Tutorial: Mempelajari operator umum

Berlaku untuk: ✅Microsoft Fabric✅✅

Bahasa Kueri Kusto (KQL) digunakan untuk menulis kueri di Azure Data Explorer, Azure Monitor Log Analytics, Azure Sentinel, dan banyak lagi. Tutorial ini adalah pengantar operator KQL penting yang digunakan untuk mengakses dan menganalisis data Anda.

Untuk panduan lebih spesifik tentang cara mengkueri log di Azure Monitor, lihat Mulai menggunakan kueri log.

Dalam tutorial ini, Anda akan mempelajari cara:

Prasyarat

Untuk menjalankan kueri berikut, Anda memerlukan lingkungan kueri dengan akses ke data sampel. Anda bisa menggunakan salah satu hal berikut ini:

Menghitung baris

Mulailah dengan menggunakan operator hitungan untuk menemukan jumlah rekaman badai StormEvents dalam tabel.

StormEvents 
| count

Hasil

Lihat sampel data

Untuk memahami data, gunakan operator ambil untuk melihat sampel rekaman. Operator ini mengembalikan jumlah baris arbitrer tertentu dari tabel, yang dapat berguna untuk mempratinjau struktur dan konten data umum.

StormEvents 
| take 5

Tabel berikut ini hanya memperlihatkan lima dari 22 kolom yang dikembalikan. Untuk melihat output lengkap, jalankan kueri.

Pilih subset kolom

Gunakan operator proyek untuk menyederhanakan tampilan dan memilih subset kolom tertentu. Penggunaan project sering kali lebih efisien dan lebih mudah dibaca daripada melihat semua kolom.

StormEvents
| take 5
| project State, EventType, DamageProperty

Hasil

Mencantumkan nilai unik

Tampaknya ada beberapa jenis badai berdasarkan hasil kueri sebelumnya. Gunakan operator berbeda untuk mencantumkan semua jenis badai unik.

StormEvents 
| distinct EventType

Ada 46 jenis badai di meja. Berikut adalah sampel 10 dari mereka.

Urukan hasil

Untuk melihat banjir teratas di Texas yang menyebabkan kerusakan paling besar, gunakan operator pengurutan untuk mengatur baris dalam urutan menurun berdasarkan DamageProperty kolom. Urutan pengurutan default adalah turun. Untuk mengurutkan dalam urutan naik, tentukan asc.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| sort by DamageProperty
| project StartTime, EndTime, State, EventType, DamageProperty

Hasil

Filter menurut kondisi

Operator tempat memfilter baris data berdasarkan kriteria tertentu.

Kueri berikut mencari peristiwa badai secara spesifikState.EventType

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| project StartTime, EndTime, State, EventType, DamageProperty

Ada 146 peristiwa yang cocok dengan kondisi ini. Berikut adalah sampel 5 dari mereka.

Filter menurut rentang tanggal dan waktu

Gunakan antara operator untuk memfilter data berdasarkan rentang waktu tertentu.

Kueri berikut menemukan semua peristiwa badai antara 1 Agustus 2007 dan 30 Agustus 2007, bersama dengan status, jenis peristiwa, waktu mulai dan berakhir. Hasilnya kemudian diurutkan dalam urutan naik menurut waktu mulai.

StormEvents
| where StartTime between (datetime(2007-08-01 00:00:00) .. datetime(2007-08-30 23:59:59))
| project State, EventType, StartTime, EndTime
| sort by StartTime asc 

Hasil

Mendapatkan baris n teratas

Operator atas mengembalikan baris n pertama yang diurutkan menurut kolom yang ditentukan.

Kueri berikut mengembalikan lima banjir Texas yang menyebabkan properti yang paling rusak.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty
| project StartTime, EndTime, State, EventType, DamageProperty

Hasil

Membuat kolom terhitung

Operator proyek dan perluas dapat membuat kolom terhitung.

Gunakan project untuk menentukan hanya kolom yang ingin Anda tampilkan, dan gunakan extend untuk menambahkan kolom terhitung ke akhir tabel.

Kueri berikut membuat kolom terhitung Duration dengan perbedaan antara StartTime dan EndTime. Karena kita hanya ingin melihat beberapa kolom yang dipilih, menggunakan project adalah pilihan yang lebih baik dalam hal ini.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty desc
| project StartTime, EndTime, Duration = EndTime - StartTime, DamageProperty

Hasil

Jika Anda melihat kolom komputasi Duration , Anda mungkin melihat bahwa banjir yang menyebabkan kerusakan paling besar juga merupakan banjir terpanjang.

Gunakan extend untuk menampilkan kolom terhitung Duration bersama dengan semua kolom lainnya. Kolom Duration ditambahkan sebagai kolom terakhir.

StormEvents
| where State == 'TEXAS' and EventType == 'Flood'
| top 5 by DamageProperty desc
| extend Duration = EndTime - StartTime

Hasil

Memetakan nilai dari satu set ke yang lain

Pemetaan statis adalah teknik yang berguna untuk mengubah presentasi hasil Anda. Di KQL, salah satu cara untuk melakukan pemetaan statis adalah dengan menggunakan kamus dinamis dan aksesor untuk memetakan nilai dari satu set ke yang lain.

let sourceMapping = dynamic(
  {
    "Emergency Manager" : "Public",
    "Utility Company" : "Private"
  });
StormEvents
| where Source == "Emergency Manager" or Source == "Utility Company"
| project EventId, Source, FriendlyName = sourceMapping[Source]

Hasil

Langkah selanjutnya

Sekarang setelah Anda terbiasa dengan hal-hal penting dalam menulis kueri Kusto, lanjutkan ke tutorial berikutnya dan pelajari cara menggunakan fungsi agregasi untuk mendapatkan wawasan yang lebih mendalam tentang data Anda.