Query des données dans Lakewatch

info

Aperçu

Lakewatch est en aperçu privé. Pour demander l’accès, contactez l’équipe de votre compte Databricks.

La page de query est un hub central pour rechercher, filtrer et analyser les données de sécurité à l'aide de SQL. L'interface vous permet d'écrire des queries personnalisées, d'appliquer des filtres en temps réel et de visualiser les résultats dans le temps.

Genie Code peut vous aider à explorer les données, à affiner les résultats, à optimiser les requêtes et à interpréter les résultats. Pour des idées, consultez exemples de prompts pour Genie Code.

remarque

Les queries enregistrées dans Lakewatch n'apparaissent pas dans l'éditeur SQL de Databricks. Lakewatch stocke ses requêtes dans un catalogue Lakewatch interne par workspace qui n'est pas affiché dans l'explorateur de catalogue, et les gère via l'application Lakewatch.

Getting start

Lorsque vous ouvrez query alors qu'aucun tab de query n'est ouvert, vous arrivez sur la page des query, qui répertorie vos query enregistrées et vos brouillons non enregistrés avec des contrôles de recherche et de filtrage :

• Rechercher des requêtes par nom, ou filtrer par Créé par ou Warehouse .
• La liste affiche le nom , l'auteur de la création , le warehouse , ainsi que les création et de mise à jour Timestamp de chaque query. Cliquez sur le nom d'une query pour l'ouvrir.

start une nouvelle query pour ouvrir un tab de query. Vos tabs de query ouverts persistent lors de la navigation : si vous laissez un tab ouvert et passez à une autre page, celui-ci sera toujours présent lorsque vous retournerez sur la page des query. Pour retourner à la liste des query, fermez vos tab ouverts. La fermeture du dernier permet de le ramener.

Utilisation des tab de query

Les tabs de query vous permettent de travailler avec plusieurs query simultanément, facilitant la comparaison des résultats ou le maintien de différents workflows analytiques.

Travailler avec des tabs

• Créer un nouvel tab : cliquez sur le bouton + à côté de vos tab ouverts pour ouvrir une query nouvelle, existante ou récente
• Renommer l’tab : cliquez directement dans le nom de l’tab actif pour le modifier (les noms en double ne sont pas autorisés)
• Fermer le tab : Cliquez sur la croix à droite du nom de la query pour fermer un tab. Les query que vous avez exécutées sont enregistrées dans Récents . Une query que vous n'avez jamais exécutée est mise en cache uniquement dans votre navigateur et ne pourra pas être ouverte depuis une autre machine tant que vous ne l'aurez pas exécutée une fois.
• Rouvrir des query fermées : rouvrez une query récemment fermée à partir de Accès rapide sur la page d'accueil des query ou, si vous avez un tab ouvert, utilisez le bouton + pour ouvrir une query existante ou récente.
• Surveiller la progression : les icônes de tab indiquent le statut de la query avec un indicateur de progression circulaire ou une coche une fois terminée.

Contrôles de tab

Chaque tab query ouvert possède une barre d'outils avec ces contrôles :

• Favori (étoile) : Marquez la query comme favorite pour un accès rapide ultérieurement.
• Partager (verrouiller) : gérer qui peut ouvrir la query et son niveau d'autorisation.
• Historique des query : consultez l’historique des exécutions de la query, disponible dans la barre d’outils de la tab et dans le menu de débordement.
• Menu long ( ⋮ ) : copiez un lien vers la query, déplacez-la ou supprimez-la.

remarque

Favoris , Partager et Historique des query ne fonctionnent que sur une query enregistrée. Une query est enregistrée la première fois que vous l’exécutez.

Rédaction et exécution de query

Les query sont écrites en SQL dans des tab de query.

Exigences relatives aux query

Pour obtenir des résultats rapides et stables, incluez ces deux composants dans chaque query :

• Un filtre de plage temporelle. Utilisez WHERE IN_TIMERANGE(time) pour limiter la query à la plage que vous sélectionnez dans le sélecteur de date/heure. Vous n'écrivez pas les heures de start et de fin dans la query vous-même. La colonne passée à IN_TIMERANGE() doit être un type TIMESTAMP ou DATE ; chaque table Lakewatch est garantie d'avoir une colonne time, donc IN_TIMERANGE(time) fonctionne toujours. La plage est semi-ouverte : une ligne dont le Timestamp est égal au start du sélecteur est incluse, mais celle qui est égale à la fin est exclue. (IN_TIMERANGE() remplace la version précédente inRange(), qui filtre sur un intervalle inclusif.)
• ORDER BY time - Active un comportement de pagination et de chronologie stable

Si vous omettez l'une des clauses, Lakewatch vous demandera de l'ajouter avant l'exécution de la query, mais vous pouvez toujours exécuter la query.

IN_TIMERANGE() est également la méthode recommandée pour limiter les règles de détection à leur fenêtre d’exécution. Voir Portée des règles à une période.

Requêtes en cours

• Définissez les paramètres de temps à l'aide du sélecteur de date/heure. Votre query s'exécute sur des données provenant de ces plages temporelles

  • Options de fuseau horaire : Choisissez entre UTC ou l’heure locale (détectée automatiquement depuis votre appareil)
  • Plages prédéfinies : sélectionnez une option prédéfinie (par exemple, « Dernières 24 heures »)
  • Plages personnalisées : utilisez le sélecteur de calendrier pour définir des dates et heures de start/fin spécifiques.

• Rédigez votre query SQL dans l’éditeur, en incluant les clauses SQL listées ci-dessus pour accélérer son exécution

• Choisissez le SQL warehouse à exécuter à partir du sélecteur de compute dans la barre d’outils de query. Un warehouse est requis : si vous n'en sélectionnez pas un, la query ne s'exécute pas et Lakewatch vous demande de sélectionner un SQL warehouse.

• Cliquez sur le bouton Exécuter la query pour start l'exécution

• Cliquez sur Annuler pour arrêter une query en cours d'exécution

Affinements : filtrage et analyse

Les raffinements vous permettent de filtrer, de trier et de regrouper dynamiquement les résultats de query sans modifier ou réexécuter votre query d'origine, ce qui permet d'explorer rapidement différentes perspectives de données tout en économisant sur les coûts de compute. Vous pouvez enchaîner plusieurs raffinements pour un filtrage complexe.

Gestion des affinements

Depuis la barre d'affinement :

• Ajoutez des expressions de filtre directement à l’aide de la syntaxe de pipeline SQL et appuyez sur Entrée pour exécuter
• Pour promouvoir les affinements dans votre query SQL principale, cliquez sur le bouton flèche vers le haut dans le coin supérieur droit de l’éditeur d’affinements.
• Pour supprimer un affinement, survolez l'affinement pour révéler le bouton de suppression (X).

Depuis la table des résultats :

• Cliquez avec le bouton droit sur les en-têtes de colonne pour trier par ordre croissant/décroissant ou pour grouper par.
• Cliquez avec le bouton droit sur les valeurs de cellule pour filtrer ou exclure par cette valeur spécifique.
• Pour les champs JSON, vous pouvez également filtrer par champs imbriqués.

Visualisation de la chronologie

L’histogramme chronologique fournit une vue d’ensemble visuelle des résultats de votre query répartis sur la période, ce qui facilite l’identification de modèles, d’anomalies et de périodes intéressantes dans les grands datasets. La chronologie s’affiche automatiquement lorsque votre query inclut des colonnes basées sur le temps.

Utilisation de la chronologie

• Survolez les barres pour voir les décomptes d’événements et les Timestamp pour des intervalles spécifiques
• Cliquez sur n’importe quelle barre pour accéder aux résultats de ce moment précis
• Cliquez et faites glisser pour zoomer sur une fenêtre temporelle pour une analyse détaillée
• Utilisez le bouton de zoom avant ou arrière (en haut à droite) pour ajuster l'intervalle que vous visualisez

Visualisation et exploration des résultats dans la table

L'interface des résultats est conçue pour l'exploration efficace de grands datasets, avec une gestion flexible des colonnes et des capacités d'inspection détaillée des lignes.

Navigation dans les tables

• Les résultats se chargent automatiquement à mesure que vous faites défiler de grands datasets.
• Utilisez la colonne Champs pour afficher/masquer, réorganiser ou pin des colonnes.
• Cliquez pour développer les objets et les tableaux JSON pour une lecture confortable.

Détails de la ligne

• Cliquez sur n’importe quelle ligne pour ouvrir la section des détails sur la droite
• L’ouverture à partir d’une cellule spécifique met en évidence cette propriété dans le panneau latéral

Actions rapides

Les menus contextuels accessibles par un clic droit permettent un accès instantané aux opérations courantes :

• Cellules : copier les valeurs, filtrer/exclure par valeur ou supprimer des colonnes
• En-têtes : triez les données ou regroupez-les par valeurs de colonne
• Lignes entières : copier les données complètes de la ligne au format JSON

Dépannage

• Aucun résultat retourné : Vérifiez votre plage de dates/heures et vos raffinements. Essayez d’élargir les paramètres
• Chronologie manquante : assurez-vous que votre query inclut des colonnes basées sur le temps dans les résultats
• Erreurs de query : consultez les détails de l’erreur affichés sur la page et ajustez la syntaxe SQL ou les paramètres
• Annulation retardée : Laissez un moment aux processus de nettoyage pour se terminer lors de l’annulation des query
• Lost work : rouvrez les query fermées depuis Accès rapide sur la page d'accueil des query