Log Analytics Workspace のアーカイブログへの移動を30日待たずに行う。

こんにちは、駆け出しアーキテクトのやまぱんです。

今回はMSのドキュメントわかりにくいなーと思い、確認したので備忘録としてメモしておきます。

やりたいこと

Log Analytics Workspace のアーカイブログへの移動を30日待たずに行う。
つまり、インタラクティブな保存期間を30日未満にするか、即時にアーカイブ期間に移動するということを行いたい。

アーカイブログとは：アーカイブ ログとして保存することで保存料金を下げ、長期間保存しておくことができる、ログの種類です。Log Analytics Workspace に取り込まれたデータはインタラクティブな保存期間を経て、アーカイブ期間(アーカイブログ)と移動します。

困った点

公式 Docs を見ると4日で設定できそうな事が書かれているが、実際には Azure Portal からは設定できない!!(最短でも30日になっている)

4 日から 730 日の範囲 のインタラクティブな保持期間でデータを保持できます。

解決策

結論から言えば、 Azure CLI や Azure PowerShell を使うことで最短4日に設定することが可能です。

コマンド例はこちらに載っています。

実行例 - Azure CLI

• 設定する
  インタラクティブな保存期間(--retention-time)：四日、トータルの保持期間(--total-retention-time)730日で設定した例です。

az monitor log-analytics workspace table update --subscription <Subscription ID> --resource-group <rリソースグループ> --workspace-name <ワークスペース名> --name <Table名> --retention-time 4 --total-retention-time 730 - o table

• 確認する

az monitor log-analytics workspace table show --subscription <Subscription ID> --resource-group <rリソースグループ> --workspace-name <ワークスペース名> --name <Table名> -o table

--retention-time に 4(日) 未満の数字を入れた場合はエラーが出て設定できない

Error Message："InvalidArgumentValue: --retention-time: Invalid format: '3' is less than 4"

実行例 - Azure PowerShell

もちろんAzure PowerShellでも可能。
Azure PowerShellのバージョンが古いとコマンドを認識しない可能性があります。(実際なった)
このあたりを参考にして最新版を導入してください。
msiでインストールした人はmsiでしかアップデートできないのでお気をつけてください

• 設定
  インタラクティブな保存期間(-RetentionInDays)：4日、トータルの保持期間(-TotalRetentionInDays ):730日で設定した例です。

• 設定確認
  

-RetentionInDays 1 に 4(日) 未満の数字を入れた場合はエラーが出て設定できない

Error Message：
Update-AzOperationalInsightsTable: Operation returned an invalid status code 'BadRequest'
Bad Request
{"error":{"code":"InvalidParameter","message":"The specified retention value is invalid. Operation Id: '156699c0f04ebc8483f692226abad9ce'"}}

Azure Portal で確認

設定前にはなかった Azure Portal のプルダウンメニューにも4日が表示されました。

<再掲-設定前>

Log Analytics の料金について

Log Analytics のデータの保持は最初の31日間無料です。

"Log Analytics ワークスペースに取り込まれたデータは、最初の 31 日間 (または Microsoft Sentinel がワークスペースで有効になっている場合は 90 日間) まで無料で保持できます。"

上記のことからインタラクティブな期間が 1~30日であればどれであってもそもそも保管コストはかからないので、インタラクティブな期間を短くしてもコスト的なメリットないです。

あとがき

Azure Portal からでは設定できない旨Docsに記載されていないのでエスカレーションしました。
"タシカニワカリニクイネ" とコメントもらったので、そのうち修正してくれそうです。
Azure 、Azure Portal ではできないけど Azure CLI やAzure PowerShell、 APIでできることっていうのは実は結構ありますよね。

もっと親切なドキュメントになることを祈るばかりです。