教學課程：了解常見的運算子

適用於：✅Microsoft網狀架構✅✅✅

Kusto 查詢語言 （KQL） 可用來在 Azure 數據總管、Azure 監視器 Log Analytics、Azure Sentinel 等中寫入查詢。 本教學課程是用來存取和分析數據的基本 KQL 運算符簡介。

如需有關如何在 Azure 監視器中查詢記錄的詳細指引，請參閱 開始使用記錄查詢。

在本教學課程中，您將了解如何：

必要條件

若要執行下列查詢，您需要具有範例數據的存取權的查詢環境。 您可以使用下列其中一項：

計數資料列

首先， 使用 count 運算符來尋找數據表中的 StormEvents storm 記錄數目。

StormEvents 
| count

輸出

查看數據的範例

若要了解數據，請使用 take 運算符來檢視記錄範例。 這個運算符會傳回數據表中指定數目的任意數據列，這對於預覽一般數據結構和內容很有用。

StormEvents 
| take 5

以下表格僅顯示22個傳回欄中的五個。 若要查看完整的輸出，請執行查詢。

選取資料行的子集

使用項目運算符來簡化檢視，並選取特定數據行子集。 使用 project 通常比檢視所有數據行更有效率且更容易閱讀。

StormEvents
| take 5
| project State, EventType, DamageProperty

輸出

列出唯一值

根據上一個查詢的結果，似乎有多個類型的風暴。 使用 distinct 運算符來列出所有唯一的 storm 類型。

StormEvents 
| distinct EventType

數據表中有46種風暴。 以下是其中10個範例。

排序結果

若要檢視德克薩斯州造成最大損壞的最上層洪水，請使用 排序 運算符根據數據行以遞減順序 DamageProperty 排列數據列。 預設排序順序為遞減。 若要依遞增順序排序，請指定 asc。

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| sort by DamageProperty
| project StartTime, EndTime, State, EventType, DamageProperty

輸出

依條件篩選

， 其中 運算符會根據特定準則篩選數據列。

下列查詢會尋找特定 StateEventType中的 storm 事件。

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| project StartTime, EndTime, State, EventType, DamageProperty

有146個事件符合這些條件。 以下是其中5個範例。

依日期和時間範圍篩選

使用運算子 之間的 ，根據特定時間範圍篩選數據。

下列查詢會尋找 2007 年 8 月 1 日至 2007 年 8 月 30 日之間的所有 Storm 事件，以及其狀態、事件類型、開始和結束時間。 然後，結果會依開始時間以遞增順序排序。

StormEvents
| where StartTime between (datetime(2007-08-01 00:00:00) .. datetime(2007-08-30 23:59:59))
| project State, EventType, StartTime, EndTime
| sort by StartTime asc 

輸出

取得前 n 個數據 列

top 運算符會傳回依指定數據行排序的前 n 個數據列。

下列查詢會傳回造成最受損財產的五起德克薩斯洪水。

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty
| project StartTime, EndTime, State, EventType, DamageProperty

輸出

建立計算結果欄

項目和擴充運算元都可以建立匯出數據行。

使用 project 僅指定您想要檢視的數據行，並使用 extend 將匯出數據行附加至數據表結尾。

下列查詢會建立計算Duration結果列，其與之間的差異StartTimeEndTime。 由於我們只想要檢視幾個選取的數據行，因此在此情況下，使用 project 是較佳的選擇。

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty desc
| project StartTime, EndTime, Duration = EndTime - StartTime, DamageProperty

輸出

如果您查看計算數據 Duration 行，您可能會注意到造成最大破壞的洪水也是最長的洪水。

使用 extend 來檢視計算 Duration 結果列以及所有其他數據行。 數據 Duration 行會新增為最後一個數據行。

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty desc
| extend Duration = EndTime - StartTime

輸出

將值從一個集合對應到另一個集合

靜態對應是變更結果呈現方式的實用技術。 在 KQL 中，執行靜態對應的方法之一是使用動態字典和存取子將值從一個集合對應到另一個集合。

let sourceMapping = dynamic(
  {
    "Emergency Manager" : "Public",
    "Utility Company" : "Private"
  });
StormEvents
| where Source == "Emergency Manager" or Source == "Utility Company"
| project EventId, Source, FriendlyName = sourceMapping[Source]

輸出

後續步驟

現在您已熟悉撰寫 Kusto 查詢的基本概念，請繼續進行下一個教學課程，並瞭解如何使用聚合函數來深入瞭解您的數據。