练习：示例查询

已完成

在上一单元中，我们检查了 KQL 查询的一般结构。 现在，让我们尝试运行几个示例查询。

访问演示查询环境

某些使用 KQL 的产品提供了可用于练习查询的免费环境。 请从以下选项卡中选择与要使用的查询环境对应的项。

Azure 数据资源管理器

Azure 数据资源管理器提供了一个帮助群集，其中预加载了不同类型的数据。 通过使用 Azure 数据资源管理器 Web UI 访问此群集。

Azure 数据资源管理器帮助群集

先决条件

此环境需要 Microsoft 帐户或 Microsoft Entra 用户标识。

运行示例查询

以下查询回答了“洪水造成的 10 大财产损失是什么？”这个问题

运行查询

StormEvents
| where EventType == "Flood"
| sort by DamageProperty desc
| take 10

下面是关于查询如何处理数据的分步分析。

1. 查询首先将 StormEvents 表用作表格输入。
2. 它会筛选 EventType 列所示类型与 Flood 完全匹配的记录。
3. 生成的列表基于 DamageProperty 列中的值按降序排序。
4. 最后，返回前 10 条记录。

Azure Monitor/Microsoft Sentinel

Azure Monitor 中的 Microsoft Sentinel 和 Log Analytics 都使用通过在 Microsoft Azure 门户中搜索并选择“日志”来访问的演示环境。

Log Analytics 演示环境

先决条件

此环境需要 Azure 订阅。 创建免费 Azure 帐户。

运行示例查询

以下查询回答了“在过去一天中，响应时间最长的前 10 个日志查询是什么？”这个问题

运行查询

LAQueryLogs
| where TimeGenerated between (ago(24h) .. now())
| sort by ResponseDurationMs desc
| take 10

下面是关于查询如何处理数据的分步分析。

1. 查询首先将 LAQueryLogs 表用作表格输入。
2. 它会筛选 TimeGenerated 列所示时间在 24 小时前到当前时间之间（表示过去一天）的记录。
3. 生成的列表基于 ResponseDurationMs 列中的值按降序排序。
4. 最后，返回前 10 条记录。

Azure Resource Graph

你可以可以通过在 Azure 门户中搜索并选择“Resource Graph 资源管理器”来访问 Azure Resource Graph 资源管理器。

Azure Resource Graph 资源管理器

先决条件

此环境需要 Azure 订阅。 创建免费 Azure 帐户。

运行示例查询

以下查询回答了“最近启用的前 10 个存储资源是什么？”这个问题

resources
| where type contains 'storage'
| sort by todatetime(properties.encryption.services.blob.LastEnabledTime)
| take 10

下面是关于查询如何处理数据的分步分析。

1. 查询首先将 Resources 表用作表格输入。
2. 它会筛选 type 列包含 storage 一词的记录。
3. 生成的列表基于名为 properties 的动态字段中的 LastEnabledTime 值按降序排序。
4. 最后，返回前 10 条记录。