メインコンテンツまでスキップ
に最終更新

Lakewatchでのデータのクエリー

備考

プレビュー

Lakewatchは プライベート プレビュー段階です。アクセスをリクエストするには、Databricksアカウントチームにお問い合わせください。

クエリーページは、SQLを使用してセキュリティデータを検索、フィルタリング、および分析するための中心的なハブです。インターフェースでは、カスタムクエリーの作成、リアルタイムフィルターの適用、時間経過全体での結果の可視化ができます。

Genie Codeは、データの探索、結果の洗練、クエリーの最適化、結果の解釈に役立ちます。アイデアについては、 Genie Codeのプロンプト例を参照してください。

注記

Lakewatchに保存されたクエリーは、Databricks SQLエディタには表示されません。Lakewatchは、Catalog Explorerに表示されない、ワークスペースごとの内部Lakewatchカタログにクエリーを保存し、Lakewatchアプリでそれらを管理します。

使い始める​

クエリーtabを開かずに クエリー を開くと、クエリーページが表示されます。このページには、保存したクエリーと保存されていないドラフトが、検索コントロールとフィルターコントロールと共に一覧表示されます。

  • 名前でクエリーを検索するか、 作成者 または warehouse でフィルターします。
  • リストには、各クエリーの 名前 、 作成者 、 warehouse 、および 作成日時 と 更新日時 のTimestampが表示されます。クエリーの名前をクリックして開きます。

クエリーtabを開くために新しいクエリーを起動します。開いているクエリーtabはナビゲーション全体で保持されます。tabを開いたまま別のページに移動しても、クエリーページに戻ったときにそのまま残っています。クエリーリストに戻るには、開いているtabを閉じます。最後の一つを閉じると戻ります。

クエリーtabの使用​

クエリーtabを使用すると、複数のクエリーを同時に操作できるため、結果の比較や異なる分析ワークフローの維持が容易になります。

tabの操作​

  • 新しいtabを作成 : 開いているtabの横にある + ボタンをクリックして、新しいクエリー、既存のクエリー、または最近のクエリーを開きます
  • tabの名前変更 : アクティブなtab名を直接クリックして編集します（重複する名前は使用できません）
  • tabを閉じる ：クエリー名の右にあるXをクリックすると、tabが閉じます。実行したクエリーは 最近 に保存されます。一度も実行したことのないクエリーはブラウザーにのみキャッシュされ、一度実行するまで別のマシンから開くことはできません。
  • 閉じたクエリーを再度開く ：クエリーホームページの クイックアクセス から最近閉じたクエリーを再度開くか、tabが開いている場合は + ボタンを使用して既存または最近のクエリーを開きます。
  • 進捗状況の監視 ：tabアイコンには、クエリーのステータスが円形の進捗インジケーターで示され、完了するとチェックマークが表示されます。

tabコントロール​

開いている各クエリーtabには、次のコントロールを持つツールバーがあります。

  • お気に入り （星）：後で簡単にアクセスできるよう、クエリーをお気に入りとしてマークします。
  • 共有 (ロック): クエリーを開けるユーザーとその権限レベルを管理します。
  • クエリー履歴 ：クエリーの実行履歴を表示します。これはtabツールバーとオーバーフローメニューの両方から利用できます。
  • オーバーフローメニュー ( ⋮ ): クエリーへのLinkのコピー、移動、削除を行います。
注記

お気に入り 、 共有 、 クエリー履歴 は、保存されたクエリーでのみ動作します。クエリーは、最初に実行されたときに保存されます。

クエリーの作成と実行​

クエリーは、クエtab内でSQLで記述されます。

クエリーの要件​

高速で安定した結果を得るには、すべてのクエリーに以下の両方のコンポーネントを含めてください：

  • 時間範囲フィルター。日付/時刻ピッカーで選択した範囲にクエリーを絞り込むには、WHERE IN_TIMERANGE(time)を使用します。開始時刻と終了時刻をクエリーに自分で記述する必要はありません。IN_TIMERANGE()に渡される列はTIMESTAMPまたはDATE型である必要があります。すべてのLakewatchテーブルにはtime列があることが保証されているため、IN_TIMERANGE(time)は常に機能します。範囲は半開です。Timestampが選択ツールの起動と等しい行は含まれますが、終了と等しい行は含まれません。（IN_TIMERANGE()は、包含範囲でフィルタリングする古いinRange()に代わるものです。）
  • ORDER BY time - 安定したページングとタイムラインの動作を有効にする

いずれかの句を省略すると、Lakewatchはクエリーを実行する前にそれを追加するよう求めますが、いずれにしてもクエリーを実行できます。

IN_TIMERANGE() は、検出ルールをそのランウィンドウにスコープするための推奨される方法でもあります。時間範囲にルールをスコープするを参照してください。

クエリーの実行​

  • 日付/時刻ピッカーを使用して時刻パラメーターを設定します。クエリーは、これらの時間範囲のデータを実行します

    • タイムゾーンオプション ：UTCまたはローカル時間（デバイスから自動検出）から選択
    • プリセット範囲 : 事前定義されたオプションから選択します（例：「過去24時間」）
    • カスタム範囲 : カレンダーピッカーを使用して、特定の開始日/終了日と時刻を設定します

  • SQLクエリーをエディタに入力します。クエリーを高速に実行するために、上記のSQL句を含めてください

  • クエリーツールバーのコンピュートピッカーから、実行するSQL Warehouseを選択します。warehouseは必須です：選択しない場合、クエリーはランされず、LakewatchはSQLウェアハウスの選択を促します。

  • クエリーのラン ボタンをクリックして実行を起動します

  • キャンセル をクリックして、実行中のクエリーを停止します

調整：フィルタリングと分析​

絞り込み機能を使うと、元のクエリーを変更または再実行せずにクエリー結果を動的にフィルタリング、並べ替え、グループ化でき、コンピュートコストを抑えながらデータのさまざまな視点をすばやく探索できます。複雑なフィルタリングでは、複数の絞り込みを連鎖させることができます。

修正の管理​

修正バーから：

  • SQLパイプ構文を使用してフィルタ式を直接追加し、Enterキーを押してランします
  • 修正をメインのSQLクエリーに昇格させるには、修正エディターの右上隅にある上向きの矢印ボタンをクリックします。
  • 修正を削除するには、修正にカーソルを合わせて削除 (X) ボタンを表示します。

結果テーブルから：

  • 列ヘッダーを右クリックして、昇順／降順でソートまたはグループ化します。
  • セル値を右クリックして、その特定の値でフィルタリングまたは除外します。
  • JSONフィールドの場合、ネストされたフィールドでフィルタリングすることもできます。

タイムラインの可視化​

タイムライン ヒストグラムは、時間の経過に伴って分散されたクエリー結果の視覚的な概要を提供するため、大規模なデータセット内のパターン、異常、および関心のある期間を簡単に特定できます。クエリーに時間ベースの列が含まれている場合、タイムラインが自動的に表示されます。

タイムラインの使用​

  • バーにカーソルを合わせると、特定の期間のイベント数とTimestampが表示されます
  • バーをクリックして、その特定の瞬間の結果にジャンプします
  • クリックしてドラッグし、期間をズームインして詳細を分析する
  • 表示する期間を調整するには、ズームインまたはズームアウトボタン（右上）を使用します

テーブル内の結果の表示と探索​

結果インタフェースは、柔軟な列管理と詳細な行検査機能を備え、大規模なデータセットを効率的に探索するために設計されています。

テーブルのナビゲーション​

  • 大規模なデータセットをスクロールすると、結果が自動的に読み込まれます。
  • [フィールド] 列を使用して、列の表示/非表示、並べ替え、またはピン留めを行います。
  • JSONオブジェクトと配列をクリックして展開すると、読みやすくなります。

行の詳細​

  • 行をクリックすると、右側に詳細ドロワーが開きます
  • 特定のセルから開くと、ドロワー内でそのプロパティが強調表示されます

クイックアクション​

右クリックのコンテキストメニューから、一般的な操作にすぐにアクセスできます。

  • セル ：値のコピー、値によるフィルタリング/除外、または列の削除
  • ヘッダー ：データを並べ替えるか、列の値でグループ化します
  • 行全体 : 完全な行データをJSON形式でコピーします

トラブルシューティング​

  • 結果が見つかりません : 日時範囲と調整項目を確認してください。パラメーターを広げる
  • タイムラインがありません : クエリーの結果に時間ベースの列が含まれていることを確認してください
  • クエリーエラー : ページに表示されたエラー詳細を確認し、SQL構文または設定を調整します
  • 遅延キャンセル : クエリーのキャンセル時に、クリーンアッププロセスが完了するまで少し待ちます
  • 作業の損失 : クエリーホームページの クイックアクセス から閉じたクエリーを再開する
このページの見出し