シグナル
プレビュー
Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。
シグナル とは、特定のユーザーからの複数のログイン失敗など、1つ以上のイベントが検出ルールの基準に一致したときに生成されるイベントレコードです。各シグナルには、検出された動作の概要、最初のイベントが発生した時刻、一致したイベント数が含まれます。各シグナルは、1つのアラートにのみ添付されます。
シグナルを表示するには、 アラート に移動し、アラートを開いて関連するシグナルを表示します。シグナルを直接クエリーするには、 signals システムテーブルを使用します。
シグナルの重複排除
Lakewatchは、重複したシグナルがワークスペースを乱雑にすることを自動的に防ぎます。2つのシグナルは、ルールが重複排除期間内ですでに作成されたシグナルと すべての 検出出力フィールド（サマリーだけでなく）全体で値が同一の結果行を生成する場合に重複とみなされます。重複排除は単一のルールに限定されるため、異なるルールが互いに重複排除することはありません。
Lakewatchが重複を検出すると、そのシグナルは完全にスキップされます。新しいシグナルは挿入されず、アラートは開かれたり更新されたりしません。
重複排除は、後に発生するシグナルのグループ化とは異なります。サマリーが一致する場合でも、出力行の残りの部分が一致する場合にのみ重複排除が行われます。一致するサマリーのみがグループ化につながります。
- 重複排除 はシグナルが作成されるときに実行され、 すべての 検出出力フィールドにおいて既存のシグナルと一致する場合にのみシグナルをドロップします。サマリーは共通しているが他のフィールドが異なる2つのシグナルは、両方とも作成されます。
- シグナルのグループ化 では、サマリー（およびルールIDとバージョン）を使用して、残りのシグナルをアラートに整理します。それ以外は使用されません。サマリーが同じシグナルは、他のフィールドが異なっていても、最初のシグナルのサマリーを持つ同じアラートに添付されます。
検出ルールは処理済みの行のチェックポイントを保持しないため、ランの遅延、バックフィル、または再ランを行うと、重複する時間ウィンドウをスキャンして同じ行を複数回返す可能性があります。重複排除により、これらの重複によってシグナルが複製されないようになります。
重複排除の有効化と無効化
重複排除は、すべてのルールでdefaultで有効になっています。以下の2つのレベルで制御できます。
- ワークスペース ：すべてのルールのdefaultを設定します。ワークスペースアラート設定で 信号の重複排除 を切り替えます。defaultで有効です。
- ルールごと : ルールの 重複排除 設定を使用して、単一ルールのワークスペースの default を上書きします：
- default ：ワークスペース設定を継承します。
- 有効 ：このルールのシグナルを常に重複排除します。
- 無効 ：このルールのシグナルは決して重複排除されません。
ルールごとの値を設定する場所については、 検出ルールの作成と管理を参照してください。
重複排除の時間枠
時間枠は、Lakewatchが同一のシグナルをどこまで遡って検索するかを制御します。defaultでは、ウィンドウは 自動 で、 ルールのスケジュール間隔の3倍 、最大 7日間 となります。たとえば、1時間ごとに実行されるルールは3時間枠を、毎日実行されるルールは3日枠を使用します。
ウィンドウを自分で設定するには、1h、24h、または7dなどの明示的な期間を指定します（最大期間は7日間です）。Databricksでは、ウィンドウを 自動 のままにすることを推奨しています。
シグナル システム テーブル
Lakewatchは、各Lakewatchカタログの<LW-CATALOG>.internal.signalsにシグナルシステムテーブルを提供します。カタログごとに個別のテーブルがあり、それぞれにそのカタログ内のルールによって生成されたシグナルのみが含まれます。テーブルには、シグナルとそれらに関連付けられたアラートに関するメタデータが保持されます。それにクエリーを実行して、シグナルを分析し、アラートと相関させ、カスタムレポートまたはダッシュボードを作成します。
シグナルはシステムテーブルで使用できますが、アラートは使用できません。アラートを表示および管理するには、UI の ［アラート］ページ を使用します。