu 90 Minuten dauern. Sie können den Status sowohl für die verknüpften Arbeitsbereiche als auch für den Cluster überprüfen. Nach Abschluss des Vorgangs enthalten die Arbeitsbereichsressourcen die clusterResourceId-Eigenschaft unter features, und der Cluster enthält verknüpfte Arbeitsbereiche im Abschnitt associatedWorkspaces.

Wenn ein Cluster mit kundenverwalteten Schlüsseln konfiguriert ist, werden Daten, die nach Abschluss des Verknüpfungsvorgangs in den Arbeitsbereichen erfasst wurden, verschlüsselt mit Ihrem Schlüssel gespeichert.

az account set --subscription "workspace-subscription-id"

az monitor log-analytics workspace show --resource-group "resource-group-name" --workspace-name "workspace-name"

Select-AzSubscription "workspace-subscription-id"

Get-AzOperationalInsightsWorkspace -ResourceGroupName "resource-group-name" -Name "workspace-name"

GET https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/microsoft.operationalinsights/workspaces/<workspace-name>?api-version=2023-09-01
Authorization: Bearer <token>

{
  "properties": {
    "source": "Azure",
    "customerId": "workspace-name",
    "provisioningState": "Succeeded",
    "sku": {
      "name": "pricing-tier-name",
      "lastSkuUpdate": "Tue, 28 Jan 2020 12:26:30 GMT"
    },
    "retentionInDays": 31,
    "features": {
      "legacy": 0,
      "searchVersion": 1,
      "enableLogAccessUsingOnlyResourcePermissions": true,
      "clusterResourceId": "/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.OperationalInsights/clusters/cluster-name"
    },
    "workspaceCapping": {
      "dailyQuotaGb": -1.0,
      "quotaNextResetTime": "Tue, 28 Jan 2020 14:00:00 GMT",
      "dataIngestionStatus": "RespectQuota"
    }
  },
  "id": "/subscriptions/subscription-id/resourcegroups/resource-group-name/providers/microsoft.operationalinsights/workspaces/workspace-name",
  "name": "workspace-name",
  "type": "Microsoft.OperationalInsights/workspaces",
  "location": "region"
}

Ändern der Clustereigenschaften

Nachdem Sie Ihre Clusterressource erstellt haben und sie vollständig bereitgestellt wurde, können Sie Clustereigenschaften mit der Azure CLI, PowerShell oder der REST-API bearbeiten. Eigenschaften, die Sie nach der Bereitstellung des Clusters festlegen können:

• keyVaultProperties: Enthält den Schlüssel in Azure Key Vault mit den folgenden Parametern: KeyVaultUri, KeyName, KeyVersion. Weitere Informationen finden Sie unter Aktualisieren des Clusters mit Schlüsselbezeichnerdetails.
• Identität: Die für die Authentifizierung bei Key Vault verwendete Identität. Diese kann vom System oder vom Benutzer zugewiesen sein.
• billingType: Abrechnungszuordnung für die Clusterressource und deren Daten. Enthält für die folgenden Werte:
  • Cluster (Standard): Die Kosten für Ihren Cluster werden der Clusterressource zugeordnet.
  • Arbeitsbereiche: Die Kosten für Ihren Cluster werden proportional den Arbeitsbereichen im Cluster zugeordnet. Wenn die Gesamtmenge der erfassten Daten unter der Mindestabnahme liegt, wird ein Teil des Verbrauchs über die Clusterressource abgerechnet. Weitere Informationen zum Clusterpreismodell finden Sie unter Dedizierte Log Analytics-Cluster.

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster update --resource-group "resource-group-name" --name "cluster-name"  --billing-type {Cluster, Workspaces}

Select-AzSubscription "cluster-subscription-id"

Update-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name" -ClusterName "cluster-name" -BillingType "Workspaces"

PATCH https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.OperationalInsights/clusters/<cluster-name>?api-version=2022-10-01
Authorization: Bearer <token>
Content-type: application/json

{
  "properties": {
    "billingType": "Workspaces"
    },
    "location": "region"
}

@description('Specify the name of the Log Analytics cluster.')
param clusterName string
@description('Specify the location of the resources')
param location string = resourceGroup().location
@description('Specify the key vault name.')
param keyVaultName string
@description('Specify the key name.')
param keyName string
@description('Specify the key version. When empty, latest key version is used.')
param keyVersion string
var keyVaultUri = format('{0}{1}', keyVaultName, environment().suffixes.keyvaultDns)
resource cluster 'Microsoft.OperationalInsights/clusters@2021-06-01' = {
  name: clusterName
  location: location
  identity: {
    type: 'SystemAssigned'
  }
  properties: {
    keyVaultProperties: {
      keyVaultUri: keyVaultUri
      keyName: keyName
      keyVersion: keyVersion
    }
  }
}

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "value": "MyCluster"
    },
    "keyVaultUri": {
      "value": "https://key-vault-name.vault.azure.net"
    },
    "keyName": {
      "value": "MyKeyName"
    },
    "keyVersion": {
      "value": ""
    }
  }
}

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "type": "string",
      "metadata": {
        "description": "Specify the name of the Log Analytics cluster."
      }
    },
    "location": {
      "type": "string",
      "defaultValue": "[resourceGroup().location]",
      "metadata": {
        "description": "Specify the location of the resources"
      }
    },
    "keyVaultName": {
      "type": "string",
      "metadata": {
        "description": "Specify the key vault name."
      }
    },
    "keyName": {
      "type": "string",
      "metadata": {
        "description": "Specify the key name."
      }
    },
    "keyVersion": {
      "type": "string",
      "metadata": {
        "description": "Specify the key version. When empty, latest key version is used."
      }
    }
  },
  "variables": {
    "keyVaultUri": "[format('{0}{1}', parameters('keyVaultName'), environment().suffixes.keyvaultDns)]"
  },
  "resources": [
    {
      "type": "Microsoft.OperationalInsights/clusters",
      "apiVersion": "2021-06-01",
      "name": "[parameters('clusterName')]",
      "location": "[parameters('location')]",
      "identity": {
        "type": "SystemAssigned"
      },
      "properties": {
        "keyVaultProperties": {
          "keyVaultUri": "[variables('keyVaultUri')]",
          "keyName": "[parameters('keyName')]",
          "keyVersion": "[parameters('keyVersion')]"
        }
      }
    }
  ]
}

{
  "$schema": "https://schema.management.azure.com/schemas/2019-08-01/deploymentParameters.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "clusterName": {
      "value": "MyCluster"
    },
    "keyVaultUri": {
      "value": "https://key-vault-name.vault.azure.net"
    },
    "keyName": {
      "value": "MyKeyName"
    },
    "keyVersion": {
      "value": ""
    }
  }
}

Abrufen aller Cluster in einer Ressourcengruppe

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster list --resource-group "resource-group-name"

Select-AzSubscription "cluster-subscription-id"

Get-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name"

GET https://management.azure.com/subscriptions/<subscription-id>/resourcegroups/<resource-group-name>/providers/Microsoft.OperationalInsights/clusters?api-version=2022-10-01
Authorization: Bearer <token>

{
  "value": [
    {
      "identity": {
        "type": "SystemAssigned",
        "tenantId": "tenant-id",
        "principalId": "principal-id"
      },
      "sku": {
        "name": "capacityreservation",
        "capacity": 100
      },
      "properties": {
        "provisioningState": "Succeeded",
        "clusterId": "cluster-id",
        "billingType": "Cluster",
        "lastModifiedDate": "last-modified-date",
        "createdDate": "created-date",
        "isDoubleEncryptionEnabled": false,
        "isAvailabilityZonesEnabled": false,
        "capacityReservationProperties": {
          "lastSkuUpdate": "last-sku-modified-date",
          "minCapacity": 100
        }
      },
      "id": "/subscriptions/subscription-id/resourceGroups/resource-group-name/providers/Microsoft.OperationalInsights/clusters/cluster-name",
      "name": "cluster-name",
      "type": "Microsoft.OperationalInsights/clusters",
      "location": "cluster-region"
    }
  ]
}

Abrufen aller Cluster in einem Abonnement

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster list

Select-AzSubscription "cluster-subscription-id"

Get-AzOperationalInsightsCluster

GET https://management.azure.com/subscriptions/<subscription-id>/providers/Microsoft.OperationalInsights/clusters?api-version=2022-10-01
Authorization: Bearer <token>

Aktualisieren der Mindestabnahmestufe im Cluster

Wenn sich das Datenvolumen der verknüpften Arbeitsbereiche im Laufe der Zeit ändert, können Sie die Mindestabnahme entsprechend aktualisieren, um die Kosten zu optimieren. Die Ebene wird in Gigabyte (GB)-Einheiten angegeben und kann Werte von 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000 oder 50000 GB pro Tag haben. Sie müssen nicht den vollständigen REST-Anforderungstext angeben, müssen aber die SKU einschließen.

Während des Verpflichtungszeitraums können Sie zu einem höheren Mindestabnahme-Tarif wechseln, der den 31-tägigen Verpflichtungszeitraum neu startet. Sie können erst nach Abschluss des Verpflichtungszeitraums zurück zur nutzungsbasierten Bezahlung oder zu einem niedrigeren Mindestabnahme-Tarif wechseln.

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster update --resource-group "resource-group-name" --name "cluster-name"  --sku-capacity 500

Select-AzSubscription "cluster-subscription-id"

Update-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name" -ClusterName "cluster-name" -SkuCapacity 500

PATCH https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.OperationalInsights/clusters/<cluster-name>?api-version=2022-10-01
Authorization: Bearer <token>
Content-type: application/json

{
  "sku": {
    "name": "capacityReservation",
    "Capacity": 2000
  }
}

Aufheben der Verknüpfung eines Arbeitsbereichs mit einem Cluster

Sie können die Verknüpfung eines Arbeitsbereichs mit einem Cluster jederzeit aufheben. Der Tarif für den Arbeitsbereich wird in „pro GB“ geändert, Daten, die vor dem Aufheben der Verknüpfung im Cluster erfasst wurden, verbleiben im Cluster, und neue Daten für den Arbeitsbereich werden in Log Analytics erfasst.

Abfragen sind nicht betroffen, wenn die Verknüpfung des Arbeitsbereichs aufgehoben wird, und der Dienst führt clusterübergreifende Abfragen nahtlos aus. Wenn der Cluster mit kundenseitig verwaltetem Schlüssel konfiguriert wurde, bleiben die Daten, die während der Verknüpfung im Arbeitsbereich erfassen wurden, mit Ihrem Schlüssel verschlüsselt, und der Zugriff auf die Daten ist weiterhin möglich, während Ihr Schlüssel und Ihre Berechtigungen für Key Vault bestehen bleiben.

Verwenden Sie den folgenden Befehl zum Aufheben der Verknüpfung eines Arbeitsbereichs mit einem Cluster:

az account set --subscription "workspace-subscription-id"

az monitor log-analytics workspace linked-service delete --resource-group "resource-group-name" --workspace-name "workspace-name" --name cluster

Select-AzSubscription "workspace-subscription-id"

# Unlink a workspace from cluster
Remove-AzOperationalInsightsLinkedService -ResourceGroupName "resource-group-name" -WorkspaceName {workspace-name} -LinkedServiceName cluster

DELETE https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/linkedServices/{linkedServiceName}?api-version=2020-08-01

Löschen von Clustern

Sie benötigen Schreibberechtigungen für die Clusterressource.

Der Clusterlöschvorgang sollte mit Vorsicht ausgeführt werden, da der Vorgang nicht rückgängig gemacht werden kann. Alle aus verknüpften Arbeitsbereichen erfassten Daten im Cluster werden endgültig gelöscht.

Die Abrechnung des Clusters wird nach dem Löschen des Clusters beendet, unabhängig von der 31-tägigen Mindestabnahme, die im Cluster definiert wurde.

Wenn Sie einen Cluster mit verknüpften Arbeitsbereichen löschen, werden Arbeitsbereiche automatisch vom Cluster getrennt und in den Tarif „Nutzungsbasierte Zahlung“ verschoben. Neue Daten für Arbeitsbereiche werden stattdessen in Log Analytics-Clustern erfasst. Sie können den Arbeitsbereich für den Zeitraum vor der Verknüpfung mit dem Cluster und nach der Aufhebung der Verknüpfung abfragen, und der Dienst führt clusterübergreifende Abfragen nahtlos aus.

Mit den folgenden Befehlen können Sie ein Cluster löschen:

az account set --subscription "cluster-subscription-id"

az monitor log-analytics cluster delete --resource-group "resource-group-name" --name $clusterName

Select-AzSubscription "cluster-subscription-id"

Remove-AzOperationalInsightsCluster -ResourceGroupName "resource-group-name" -ClusterName "cluster-name"

DELETE https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group-name>/providers/Microsoft.OperationalInsights/clusters/<cluster-name>?api-version=2022-10-01
Authorization: Bearer <token>

Ändern des verwalteten Identitätstyps

Der Identitätstyp kann geändert werden, nachdem der Cluster ohne Unterbrechung der Aufnahme oder Abfragen mit den folgenden Überlegungen erstellt wurde:

• Aktualisieren von SystemAssigned auf UserAssigned – Erteilen der UserAssign-Identität im Key Vault und Aktualisieren des Identitätstyps im Cluster
• Aktualisieren von UserAssigned auf SystemAssigned – Da die systemseitig zugewiesene verwaltete Identität nach dem Aktualisieren des Clusteridentitätstyps mit SystemAssigned erstellt wurde, müssen die folgenden Schritte befolgt werden:
  1. Aktualisieren Sie den Cluster, und entfernen Sie den Schlüssel – legen Sie keyVaultUri, keyName und keyVersion auf den Wert "" fest.
  2. Aktualisieren Sie den Clusteridentitätstyp auf „SystemAssigned“.
  3. Aktualisieren Sie Key Vault und Erteilen Sie Berechtigungen für die Identität.
  4. Aktualisieren Sie den Schlüssel im Cluster.

Grenzen und Einschränkungen

• In jeder Region und jedem Abonnement können maximal fünf aktive Cluster erstellt werden.

• Pro Abonnement und Region sind maximal sieben Cluster zulässig – fünf aktive Cluster plus zwei, die in den letzten 2 Wochen gelöscht wurden.

• Maximal 1.000 Log Analytics-Arbeitsbereiche können mit einem Cluster verknüpft werden.

• Maximal zwei Vorgänge zur Verknüpfung von Arbeitsbereichen sind innerhalb von 30 Tagen für einen bestimmten Arbeitsbereich zulässig.

• Das Verschieben eines Clusters in eine andere Ressourcengruppe oder ein anderes Abonnement wird derzeit nicht unterstützt.

• Das Verschieben eines Clusters in eine andere Region wird nicht unterstützt.

• Das Clusterupdate sollte nicht sowohl Identitäts- als auch Schlüsselbezeichnerdetails in demselben Vorgang enthalten. Wenn Sie beides aktualisieren müssen, sollte das Update in zwei aufeinanderfolgenden Vorgängen erfolgen.

• Lockbox ist in China derzeit nicht verfügbar.

• Lockbox kann derzeit nicht auf Tabellen mit dem Hilfsplan angewendet werden.

• Doppelte Verschlüsselung wird automatisch für Cluster konfiguriert, die ab Oktober 2020 in unterstützten Regionen erstellt werden. Sie können überprüfen, ob Ihr Cluster für doppelte Verschlüsselung konfiguriert ist. Dazu senden Sie eine GET-Anforderung für den Cluster und beobachten, ob der isDoubleEncryptionEnabled-Wert für Cluster mit aktivierter doppelter Verschlüsselung true ist.

  • Wenn Sie einen Cluster erstellen und die Fehlermeldung „Die doppelte Verschlüsselung für Cluster wird von Regionsname nicht unterstützt.“ erhalten, können Sie den Cluster trotzdem ohne doppelte Verschlüsselung erstellen, indem Sie "properties": {"isDoubleEncryptionEnabled": false} im REST-Anforderungstext hinzufügen.
  • Die Einstellung für Mehrfachverschlüsselung kann nach dem Erstellen des Clusters nicht mehr geändert werden.

• Das Löschen eines Arbeitsbereichs ist zulässig, während er mit einem Cluster verknüpft ist. Wenn Sie sich entschließen, den Arbeitsbereich während des Zeitraums des vorläufigen Löschenswiederherzustellen, wird der Arbeitsbereich in den vorherigen Zustand zurückversetzt und bleibt mit dem Cluster verknüpft.

• Während des Verpflichtungszeitraums können Sie zu einem höheren Mindestabnahme-Tarif wechseln, der den 31-tägigen Verpflichtungszeitraum neu startet. Sie können erst nach Abschluss des Verpflichtungszeitraums zurück zur nutzungsbasierten Bezahlung oder zu einem niedrigeren Mindestabnahme-Tarif wechseln.

Problembehandlung

• Wenn beim Erstellen eines Clusters ein Konfliktfehler auftritt, wurde er möglicherweise in den letzten 2 Wochen gelöscht und befindet sich noch im Löschprozess. Der Clustername bleibt während des 2-wöchigen Löschzeitraums reserviert, und Sie können keinen neuen Cluster mit diesem Namen erstellen.

• Wenn Sie den Cluster aktualisieren, während der Cluster bereitgestellt oder bereits aktualisiert wird, tritt bei der Aktualisierung ein Fehler auf.

• Einige Vorgänge sind umfassend und können einige Zeit in Anspruch nehmen. Dies sind: Cluster erstellen, Clusterschlüssel aktualisieren und Cluster löschen. Sie können den Vorgangsstatus überprüfen, indem Sie eine GET-Anforderung an den Cluster oder Arbeitsbereich senden und die Antwort beobachten. Beispielsweise weist der nicht verknüpfte Arbeitsbereich unter features nicht die clusterResourceId auf.

• Wenn Sie versuchen, einen Log Analytics-Arbeitsbereich zu verknüpfen, der bereits mit einem anderen Cluster verknüpft ist, schlägt der Vorgang fehl.

Fehlermeldungen

Cluster erstellen

• 400 – Der Clustername ist ungültig. Der Clustername darf die Zeichen „a–z“, „A–Z“, „0–9“ und die Länge „3–63“ enthalten.
• 400 – Der Text der Anforderung ist NULL oder hat ein ungültiges Format.
• 400 – Der SKU-Name ist ungültig. Legen Sie den SKU-Namen auf „capacityReservation“ fest.
• 400 – Kapazität wurde bereitgestellt, aber SKU ist nicht „capacityReservation“. Legen Sie den SKU-Namen auf „capacityReservation“ fest.
• 400 – Fehlende Kapazität in SKU. Legen Sie den Kapazitätswert auf 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000 oder 50000 GB pro Tag fest.
• 400 – Die Kapazität ist für 30 Tage gesperrt. Eine Verringerung der Kapazität ist 30 Tage nach dem Update zulässig.
• 400 – Es wurde keine SKU festgelegt. Legen Sie den SKU-Namen auf „capacityReservation“ und den Kapazitätswert auf 100, 200, 300, 400, 500, 1000, 2000, 5000, 10000, 25000 oder 50000 GB pro Tag fest.
• 400 – Der Vorgang kann jetzt nicht ausgeführt werden. Der asynchrone Vorgang befindet sich in einem anderen Zustand als „erfolgreich“. Der Cluster muss seinen Vorgang beenden, bevor ein Aktualisierungsvorgang ausgeführt wird.

Clusterupdate

• 400 – Der Cluster befindet sich im Zustand „wird gelöscht“. Asynchroner Vorgang wird ausgeführt. Der Cluster muss seinen Vorgang beenden, bevor ein Aktualisierungsvorgang ausgeführt wird.
• 400 – „KeyVaultProperties“ ist nicht leer, hat aber ein ungültiges Format. Lesen Sie Key Identifier Update (Aktualisierung des Schlüsselbezeichners).
• 400 – Fehler beim Überprüfen des Schlüssels in Key Vault. Mögliche Ursachen: Fehlende Berechtigungen, oder der Schlüssel ist nicht vorhanden. Vergewissern Sie sich, dass Sie die Schlüssel- und Zugriffsrichtlinie in Key Vault festgelegt haben.
• 400 – Der Schlüssel kann nicht wiederhergestellt werden. Key Vault muss auf „Vorläufiges Löschen und Löschschutz“ festgelegt werden. Lesen Sie die Dokumentation zu Key Vault.
• 400 – Der Vorgang kann jetzt nicht ausgeführt werden. Warten Sie, bis der asynchrone Vorgang beendet wurde, und versuchen Sie es erneut.
• 400 – Der Cluster befindet sich im Zustand „Wird gelöscht“. Warten Sie, bis der asynchrone Vorgang beendet wurde, und versuchen Sie es erneut.

Clusterabruf

• 404 – Der Cluster wurde nicht gefunden; möglicherweise wurde er gelöscht. Wenn Sie versuchen, einen Cluster mit diesem Namen zu erstellen, und es zu einem Konflikt kommt, befindet sich der Cluster im Löschprozess.

Clusterlöschung

• 409 – Ein Cluster kann im Bereitstellungsstatus nicht gelöscht werden. Warten Sie, bis der asynchrone Vorgang beendet wurde, und versuchen Sie es erneut.

Arbeitsbereichverknüpfung

• 404 – Arbeitsbereich nicht gefunden. Der von Ihnen angegebene Arbeitsbereich ist nicht vorhanden oder wurde gelöscht.
• 409 – Arbeitsbereichverknüpfung oder Aufheben der Verknüpfung in Bearbeitung.
• 400 – Cluster nicht gefunden, der angegebene Cluster ist nicht vorhanden oder wurde gelöscht.

Aufheben der Arbeitsbereichverknüpfung

• 404 – Arbeitsbereich nicht gefunden. Der von Ihnen angegebene Arbeitsbereich ist nicht vorhanden oder wurde gelöscht.
• 409 – Arbeitsbereichverknüpfung oder Aufheben der Verknüpfung in Bearbeitung.

Nächste Schritte

• Erfahren Sie mehr über die Abrechnung dedizierter Log Analytics-Cluster.
• Erfahren Sie mehr über das korrekte Entwerfen von Log Analytics-Arbeitsbereichen.
• Weitere Beispielvorlagen für Azure Monitor.