還原 Azure 監視器中的記錄

還原作業會在經常性存取快取中的資料表，建立資料的特定時間範圍，以進行高效能查詢。 本文會描述如何還原資料、查詢該資料，並在完成後關閉資料。

權限

若要將資料從長期保留還原，您對於 Log Analytics工作區需要 Microsoft.OperationalInsights/workspaces/tables/write 和 Microsoft.OperationalInsights/workspaces/restoreLogs/write 權限，例如 Log Analytics 參與者內建角色所提供的權限。

還原記錄的時機

使用還原作業以查詢長期保留中的資料。 當您在來源資料表上執行的記錄查詢無法在記錄查詢逾時的 10 分鐘內完成時，您也可以使用還原作業，以便在任何 Analytics 資料表的特定時間範圍內執行強大的查詢。

還原有哪些功能？

在還原資料時，須指定包含您欲查詢資料的來源資料表，以及欲建立的新目的地資料表名稱。

還原作業會建立還原資料表，並使用支援完整 KQL 的高效能查詢來配置額外的計算資源，以便查詢還原的資料。

目的地資料表會提供基礎來源資料的檢視，但不會以任何方式影響該資料。 資料表不具有保留設定，而且當您不再需要還原的資料時，您必須明確地關閉還原的資料。

還原資料

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourcegroups/{resourceGroupName}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}/tables/{user defined name}_RST?api-version=2021-12-01-preview

PUT https://management.azure.com/subscriptions/00000000-0000-0000-0000-00000000000/resourcegroups/testRG/providers/Microsoft.OperationalInsights/workspaces/testWS/tables/Usage_RST?api-version=2021-12-01-preview

{
    "properties":  {
    "restoredLogs":  {
                      "startRestoreTime":  "2020-01-01T00:00:00Z",
                      "endRestoreTime":  "2020-01-31T00:00:00Z",
                      "sourceTable":  "Usage"
    }
  }
}

az monitor log-analytics workspace table restore create --subscription ContosoSID --resource-group ContosoRG  --workspace-name ContosoWorkspace --name Heartbeat_RST --restore-source-table Heartbeat --start-restore-time "2022-01-01T00:00:00.000Z" --end-restore-time "2022-01-08T00:00:00.000Z" --no-wait

查詢還原的資料

還原的記錄會保留其原始的時間戳記。 當您在還原的記錄上執行查詢時，請根據資料最初產生的時間來設定查詢時間範圍。

藉由下列其中一項來設定查詢時間範圍：

• 在查詢編輯器頂端的 [時間範圍] 下拉式清單中選取 [自訂]，然後設定 [起始值] 和 [結束值] 的值。
  
  或

• 指定查詢中的時間範圍。 例如：

  let startTime =datetime(01/01/2022 8:00:00 PM);
  let endTime =datetime(01/05/2022 8:00:00 PM);
  TableName_RST
  | where TimeGenerated between(startTime .. endTime)
  

關閉還原的資料

若要節省成本，建議您在不需要還原的資料表時刪除還原的資料表來關閉還原的資料。

刪除還原的資料表並不會刪除來源資料表中的資料。

限制

還原受到下列限制。

您可以：

• 從至少兩天的期間還原資料。

• 最多還原 60 TB。

• 在工作區中同時執行最多兩個還原程序。

• 在特定時間、特定資料表上，只執行一個作用中的還原。 在已有作用中還原的資料表上執行第二個還原會失敗。

• 每週每個資料表最多執行四次還原。

計價模式

還原記錄的費用取決於您還原的資料量，以及還原作用中的持續時間。 因此，單價是每天每 GB。 資料還原會在還原作用中的每一 UTC 日計費。

• 由於還原會配置額外的計算資源來查詢還原的數據，因此每個還原的最低還原數據量為 2 TB。 如果您還原的資料較少，則每天會收取至少 2 TB 的費用，直到還原關閉為止。

• 在還原作用中的第一天和最後幾天，您只需支付還原作用中當天部分的費用。

• 即使還原的作用中時間低於 12 小時，最低費用仍會根據 12 小時還原持續時間計算。

• 如需資料還原價格的詳細資訊，請參閱 [記錄] 索引標籤上的 Azure 監視器定價。

以下是說明資料還原成本計算的一些範例：

1. 如果您的資料表每天保留 500 GB，而您從該資料表還原 10 天的資料，則還原大小總計為 5 TB。 您每天需支付這 5 TB 的還原資料費用，直到您關閉還原資料為止。 您的每日成本是 5,000 GB 乘以您的資料還原價格 (請參閱 Azure 監視器定價)。

2. 如果相反，只會還原 700 GB 的資料，每天針對 2 TB 最低還原層級為作用中的還原計費。 您的每日成本是 2,000 GB 乘以您的資料還原價格。

3. 如果 5 TB 資料還原僅保持作用中 1 小時，最低計費為 12 小時。 此資料還原的成本是 5,000 GB 乘以您的資料還原價格乘以 0. 5 天 (最低 12 小時)。

4. 如果 700 GB 資料還原僅保持作用中 1 小時，最低計費為 12 小時。 此資料還原的成本是 2,000 GB (最低計費還原大小) 乘以您的資料還原價格乘以 0. 5 天 (最低 12 小時)。

下一步

• 深入了解資料保留。

• 了解搜尋作業，這是從長期保留擷取資料的另一種方法。