Azure Sentinel按需付费成本查询结果与成本分析工具数值差异求助

以下是导致KQL查询结果与Azure成本分析工具数值差异的核心原因及修正建议：

1. 错误纳入非Sentinel计费数据 #

你的查询未过滤Solution字段，仅对SecurityInsights重命名为AzureSentinel，但仍将其他Azure服务/解决方案的计费数据（比如Log Analytics其他工作区数据、其他安全解决方案）纳入计算，这些数据的计费单价与Sentinel的5.59美元/GB不符，直接导致成本被高估。

2. 未考虑免费额度 #

Azure Sentinel按需付费提供每月5GB的免费数据 ingestion 额度，成本分析工具会自动扣除该额度，但你的KQL查询未做任何扣除，计算的是全量数据成本，与实际计费结果不符。

3. 单价与实际计费不符 #

官网公布的5.59美元/GB是公开原价，如果你的订阅有EA协议、CSP折扣、容量预留等优惠，成本分析工具显示的是折扣后的实际结算价格，而KQL用原价计算会产生偏差。

4. 时间范围对齐问题 #

KQL查询使用UTC时间的startofday(ago(2d))/endofday(ago(2d))，而Azure成本分析工具默认可能使用本地时间展示成本，两者的日期范围可能存在错位，导致对比的并非同一时间段的数据。

5. Usage表数据延迟 #

Usage表的使用数据存在同步延迟（通常为24-48小时），查询到的是预估数据，而成本分析工具展示的是已结算的最终数据，两者存在时间差导致数值不一致。

修正后的KQL查询示例 #

针对上述问题，以下查询仅计算Sentinel的计费数据，并考虑免费额度：

let dailyFreeGB = 5.0 / 30; // 折算日均免费额度（每月5GB）
// 计算2天前的成本
let day2Cost = Usage
| where Solution == "SecurityInsights"
| where IsBillable == true
| where StartTime >= startofday(ago(2d)) and EndTime < endofday(ago(2d))
| summarize totalMB = sum(Quantity)
| extend billableGB = max(totalMB / 1000.0 - dailyFreeGB, 0) // 扣除免费额度，避免负数
| project cost = billableGB * 5.59;
// 计算1天前的成本
let day1Cost = Usage
| where Solution == "SecurityInsights"
| where IsBillable == true
| where StartTime >= startofday(ago(1d)) and EndTime < endofday(ago(1d))
| summarize totalMB = sum(Quantity)
| extend billableGB = max(totalMB / 1000.0 - dailyFreeGB, 0)
| project cost = billableGB * 5.59;
// 合并结果
union day2Cost, day1Cost
| summarize day2 = sum(cost), day1 = sum(cost)

内容的提问来源于stack exchange，提问作者Sergio D