Azure Data Explorer Kusto 分析技能
用 KQL 查询、聚合并分析 Azure Data Explorer 中的日志与遥测数据。
技能明确列出订阅、集群、数据库、表和查询参数，并提示最低 Viewer 权限，未见恶意行为或凭据窃取；但支持执行查询和资源操作，未要求用户确认，未说明查询数据流、敏感数据处理、最小权限边界或回滚，因此扣分。
核心工作流、MCP 工具参数、CLI 回退条件和常见错误均有说明，静态上基本一致；但未提供该技能专属测试、依赖版本或可复现的关键路径，且 CLI 回退仅覆盖部分操作，异常处理仍较概括，因此受静态上限和证据不足限制。
触发词、日志/遥测/时序/SIEM/APM 场景和基本工作流较清晰；但未充分声明不适用范围、输入输出约束、权限前置条件，也没有中文使用说明或中国大陆网络可达性证据，因此扣分。
文档分层清楚，包含元数据、版本 1.1.1、MIT 许可、示例、参数表、最佳实践和常见问题；但缺少变更日志、维护责任人/更新路径、依赖安装说明、FAQ 深度及已知限制的系统化披露，因此扣分。
提供了查询、聚合、时序、连接和模式发现的可直接参考 KQL，以及 MCP/CLI 操作方向，能覆盖核心分析任务；但没有验证真实工具调用、结果格式或性能收益，资源环境和认证配置仍需用户补充，故仅给有限静态效用分。
技能文本本身可审计，仓库提供通用 CI、评估工作流和测试代码；但所给证据未显示 azure-kusto 的专属测试、执行结果或第三方交叉验证，不能据此确认关键路径，故低分。
- 执行 KQL 可能读取敏感日志或产生资源消耗；使用前应确认目标范围、权限和数据处理要求。
- MCP 工具、Azure CLI、认证方式和 REST API 可用性未在该技能证据中验证；失败时可能需要用户自行诊断环境问题。
- 技能未提供中文示例，也未证明从中国大陆网络访问 Azure 相关服务的可达性。
它能做什么 & 适用场景
该技能面向 Azure Data Explorer（Kusto/ADX）中的日志、遥测和时间序列分析。它指导代理发现集群、数据库和表结构，执行 KQL 查询，并分析查询结果。支持过滤、聚合、连接、时间序列和异常检测等常见分析模式。查询通常需要 Azure 订阅访问权限以及相应的 MCP 工具或 Azure CLI 备用路径。
列出 Azure Data Explorer 集群和数据库；获取指定表的架构；在指定数据库中执行 KQL 查询；使用 where、summarize、join、bin、percentiles 和 render 等模式进行筛选、聚合、关联和时间序列分析；返回列、行、统计信息及可视化提示；当 MCP 工具超时、不可用或认证失败时，指导代理使用 Azure CLI 或 Kusto REST API。
- 运维或开发团队查询 ADX 中最近一小时的应用事件和错误日志。
- 数据分析人员按事件类型和时间窗口聚合大规模遥测数据。
- IoT 团队探索设备传感器数据、趋势和异常。
- 安全团队关联 SIEM 日志与关键事件以开展根因分析。
- APM 团队分析响应时间分位数并生成时间序列图。
优缺点一览
- 覆盖集群、数据库、表架构和 KQL 查询的完整基础流程。
- 提供日志、遥测、IoT、安全分析和 APM 的具体查询模式。
- 包含查询性能建议，例如尽早过滤、限制结果量和使用时间范围。
- 提供 MCP 工具不可用时的 Azure CLI 与 REST API 备用策略。
- 依赖 Azure Data Explorer 环境、订阅权限和认证配置。
- MCP 工具及 REST 查询需要网络访问，且查询可能因权限、超时或摄取延迟失败。
- 源材料没有提供该技能的独立测试覆盖或具体客户端兼容性说明。
- 技能聚焦 Kusto/ADX，不应被视为其他 Azure 数据服务的通用分析技能。
如何安装
使用集合安装命令：npx skills add microsoft/skills，然后在向导中选择需要的技能。也可以在 Copilot CLI 中执行 /plugin marketplace add microsoft/skills，再执行 /plugin install azure-skills@skills。README 未提供仅安装 azure-kusto 的独立命令；技能位于 .github/plugins/azure-skills/skills/azure-kusto/SKILL.md。
如何使用
在已配置 Azure 访问权限的代理中提出明确请求，例如："Run a KQL query on my database to show events from the last hour"，或"What tables are in my Kusto database?"。查询操作通常需要 subscription、cluster、database 和 query；架构操作还需要 table。