在实时智能中根据 KQL 查询集创建 Activator 警报

本文介绍如何根据 KQL 查询集创建 Fabric Activator 警报。 有关详细信息，请参阅什么是 Activator。 可以在 KQL 查询集上使用 Activator 以两种模式触发通知：

• 当计划的 KQL 查询返回结果时
• 当计划的 KQL 查询返回的结果中包含满足一组定义的条件的可视化效果时。

向自己或组织中的其他人发送警报通知。 可以通过电子邮件或 Microsoft Teams 消息发送通知。

示例方案

下面是将 Activator 警报与 KQL 查询配合使用的一些方法：

• 假设你有一个 KQL 数据库并且正在存储应用程序日志。
  • 如果过去 5 分钟内的任何记录在表的 message 列中包含字符串 authorization error，你就会收到警报。
• 在另一场景中，你拥有可在不同街区中使用的自行车的流式传输数据。 创建 KQL 查询来呈现每个街区的可用自行车数量的饼图。
  • 当任何街区的可用自行车数量低于可接受的数量时，你都会收到警报。

先决条件

• 具有已启用 Microsoft Fabric 的容量的工作区
• 包含数据的 KQL 数据库
• 连接到 KQL 数据库的 KQL 查询集。 有关详细信息，请参阅在 KQL 查询集中查询数据。

重要

仅支持对 Eventhouse 中的 KQL 数据库的查询。 如果 KQL 查询集连接到外部 Azure 数据资源管理器群集，则不支持创建警报。

以下步骤展示了如何针对某个创建可视化效果的查询或不创建可视化效果的查询创建警报。

选择对应于所需工作流的选项卡。

使用可视化效果

在 KQL 查询集上设置警报

重要

此方案不支持时间图可视化效果。 从实时仪表板创建 Activator 警报时支持可视化效果。

1. 浏览到 KQL 查询集。

2. 运行一个返回可视化效果的查询。

3. 查询返回结果后，选择顶部功能区中的“设置警报”。

   例如，以下查询基于实时智能教程中的示例自行车数据。

   TutorialTable
   | where Timestamp < ago(5m)
   | summarize NumberOfBikes=sum(No_Bikes) by Neighbourhood
   | render columnchart
   

   查询返回一个柱形图，显示每个街区可用的自行车数量，该图表用于设置警报条件。

定义警报条件

1. 设置有关查询运行频繁情况的时间频率。 默认为 5 分钟。
2. 在“条件”中指定警报条件，如下所示：
   • 如果可视化效果没有维度，可以选择“每次在以下情况下发生事件时”条件，通过选择要监视的特定字段来监视数据流中的变化。
   • 如果可视化效果包含维度，可以选择“每次发生按以下依据分组的事件时”条件，通过选择分组字段来监视数据流中的变化，从而将数据划分为不同的组
   • 在“当 ... 时”下拉菜单中，设置要评估的值。
   • 在“条件”下拉菜单中，设置要评估的条件。 有关详细信息，请参阅条件。
   • 在“值”字段中，设置要与之比较的值。
3. 在“操作”中，指定是希望通过电子邮件还是 Microsoft Teams 发出警报。 在侧窗格中，可以配置发送给自己的通知。 若要向其他用户发送通知，请参阅可选：在 Activator 中编辑规则。
4. 在“保存位置”中，指定保存 Activator 警报的位置。 选择一个现有工作区，并将其保存在现有激活器或新激活器中。
5. 选择“创建”以创建 Activator 规则。

不使用可视化效果

在 KQL 查询集上设置警报

1. 浏览到 KQL 查询集。
2. 运行查询。 Activator 会根据后续步骤中设置的时间频率检查此查询的结果，并针对结果集中返回的每条记录发送警报。 例如，如果计划的查询返回五条记录，则 Activator 会发送五条警报。
3. 查询运行完以后，选择顶部功能区中的“设置警报”。

示例 1 - 当计数大于阈值时出现的单个结果

例如，如果过去 5 分钟内表中的记录数超过阈值，则以下查询会返回警报。 查询的最后两行是关键，其中创建了与筛选器匹配的记录计数，只有当计数大于阈值时才返回结果。

SampleTable 
| where ingestion_time() > ago (5min)
// Add any other optional filters
| count 
| where Count > threshold

示例 2 - 使用包含多个值的数组创建单个结果

在以下示例中，如果任何街区的自行车数量超过给定的阈值，则查询会返回警报。 为了针对所有数量超过阈值的街区获取单个警报，请构建查询以返回单个记录（即单个警报）。 这是通过使用 make_list() 运算符来实现的。若要编辑警报，使之包含达到阈值的街区的列表，请参阅可选：在 Activator 中编辑规则。

TableForReflex
| where ingestion_time() > ago (5min)
| summarize NeighborhoodCount = count() by Neighbourhood
| where NeighborhoodCount > threshold
| summarize NeighbourhoodList = make_list(Neighbourhood)

定义警报条件

接下来，定义警报条件。 在显示的“设置警报”窗格中，执行以下步骤：

1. 设置有关查询运行频繁情况的时间频率。 默认为 5 分钟。 此场景中唯一可用的条件是“每次发生事件时”，这意味着只要返回记录就满足条件。
2. 在“操作”中，指定是希望通过电子邮件还是 Microsoft Teams 发出警报。 在侧窗格中，可以配置发送给自己的通知。 若要向其他用户发送通知，请参阅可选：在 Activator 中编辑规则。
3. 在“保存位置”中，指定保存 Activator 警报的位置。 选择一个现有工作区，并将其保存在现有激活器或新激活器中。
4. 选择“创建”以创建 Activator 规则。

可选：在 Activator 中编辑规则

保存激活器后，侧窗格中会显示指向项的链接。 选择该链接可在 Activator 中进一步进行编辑。 若要执行以下操作之一，则可使用此步骤：

• 将其他收件人添加到警报。
• 更改警报的内容，使之反映触发了警报的具体数据。
• 定义比“设置警报”窗格中的现有警报条件更复杂的警报条件。

有关如何在 Activator 中编辑规则的信息，请参阅创建 Activator 规则。

在激活器本身中，还可以查看查询结果的历史记录和规则激活的历史记录。 有关详细信息，请参阅创建 Activator 规则。

相关内容

• 在 KQL 查询集中查询数据
• Activator 入门
• KQL 快速参考指南