Esercitazione: Informazioni sugli operatori comuni

Si applica a: ✅Microsoft Fabric✅

Linguaggio di query Kusto (KQL) viene usato per scrivere query in Azure Esplora dati, Log Analytics di Monitoraggio di Azure, Azure Sentinel e altro ancora. Questa esercitazione è un'introduzione agli operatori KQL essenziali usati per accedere e analizzare i dati.

Per indicazioni più specifiche su come eseguire query sui log in Monitoraggio di Azure, vedere Introduzione alle query di log.

Questa esercitazione illustra come:

Prerequisiti

Per eseguire le query seguenti, è necessario un ambiente di query con accesso ai dati di esempio. È possibile usare uno dei seguenti elementi:

Conteggio righe

Iniziare usando l'operatore count per trovare il numero di record storm nella StormEvents tabella.

StormEvents 
| count

Output

Vedere un esempio di dati

Per ottenere un'idea dei dati, usare l'operatore take per visualizzare un campione di record. Questo operatore restituisce un numero specificato di righe arbitrarie dalla tabella, che può essere utile per visualizzare in anteprima la struttura e il contenuto dei dati generali.

StormEvents 
| take 5

La tabella seguente mostra solo cinque delle 22 colonne restituite. Per visualizzare l'output completo, eseguire la query.

Selezionare un subset di colonne

Usare l'operatore di progetto per semplificare la visualizzazione e selezionare un subset specifico di colonne. L'uso project di è spesso più efficiente e più facile da leggere rispetto alla visualizzazione di tutte le colonne.

StormEvents
| take 5
| project State, EventType, DamageProperty

Output

Elencare valori univoci

Sembra che ci siano più tipi di tempeste in base ai risultati della query precedente. Usare l'operatore distinct per elencare tutti i tipi storm univoci.

StormEvents 
| distinct EventType

Nella tabella sono presenti 46 tipi di tempeste. Ecco un esempio di 10 di essi.

Ordinare i risultati

Per visualizzare le inondazioni superiori in Texas che hanno causato il maggior danno, usare l'operatore di ordinamento per disporre le righe in ordine decrescente in base alla DamageProperty colonna. L'ordinamento predefinito è decrescente. Per ordinare in ordine crescente, specificare asc.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| sort by DamageProperty
| project StartTime, EndTime, State, EventType, DamageProperty

Output

Filtra per condizione

L'operatore where filtra le righe di dati in base a determinati criteri.

La query seguente cerca gli eventi storm in uno specifico State di un oggetto specifico EventType.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| project StartTime, EndTime, State, EventType, DamageProperty

Esistono 146 eventi che soddisfano queste condizioni. Ecco un campione di 5 di loro.

Filtrare in base a data e intervallo di tempo

Usa l'operatore tra per filtrare i dati in base a uno specifico intervallo di tempo.

La query seguente trova tutti gli eventi di tempesta tra il 1° agosto 2007 e il 30 agosto 2007, insieme ai relativi stati, tipi di evento, orari di inizio e fine. I risultati vengono quindi ordinati in ordine crescente in base all'ora di inizio.

StormEvents
| where StartTime between (datetime(2007-08-01 00:00:00) .. datetime(2007-08-30 23:59:59))
| project State, EventType, StartTime, EndTime
| sort by StartTime asc 

Output

Ottenere le prime n righe

L'operatore top restituisce le prime n righe ordinate in base alla colonna specificata.

La query seguente restituisce le cinque inondazioni in Texas che hanno causato la proprietà più danneggiata.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty
| project StartTime, EndTime, State, EventType, DamageProperty

Output

Creare colonne calcolate

Gli operatori di progetto ed estensione possono creare colonne calcolate.

Utilizzare project per specificare solo le colonne da visualizzare e utilizzare extend per accodare la colonna calcolata alla fine della tabella.

La query seguente crea una colonna calcolata Duration con la differenza tra e StartTimeEndTime . Poiché si vogliono visualizzare solo alcune colonne selezionate, l'uso project è la scelta migliore in questo caso.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty desc
| project StartTime, EndTime, Duration = EndTime - StartTime, DamageProperty

Output

Se si esamina la colonna calcolata Duration , si può notare che l'alluvione che ha causato il maggior danno è stata anche la più lunga alluvione.

Utilizzare extend per visualizzare la colonna calcolata Duration insieme a tutte le altre colonne. La Duration colonna viene aggiunta come ultima colonna.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty desc
| extend Duration = EndTime - StartTime

Output

Eseguire il mapping dei valori da un set a un altro

Il mapping statico è una tecnica utile per modificare la presentazione dei risultati. In KQL, un modo per eseguire il mapping statico consiste nell'usare un dizionario dinamico e le funzioni di accesso per eseguire il mapping dei valori da un set a un altro.

let sourceMapping = dynamic(
  {
    "Emergency Manager" : "Public",
    "Utility Company" : "Private"
  });
StormEvents
| where Source == "Emergency Manager" or Source == "Utility Company"
| project EventId, Source, FriendlyName = sourceMapping[Source]

Output

Passaggio successivo

Ora che si ha familiarità con le nozioni di base per la scrittura di query Kusto, passare all'esercitazione successiva e imparare a usare le funzioni di aggregazione per ottenere informazioni più approfondite sui dati.