Operátor find

Platí pro: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Najde řádky, které odpovídají predikátu v sadě tabulek.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Syntaxe

• find[withsource= ColumnName] [in( Tables)] wherePredikát [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

• find Predikát [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

Přečtěte si další informace o konvencích syntaxe.

Parametry

Návraty

Transformace řádků v tabulce [,, ...] pro které true . Řádky se transformují podle výstupního schématu.

Výstupní schéma

sloupec source_

Výstup operátoru find vždy obsahuje sloupec source_ s názvem zdrojové tabulky. Sloupec lze přejmenovat pomocí parametru withsource .

sloupce výsledků

Zdrojové tabulky, které neobsahují žádný sloupec používaný vyhodnocením predikátu, se odfiltrují.

Když použijete project-smart, sloupce, které se zobrazí ve výstupu, jsou:

• Sloupce, které se zobrazují explicitně v predikátu.
• Sloupce, které jsou společné pro všechny filtrované tabulky.

Zbývající sloupce jsou zabalené do tašky vlastností a zobrazí se ve sloupci navíc pack. Sloupec, na který odkazuje explicitně predikát a který se zobrazí v několika tabulkách s více typy, má jiný sloupec ve schématu výsledků pro každý takový typ. Každý z názvů sloupců je vytvořen z původního názvu sloupce a typu odděleného podtržítkem.

Při použití projectColumnName[:ColumnType, ... ] [,pack_all()]:

• Výsledná tabulka obsahuje sloupce zadané v seznamu. Pokud zdrojová tabulka neobsahuje určitý sloupec, hodnoty v odpovídajících řádcích mají hodnotu null.
• Když zadáte ColumnType s ColumnName, tento sloupec v "výsledku" má daný typ a hodnoty se v případě potřeby přetypují na tento typ. Přetypování nemá vliv na typ sloupce při vyhodnocování predikátu.
• Při použití pack_all() se všechny sloupce včetně promítaných sloupců zabalí do tašky vlastností a ve výchozím nastavení se zobrazí ve sloupci "column1". V pytli vlastností slouží název zdrojového sloupce jako název vlastnosti a hodnota sloupce slouží jako hodnota vlastnosti.

Syntaxe predikátu

Operátor find podporuje alternativní syntaxi pro výraz * has a používá pouze termín, vyhledá termín ve všech vstupních sloupcích.

Souhrn některých funkcí filtrování najdete v tématu kde.

Úvahy

• project Pokud klauzule odkazuje na sloupec, který se zobrazuje v několika tabulkách a má více typů, musí tento typ v klauzuli projektu použít tento odkaz na sloupec.
• Pokud se sloupec zobrazuje ve více tabulkách a má více typů a project-smart se používá, existuje odpovídající sloupec pro každý typ ve výsledku find, jak je popsáno v sjednocení
• Pokud používáte projektově inteligentní, změny v predikáte, ve zdrojové sadě tabulek nebo ve schématu tabulek můžou vést ke změně ve výstupním schématu. Pokud je potřeba schéma konstantních výsledků, použijte místo toho projekt .
• find obor nemůže obsahovat funkce. Chcete-li zahrnout funkci do oboru find, definujte příkaz let s zobrazit klíčové slovo.

Tipy týkající se výkonu

• Na rozdíl od tabulkových výrazů používejte tabulky. Pokud je tabulkový výraz, operátor find se vrátí k union dotazu, který může vést ke snížení výkonu.
• Pokud je sloupec, který se zobrazuje ve více tabulkách a má více typů, je součástí klauzule projektu, před předáním do klauzule projektu přidejte find.
• Přidejte do predikátu filtry založené na čase. Použijte hodnotu sloupce datetime nebo ingestion_time().
• Hledání v konkrétních sloupcích místo fulltextového vyhledávání
• Není lepší odkazovat na sloupce, které se zobrazují ve více tabulkách a mají více typů. Pokud je predikát platný při překladu tohoto typu sloupců pro více než jeden typ, dotaz se vrátí do sjednocení. Podívejte se například na příklady případů, kdy find funguje jako sjednocení.

Příklady

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Příklady výsledků výstupu find

Následující příklady ukazují, jak find se dají použít ve dvou tabulkách: EventsTable1 a EventsTable2. Předpokládejme, že máme další obsah těchto dvou tabulek:

EventsTable1

EventsTable2

Hledání ve společných sloupcích, běžných projektech a neobvyklých sloupcích a zabalení ostatních sloupců

Dotaz vyhledá konkrétní záznamy v EventsTable1 a EventsTable2 na základě daného Session_Id a úrovně Chyba. Potom projektuje tři konkrétní sloupce: EventText, Verzea EventNamea zabalí všechny ostatní zbývající sloupce do dynamického objektu.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Výstup

Hledání v běžných a neobvyklých sloupcích

Dotaz vyhledá záznamy, které mají verze jako "v1.0.0", nebo EventName jako Event1, a pak projektuje (vybere) čtyři konkrétní sloupce: Session_Id, EventText, Versiona EventName z těchto filtrovaných výsledků.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Výstup

Použití zkráceného zápisu k vyhledávání ve všech tabulkách v aktuální databázi

Tento dotaz vyhledá v databázi všechny záznamy s Session_Id, který odpovídá "acbd207d-51aa-4df7-bfa7-be70eb68f04e". Načte záznamy ze všech tabulek a sloupců, které obsahují tento konkrétní Session_Id.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Výstup

Vrátí výsledky z každého řádku jako taška vlastností.

Tento dotaz vyhledá záznamy se zadanými Session_Id a vrátí všechny sloupce těchto záznamů jako jeden dynamický objekt.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Výstup

Příklady případů, kdy find funguje jako union

Operátor find v Kusto může někdy fungovat jako operátor union, zejména když se používá k vyhledávání v několika tabulkách.

Použití netabularového výrazu jako operandu find

Dotaz nejprve vytvoří zobrazení, které filtruje EventsTable1 tak, aby zahrnovalo pouze záznamy na úrovni chyb. Pak vyhledá v tomto filtrované zobrazení a v tabulce EventsTable2 záznamy s konkrétním Session_Id.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Odkazování na sloupec, který se zobrazuje v několika tabulkách a má více typů

V tomto příkladu vytvořte dvě tabulky spuštěním příkazu:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Následující dotaz se spustí jako union.

find in (Table1, Table2) where ProcessId == 1001

Schéma výsledků výstupu je (level:string, časové razítko, ProcessId_string, ProcessId_int).

• Následující dotaz se spustí jako union, ale vytvoří jiné schéma výsledku.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Schéma výsledků výstupu je (level:string, časové razítko, ProcessId_string)