Omówienie języka zapytań usługi Azure Resource Graph

Język zapytań dla usługi Azure Resource Graph obsługuje wiele operatorów i funkcji. Każda praca i działanie na podstawie język zapytań Kusto (KQL). Aby dowiedzieć się więcej o języku zapytań używanym przez usługę Resource Graph, zacznij od samouczka dotyczącego języka KQL.

W tym artykule opisano składniki języka obsługiwane przez usługę Resource Graph:

• Omówienie języka zapytań usługi Azure Resource Graph
  • Tabele usługi Resource Graph
  • Właściwości rozszerzone
  • Elementy języka niestandardowego usługi Resource Graph
    • Składnia zapytań udostępnionych (wersja zapoznawcza)
  • Obsługiwane elementy języka KQL
    • Obsługiwane operatory tabelaryczne/najwyższego poziomu
  • Zakres zapytania
  • Postacie z serii Escape
  • Następne kroki

Tabele usługi Resource Graph

Usługa Resource Graph udostępnia kilka tabel dla danych przechowywanych na temat typów zasobów usługi Azure Resource Manager i ich właściwości. Tabele usługi Resource Graph mogą służyć operatorowi join do pobierania właściwości z powiązanych typów zasobów.

Tabele usługi Resource Graph obsługują join smaki:

• innerunique
• inner
• leftouter
• fullouter

Aby uzyskać listę tabel zawierających typy zasobów, przejdź do tabeli usługi Azure Resource Graph i odwołania do typu zasobu.

Aby dowiedzieć się, które typy zasobów są dostępne w każdej tabeli, użyj Eksploratora usługi Resource Graph w portalu. Alternatywnie możesz użyć zapytania, takiego jak <tableName> | distinct type pobranie listy typów zasobów, które dana tabela usługi Resource Graph obsługuje istniejące w danym środowisku.

Poniższe zapytanie przedstawia proste joinpolecenie . Wynik zapytania łączy kolumny, a wszelkie zduplikowane nazwy kolumn z połączonej tabeli, w tym przykładzie ResourceContainers , są dodawane przez 1. Ponieważ tabela ResourceContainers zawiera typy zarówno dla subskrypcji, jak i grup zasobów, każdy z tych typów może być używany do łączenia z zasobu z Resources tabeli.

Resources
| join ResourceContainers on subscriptionId
| limit 1

Poniższe zapytanie przedstawia bardziej złożone użycie programu join. Najpierw zapytanie używa project polecenia , aby pobrać pola z Resources dla typu zasobu magazynów usługi Azure Key Vault. Następnym krokiem join jest połączenie wyników z ResourceContainers , gdzie typem jest subskrypcja na właściwości, która znajduje się zarówno w pierwszej tabeli project , jak i w połączonej tabeli project. Przemianowanie pola unika join dodawania go jako nazwy1, ponieważ właściwość jest już rzutowana z Resources. Wynikiem zapytania jest pojedynczy magazyn kluczy wyświetlający typ, nazwę, lokalizację i grupę zasobów magazynu kluczy wraz z nazwą subskrypcji, w niej znajduje się.

Resources
| where type == 'microsoft.keyvault/vaults'
| project name, type, location, subscriptionId, resourceGroup
| join (ResourceContainers | where type=='microsoft.resources/subscriptions' | project SubName=name, subscriptionId) on subscriptionId
| project type, name, location, resourceGroup, SubName
| limit 1

Właściwości rozszerzone

Jako funkcja podglądowa , niektóre typy zasobów w Resource Graph mają więcej właściwości związanych z typem do zapytań poza właściwościami oferowanymi przez Azure Resource Manager. Ten zbiór wartości, znany jako rozszerzone właściwości, istnieje na obsługiwanym typie zasobu w .properties.extended Aby pokazać typy zasobów o rozszerzonych właściwościach, użyj następującego zapytania:

Resources
| where isnotnull(properties.extended)
| distinct type
| order by type asc

Przykład: pobieranie liczby maszyn wirtualnych według instanceView.powerState.code:

Resources
| where type == 'microsoft.compute/virtualmachines'
| summarize count() by tostring(properties.extended.instanceView.powerState.code)

Elementy języka niestandardowego usługi Resource Graph

Składnia zapytań udostępnionych (wersja zapoznawcza)

Jako funkcja podglądowa, współdzielone zapytanie jest dostępne bezpośrednio w zapytaniu Resource Graph. Ten scenariusz umożliwia tworzenie standardowych zapytań jako udostępnionych zapytań i ponowne używanie ich. Aby wywołać zapytanie udostępnione wewnątrz zapytania usługi Resource Graph, użyj {{shared-query-uri}} składni . URI współdzielonego zapytania to Resource ID współdzielonego zapytania na stronie Ustawienia dla tego zapytania. W tym przykładzie identyfikator URI udostępnionego zapytania to /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/SharedQueries/providers/Microsoft.ResourceGraph/queries/Count VMs by OS. Ten identyfikator URI wskazuje subskrypcję, grupę zasobów i pełną nazwę udostępnionego zapytania, do którego chcemy się odwołać w innym zapytaniu. To zapytanie jest takie samo jak zapytanie utworzone w artykule Samouczek: tworzenie i udostępnianie zapytania.

Przykład 1: Użyj tylko udostępnionego zapytania:

Wyniki tego zapytania usługi Resource Graph są takie same jak zapytanie przechowywane w udostępnionym zapytaniu.

{{/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/SharedQueries/providers/Microsoft.ResourceGraph/queries/Count VMs by OS}}

Przykład 2. Dołącz udostępnione zapytanie jako część większego zapytania:

To zapytanie najpierw używa udostępnionego zapytania, a następnie używa limit go do dalszego ograniczania wyników.

{{/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/SharedQueries/providers/Microsoft.ResourceGraph/queries/Count VMs by OS}}
| where properties_storageProfile_osDisk_osType =~ 'Windows'

Obsługiwane elementy języka KQL

Resource Graph obsługuje podzbiór typów danych KQL, funkcji skalarnych, operatorów skalarnych oraz funkcji agregacji. Specyficzne operatory tabelaryczne są obsługiwane przez Resource Graph, z których niektóre mają różne zachowania.

Obsługiwane operatory tabelaryczne/najwyższego poziomu

Oto lista operatorów tabelarycznych języka KQL obsługiwanych przez usługę Resource Graph z określonymi przykładami:

Istnieje domyślny limit trzech join i trzech mv-expand operatorów w jednym zapytaniu zestawu RESOURCE Graph SDK. Możesz poprosić o zwiększenie tych limitów dla dzierżawy za pośrednictwem pomocy i obsługi technicznej.

Aby wspierać doświadczenie portalu Open Query , Azure Resource Graph Explorer ma wyższy globalny limit niż Resource Graph SDK.

Zakres zapytania

Zakres subskrypcji lub grup zarządzania , z których zasoby są zwracane za pomocą zapytania, domyślnie opiera się na liście subskrypcji opartej na kontekście użytkownika upoważnionego. Jeśli grupa zarządzania lub lista subskrypcji nie jest zdefiniowana, zakres zapytań obejmuje wszystkie zasoby i zawiera zasoby delegowane przez Azure Lighthouse .

Lista subskrypcji lub grup zarządzania do wykonywania zapytań można zdefiniować ręcznie, aby zmienić zakres wyników. Na przykład właściwość interfejsu API managementGroups REST przyjmuje identyfikator grupy zarządzania, która różni się od nazwy grupy zarządzania. Po managementGroups określeniu zasoby z pierwszych 10 000 subskrypcji w lub w ramach określonej hierarchii grup zarządzania są uwzględniane. managementGroups nie można używać w tym samym czasie co subscriptions.

Przykład: wykonaj zapytanie o wszystkie zasoby w hierarchii grupy zarządzania o nazwie My Management Group o identyfikatorze myMG.

• Identyfikator URI interfejsu API REST

  POST https://management.azure.com/providers/Microsoft.ResourceGraph/resources?api-version=2021-03-01
  

• Treść żądania

  {
    "query": "Resources | summarize count()",
    "managementGroups": ["myMG"]
  }
  

Parametr AuthorizationScopeFilter umożliwia wyświetlanie listy przypisań usługi Azure Policy i przypisań ról opartych na rolach (RBAC) platformy Azure w AuthorizationResources tabeli, które są dziedziczone z górnych zakresów. Parametr AuthorizationScopeFilter akceptuje następujące wartości dla PolicyResources tabel i AuthorizationResources :

• AtScopeAndBelow (domyślne, jeśli nie jest określone): Zwraca przypisania dla danego zakresu oraz wszystkich zakresów potomnych.
• AtScopeAndAbove: Zwraca przypisania dla danego zakresu oraz wszystkich zakresów nadrzędnych, ale nie dla zakresów potomnych.
• AtScopeAboveAndBelow: Zwraca przypisania do danego zakresu, wszystkich zakresów nadrzędnych oraz wszystkich zakresów potomnych.
• AtScopeExact: Zwraca przypisania tylko dla danego zakresu; Nie ma w zestawie zakresów rodziców ani dziecka.

Przykład: Pobierz wszystkie przypisania polityk w grupie zarządzania myMG oraz w zakresach Tenant Root (nadrzędnych).

• Identyfikator URI interfejsu API REST

  POST https://management.azure.com/providers/Microsoft.ResourceGraph/resources?api-version=2021-06-01-preview
  

• Przykład treści żądania

  {
    "options": {
      "authorizationScopeFilter": "AtScopeAndAbove"
    },
    "query": "PolicyResources | where type =~ 'Microsoft.Authorization/PolicyAssignments'",
    "managementGroups": ["myMG"]
  }
  

Przykład: Pobierz wszystkie przypisania polityk w zakresie subskrypcji mySubscriptionId , grupy zarządzania oraz Tenant Root.

• Identyfikator URI interfejsu API REST

  POST https://management.azure.com/providers/Microsoft.ResourceGraph/resources?api-version=2021-06-01-preview
  

• Przykład treści żądania

  {
    "options": {
      "authorizationScopeFilter": "AtScopeAndAbove"
    },
    "query": "PolicyResources | where type =~ 'Microsoft.Authorization/PolicyAssignments'",
    "subscriptions": ["mySubscriptionId"]
  }
  

Znaki ucieczki

Niektóre nazwy właściwości, takie jak te, które zawierają element . lub $, muszą być opakowane lub uniknięte w kwerendzie lub nazwa właściwości jest interpretowana niepoprawnie i nie dostarcza oczekiwanych wyników.

• Kropka (.): zawijaj nazwę ['propertyname.withaperiod'] właściwości przy użyciu nawiasów kwadratowych.

  Przykładowe zapytanie, które owija właściwość odata.type:

  where type=~'Microsoft.Insights/alertRules' | project name, properties.condition.['odata.type']
  

• Znak dolara ($): uniknie znaku w nazwie właściwości. Użyty znak ucieczki zależy od powłoki, która uruchamia usługę Resource Graph.

  • Bash: Użyj backslash (\) jako postaci do ucieczki.

    Przykładowe zapytanie, które wychodzi z właściwości $type w Bash:

    where type=~'Microsoft.Insights/alertRules' | project name, properties.condition.\$type
    

  • CMD: Nie unikaj znaku dolara ($).

  • PowerShell: Użyj backticku (`) jako znaku ucieczki.

    Przykładowe zapytanie, które wychodzi z właściwości $type w PowerShell:

    where type=~'Microsoft.Insights/alertRules' | project name, properties.condition.`$type
    

Dalsze kroki

• Azure Resource Graph query language Starter queries oraz Advanced queries.
• Dowiedz się więcej o sposobie eksplorowania zasobów platformy Azure.