Agregar y resumir actividad con summarize

summarize recibe una agregación y, tras by, las columnas por las que agrupar. summarize count() by Caller devuelve una fila por cuenta con su número de operaciones. La cifra se llama count_ si no le das nombre; con Operaciones = count() la nombras tú, lo que permite ordenar con sort by Operaciones desc.

Hay un efecto importante: tras summarize, el resultado ya no tiene las columnas originales. Solo quedan las del by y las cifras calculadas. Cualquier paso posterior debe trabajar con esas columnas.

Un total por cuenta responde «quién hace más», no «quién tiene problemas». Para ver los fallos hay dos caminos: filtrar primero con where ActivityStatusValue == "Failed" y luego resumir, o dejar todas las filas y usar countif, que cuenta solo las que cumplen una condición. El segundo permite ver el total y la parte fallida en la misma fila.

Una cuenta con muchos fallos repetidos en poco tiempo puede ser una persona que no tiene permiso para algo que insiste en hacer, o alguien probando qué le deja hacer el sistema. El número solo plantea la pregunta; la respuesta está en los demás registros.

dcount cuenta valores distintos en lugar de filas. summarize Ips = dcount(CallerIpAddress) by Caller dice desde cuántas direcciones distintas operó cada cuenta. Una cuenta de persona que opera desde una sola oficina tiene un valor de 1; un valor mayor no es malo por sí mismo (alguien puede conectarse desde casa), pero invita a mirar cuáles son. En conjuntos grandes dcount es una estimación; con pocos valores sale exacto.

bin(TimeGenerated, 1h) redondea cada hora hacia abajo a la hora en punto, de modo que todas las filas de 03:44 y 03:52 caen en la franja de las 03:00. Con summarize count() by bin(TimeGenerated, 1h) obtienes la actividad por hora. Es la base de todo gráfico de actividad y de la sala de series de tiempo que viene.

Una franja con una actividad muy distinta a las demás es el punto de partida de una pregunta. En la clínica casi todo ocurre en horas de trabajo; mira qué franja concentra más operaciones y a qué hora cae.

arg_max devuelve, por grupo, la fila con el valor mayor de una columna. summarize arg_max(TimeGenerated, OperationNameValue) by Caller entrega la última operación de cada cuenta, con su hora. Prueba esa consulta y compara sus columnas con las de la tabla original.

Lo que ves es la regla general de summarize: salvo que lo pidas con una agregación como arg_max, las columnas de detalle (el recurso, la dirección, el grupo de recursos) no sobreviven al agrupar. Si las necesitas después, hay que incluirlas en el by o recuperarlas con otra agregación.