直接答案：按 2026-11-07 检索的 Azure 官方零售价（eastus、美元、按量/零售，不含企业协议折扣与税），Microsoft Sentinel 的分析层按量价是 4.30 美元/GB；100 GB/天承诺层 296 美元/天（30 天约 8,880 美元/月，折合 2.96 美元/GB，省约 31%）；500 GB/天 1,265 美元/天（约 37,950 美元/月，2.53 美元/GB，省约 41%）；1,000 GB/天 2,480 美元/天（约 74,400 美元/月，2.48 美元/GB，省约 42%）；最高 50,000 GB/天为 102,600 美元/天（2.052 美元/GB，省约 52%）。数据湖层则是另一套计价：摄入 0.05 美元/GB、处理 0.10 美元/GB、存储 0.026 美元/GB·月（按 6:1 压缩计费）、查询 0.005 美元/GB 扫描量。以 100 GB/天、处理 100%、保留 30 天估算，数据湖层约 465 美元/月；但它不是实时检测层，正确做法是把主安全数据放分析层、把高流量辅助日志放数据湖层，而不是整站二选一。
本文面向需要给 SIEM 做预算、选日志分层、控制留存成本的安全运营、IT 运维与采购团队。价格来自 Microsoft Sentinel 官方定价页的计费说明与 Azure Retail Prices API（serviceName=Sentinel，armRegionName=eastus，2026-11-07 检索）；分层与留存规则来自 Microsoft Learn 的计费与日志留存文档。本文把“官方价格事实”“编辑测算”和“未纳入项”分开写。
① 分析层按 GB（4.30 美元/GB）计，承诺层按“每天预留多少 GB”计；承诺层只有在实际用量接近预留量时才划算。② 数据湖层便宜是因为它把“实时查询/告警”换成了“低成本长期留存 + 按扫描量查询”，不能拿它替代分析层做实时检测。③ 90 天交互留存已含在分析层里，超过 90 天的留存、跨 workspace、图/Notebook/SAP 等能力会另计。
口径：按 GB、按天、按扫描量，别混单位
Sentinel 的账单至少有三套单位：分析层按摄入 GB（109 字节，不是 GiB）计；承诺层按每天预留 GB计，按月要乘 30（不是 730 小时）；数据湖按摄入 GB、处理 GB、存储 GB·月、查询扫描 GB分别计。数据湖存储按 6:1 压缩率计费：600 GB 原始数据按 100 GB 计。本文的月费统一按 30 天估算，实际月份天数、区域、币种、企业协议折扣和税费都会造成差异。所有价格均为 eastus 零售价，不含 Log Analytics 经典计费、Notebook/Graph 计算、SAP 解决方案、MCP 工具等可能另计的项目。
| 计费项 | 官方单价（eastus） | 单位 | 说明 |
|---|---|---|---|
| 分析层按量（Pay-as-you-go Analysis） | 4.30 美元 | 1 GB | 默认计费方式；90 天交互留存包含在内 |
| Basic Logs 分析 | 1.00 美元 | 1 GB | 低成本日志计划，按 GB 计 |
| 数据湖摄入 | 0.05 美元 | 1 GB | 仅对“只进数据湖层”的表计费 |
| 数据处理 | 0.10 美元 | 1 GB | 脱敏、拆分、过滤、规范化等转换 |
| 数据湖存储 | 0.026 美元 | 1 GB/月 | 按 6:1 压缩后计费 |
| 数据湖查询 | 0.005 美元 | 1 GB 扫描 | 按 KQL 查询/作业扫描的未压缩数据量 |
| Advanced Data Insights | 0.15 美元 | 1 小时 | Notebook 会话/作业/自定义图计算 |
来源：Azure Retail Prices API（serviceName=Sentinel、armRegionName=eastus、type=Consumption，2026-11-07）；Microsoft Sentinel 定价页与 Microsoft Learn 计费文档。表中为零售价，不含企业协议/CSP 折扣、税费和汇率；具体账单以 Azure 计费为准。
承诺层：每天预留多少 GB，才真的省
承诺层（Commitment Tier，旧称 Capacity Reservation）用“固定日费”换更低的每 GB 价格。官方说明：承诺层从 100 GB/天起，超出预留量的部分仍按该层的折扣单价计；可随时升级，但降级/退出至少要等 31 天；承诺层按 workspace 生效，不能跨 workspace 或订阅合并。50 GB/天是 2025-10-01 起公开预览的促销档，促销价可锁定到 2027-03-31，且因区域而异。下表把 eastus 各档折成“每 GB 有效价”和“相对 4.30 美元/GB 的节省”，便于和实际日均用量对照。
| 承诺层（GB/天） | 日费（美元） | 30 天月费 | 有效价（美元/GB） | 相对按量节省 |
|---|---|---|---|---|
| 50（公开预览促销） | 161.25 | 约 4,838 | 3.225 | 约 25.0% |
| 100 | 296.00 | 约 8,880 | 2.960 | 约 31.2% |
| 200 | 548.00 | 约 16,440 | 2.740 | 约 36.3% |
| 500 | 1,265.00 | 约 37,950 | 2.530 | 约 41.2% |
| 1,000 | 2,480.00 | 约 74,400 | 2.480 | 约 42.3% |
| 5,000 | 11,550.00 | 约 346,500 | 2.310 | 约 46.3% |
| 50,000 | 102,600.00 | 约 3,078,000 | 2.052 | 约 52.3% |
来源：Azure Retail Prices API（eastus，2026-11-07）；有效价=日费÷承诺 GB；节省=1−有效价÷4.30；月费=日费×30。承诺层按 workspace 生效，超出部分按该层折扣价计；50 GB 档为公开预览促销，促销期 2025-10-01 至 2026-12-31、价格锁定至 2027-03-31，具体以官方页面为准。
分析层 TCO：100/500/1,000 GB/天
把日均摄入量乘 30 天，再乘单价，就是分析层的月度账单。按量价 4.30 美元/GB 时，100/500/1,000 GB/天分别约 12,900/64,500/129,000 美元/月；选对应承诺层后分别约 8,880/37,950/74,400 美元/月。这里的关键不是“承诺层一定便宜”，而是实际日均用量要接近或超过承诺量：如果每天只用 50 GB 却买了 100 GB 承诺层，仍要付 8,880 美元/月，反而比按量 6,450 美元/月贵。承诺层可以升级，但降级要等 31 天，所以先用 1–2 个月的真实用量数据再锁定。
| 日均摄入 | 按量月费（4.30/GB） | 对应承诺层 | 承诺层月费 | 月差额 | 节省 |
|---|---|---|---|---|---|
| 100 GB/天 | 12,900 | 100 GB/天 | 8,880 | −4,020 | 31.2% |
| 500 GB/天 | 64,500 | 500 GB/天 | 37,950 | −26,550 | 41.2% |
| 1,000 GB/天 | 129,000 | 1,000 GB/天 | 74,400 | −54,600 | 42.3% |
编辑测算：月费=日均 GB×30×单价；承诺层=日费×30；未计 90 天以外留存、跨 workspace、SAP/Graph/Notebook、税费和折扣。实际日均用量应按 30 天滚动平均，而不是峰值。
数据湖层 TCO：便宜，但不是“同功能更便宜”
数据湖层把存储和计算拆开：摄入 0.05 美元/GB、处理 0.10 美元/GB、存储 0.026 美元/GB·月（6:1 压缩）、查询 0.005 美元/GB 扫描。以 100 GB/天、保留 30 天、处理 100%、每月查询 10% 原始数据估算：摄入 150 美元、处理 300 美元、存储约 13 美元（3,000 GB÷6×0.026）、查询约 1.5 美元，合计约 465 美元/月；500 GB/天约 2,323 美元/月；1,000 GB/天约 4,645 美元/月。相比分析层，差距主要来自“没有实时检测/告警”和“查询按扫描量计费”，所以它是辅助日志的留存层，不是主 SIEM 的替代品。
| 日均摄入 | 摄入费 | 处理费 | 存储费 | 查询费 | 月合计 |
|---|---|---|---|---|---|
| 100 GB/天 | 150 | 300 | 约 13 | 约 1.5 | 约 465 |
| 500 GB/天 | 750 | 1,500 | 约 65 | 约 7.5 | 约 2,323 |
| 1,000 GB/天 | 1,500 | 3,000 | 约 130 | 约 15 | 约 4,645 |
编辑测算：摄入=日均×30×0.05；处理=日均×30×0.10（假设全部处理，未处理则不计）；存储=日均×30÷6×0.026（30 天保留、6:1 压缩）；查询=日均×30×10%×0.005（假设每月扫描 10% 原始数据）。未计 Advanced Data Insights、Notebook/Graph、税费和折扣；实际以账单为准。
日志怎么分层：主数据进分析层，辅助数据进湖
官方建议很明确：主安全数据（身份认证、EDR/杀毒、云审计、威胁情报、外部告警）放分析层，用于近实时检测、告警和交互式狩猎；辅助安全数据（网络、防火墙、代理、NetFlow、TLS/SSL 证书、IoT 等高流量日志）放数据湖层，用于长期留存、取证和历史分析。Basic Logs 则适合低成本、查询频率较低的日志。把“需要实时告警的数据”和“只需要出事时查的数据”分开，是控制 SIEM 成本最有效的一步，比单纯换承诺层更根本。
| 日志类型 | 典型例子 | 建议层 | 理由 |
|---|---|---|---|
| 主安全数据 | 身份认证、EDR、云审计、威胁情报、告警 | 分析层 | 需要近实时检测、告警和高频查询 |
| 辅助高流量数据 | 防火墙、代理、NetFlow、TLS/SSL、IoT | 数据湖层 | 价值密度低、量大、主要供取证/历史分析 |
| 低频查询日志 | 合规留档、调试日志、非关键应用日志 | Basic Logs / 数据湖 | 查询少，优先降存储成本 |
| 双留存数据 | 既要实时检测又要长期留存的主数据 | 分析层 + 数据湖 | 分析层留存期内查询，之后转湖长期保存 |
来源：Microsoft Learn 日志留存分层文档与 Microsoft Sentinel 定价页 FAQ（访问 2026-11-07）。具体表名、留存设置和双留存计费规则以官方文档与 Azure 账单为准；分层前应先确认检测规则依赖的数据源。
成本控制清单：账单上容易被忽略的项
除了摄入单价，SIEM 账单还会被这些项目放大：90 天以外的留存、多个 workspace 各自承诺、数据湖处理/查询、Notebook/Graph 计算、SAP 解决方案、MCP/安全计算单元，以及“采了但没人查”的日志。最有效的动作通常是先砍掉低价值日志源，再谈承诺层；因为承诺层只是把单价降下来，不能减少你为无用日志支付的总量。
| 成本项 | 触发条件 | 控制动作 |
|---|---|---|
| 90 天以外留存 | 分析层交互留存超过 90 天 | 按数据类设置留存；长期留存转数据湖 |
| 多 workspace | 承诺层不能跨 workspace 合并 | 合并可合并的 workspace；分别核算承诺量 |
| 数据处理 | 数据湖层启用脱敏/拆分/规范化 | 只对需要的表启用；先评估处理收益 |
| 查询扫描量 | 数据湖 KQL 查询/作业扫描大量数据 | 缩小时间范围/字段；用汇总表替代全量扫描 |
| Notebook/Graph | Advanced Data Insights、自定义图 | 按项目核算计算小时；避免长期空转 |
| SAP/MCP 等 | SAP 解决方案、MCP 工具、SCU | 单独列预算；按实际调用量监控 |
| 低价值日志 | 采集了但无检测/调查用途 | 先停采/过滤，再考虑承诺层 |
来源：Microsoft Learn 计费文档与 Microsoft Sentinel 定价页（访问 2026-11-07）；表中为编辑整理的成本控制建议，不是官方承诺。具体计费项和免费额度以官方页面与账单为准。
常见问题
Sentinel 是按 GB 还是按天计费？
两种都有。分析层按量是 4.30 美元/GB；承诺层是按“每天预留多少 GB”收固定日费（如 100 GB/天 296 美元/天），超出部分按该层折扣价计。数据湖则按摄入 GB、处理 GB、存储 GB·月、查询扫描 GB 分别计。
承诺层怎么选，超出会怎样？
先用 1–2 个月的真实日均用量（不是峰值）对照各档有效价。承诺层从 100 GB/天起，可随时升级，降级/退出至少等 31 天；超出预留量仍按该层折扣单价计。若实际用量长期低于承诺量，固定日费会让你多付。
数据湖层是不是几乎免费？
不是。数据湖摄入 0.05 美元/GB、处理 0.10 美元/GB、存储 0.026 美元/GB·月（6:1 压缩）、查询 0.005 美元/GB 扫描。它比分析层便宜很多，但缺少实时检测/告警能力，适合辅助日志长期留存，不适合替代主 SIEM。
100 GB/天大概多少钱？
分析层按量约 12,900 美元/月；100 GB/天承诺层约 8,880 美元/月（省约 31%）。若把同样 100 GB/天全部放数据湖层，按处理 100%、保留 30 天、查询 10% 估算约 465 美元/月，但不能用于实时告警。
为什么数据湖还要收查询和处理费？
数据湖把存储和计算拆开：存储便宜，但查询按扫描的未压缩数据量计费，处理（脱敏、拆分、过滤、规范化）按 GB 计费。这样设计是为了让“长期留存”便宜，同时让“实际使用计算”按量付费。
承诺层能跨多个 workspace 共享吗？
不能。官方说明承诺层按 workspace 生效，不能跨 workspace 或订阅合并。多个 workspace 要分别核算用量和承诺量；合并 workspace 前要先确认数据主权、访问控制和检测规则要求。
50 GB 承诺层的促销到什么时候？
官方页面说明：50 GB/天承诺层自 2025-10-01 起公开预览，促销期到 2026-12-31；在此期间购买的客户可锁定促销价至 2027-03-31。促销价因区域而异，且不能与其他 Sentinel 折扣叠加。
有哪些免费额度？
官方页面提到：每个用户每天 5 MB 的关键安全日志免费摄入；启用 Sentinel 后，分析层前 10 GB/天免费 31 天（受每租户 20 个 workspace 等限制）；数据湖预览期含 30 天免费存储，预览期数据处理也可能免费。具体以官方页面和账单为准。
研究方法与局限
本文把“官方价格事实”和“编辑测算”分开：分析层 4.30 美元/GB、Basic Logs 1.00 美元/GB、数据湖 0.05/0.10/0.026/0.005 美元、各承诺层日费均来自 Azure Retail Prices API（serviceName=Sentinel、eastus、Consumption，2026-11-07）；分层规则、90 天留存、6:1 压缩、承诺层按 workspace、50 GB 促销来自 Microsoft Sentinel 定价页与 Microsoft Learn 计费/留存文档。月费、TCO、节省比例和分层建议为编辑测算。
局限有八个：① 只取 eastus 零售价，不含其他区域、企业协议/CSP 折扣、税费和汇率；② 月费按 30 天估算，实际月份天数不同；③ 数据湖 TCO 假设处理 100%、保留 30 天、查询 10% 原始数据，实际用量会变；④ 未计 Notebook/Graph、SAP、MCP/SCU、Log Analytics 经典计费等；⑤ 未做检测规则/查询性能测试，分层建议需按自身数据源验证；⑥ 价格和促销会变，发布后应重新查询；⑦ 本文不构成采购、商务或法律建议；⑧ 未覆盖其他 SIEM 厂商，不能据此判断“Sentinel 比谁便宜”。
数据来源与口径
- Microsoft, Microsoft Sentinel pricing：azure.microsoft.com/en-us/pricing/details/microsoft-sentinel/。分析层/数据湖层、承诺层 100–50,000 GB、最高 52% 节省、50 GB 促销、5 MB/用户/天免费、数据湖 30 天免费存储等。访问 2026-11-07。
- Microsoft, Azure Retail Prices API（serviceName=Sentinel、armRegionName=eastus）：prices.azure.com/api/retail/prices。分析层 4.30 美元/GB、Basic Logs 1.00、数据湖摄入 0.05、处理 0.10、存储 0.026、查询 0.005、各承诺层日费。访问 2026-11-07。
- Microsoft Learn, Plan costs and understand Microsoft Sentinel billing：learn.microsoft.com/en-us/azure/sentinel/billing。分析层按量/承诺层、90 天交互留存、数据湖摄入/处理/存储/查询、6:1 压缩、双留存不计摄入/处理、免费试用。访问 2026-11-07。
- Microsoft Learn, Log retention tiers in Microsoft Sentinel：learn.microsoft.com/en-us/azure/sentinel/log-plans。主安全数据 vs 辅助安全数据、分析层 90 天默认交互留存（最长两年）、数据湖层定位。访问 2026-11-07。
资料截止 2026-11-07；价格与规则以 Microsoft 官方页面/API 与 Azure 账单为准；本文不构成采购、商务或法律建议。