operátor keresése

A következőkre vonatkozik: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Megkeresi azokat a sorokat, amelyek egy táblában egy predikátumnak felelnek meg.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Szintaxis

• find [withsource= ColumnName] [in(Táblák)] wherePredikátum [project-smart | projectColumnName[:ColumnType, ... ] [,pack_all()]]

• find Predikátum [project-smart | projectColumnName[:ColumnType, ... ] [,pack_all()]]

További információ szintaxiskonvenciákról.

Paraméterek

Visszatér

Tábla [,Tábla, ...] sorainak átalakítása, amelyek Predikátumtrue. A sorokat a rendszer a kimeneti sémaszerint alakítja át.

Kimeneti séma

source_ oszlop

Az find operátor kimenete mindig tartalmaz egy source_ oszlopot a forrástábla nevével. Az oszlop átnevezhető a withsource paraméterrel.

találatoszlopok

A forrástáblák, amelyek nem tartalmaznak a predikátum kiértékelése által használt oszlopot, szűrve lesznek.

A project-smarthasználatakor a kimenetben megjelenő oszlopok a következők:

• A predikátumban explicit módon megjelenő oszlopok.
• Az összes szűrt táblára jellemző oszlopok.

A többi oszlop egy tulajdonságzsákba van csomagolva, és egy további pack oszlopban jelenik meg. A predikátum által explicit módon hivatkozott és több, több típusú táblában megjelenő oszlop az eredménysémában minden ilyen típushoz eltérő oszlopot használ. Az egyes oszlopnevek az eredeti oszlopnévből és típusból épülnek fel, aláhúzásjelekkel elválasztva.

Ha projectColumnName[:ColumnType, ... ] [,pack_all()]:

• Az eredménytábla tartalmazza a listában megadott oszlopokat. Ha egy forrástábla nem tartalmaz egy adott oszlopot, a megfelelő sorok értékei null értékűek.
• Ha egy ColumnType ad meg egy ColumnName, az "eredmény" oszlopa az adott típussal rendelkezik, és szükség esetén az értékek erre a típusra lesznek vetve. Az öntésnek nincs hatása az oszloptípusra a Predikátumkiértékelésekor.
• Ha pack_all() használ, az összes oszlop, beleértve a tervezett oszlopokat is, egy tulajdonságcsomagba van csomagolva, és alapértelmezés szerint egy extra oszlopban jelenik meg, alapértelmezés szerint "oszlop1". A tulajdonságcsomagban a forrásoszlop neve lesz a tulajdonság neve, az oszlop értéke pedig a tulajdonság értéke.

Predikátum szintaxisa

A find operátor támogatja a * has kifejezés alternatív szintaxisát, és csak kifejezéshasználatával keres egy kifejezést az összes bemeneti oszlopban.

Néhány szűrőfüggvény összegzése: , ahol az operátor.

Megfontolások

• Ha a project záradék olyan oszlopra hivatkozik, amely több táblában jelenik meg, és több típussal rendelkezik, a típusnak ezt az oszlophivatkozást kell követnie a projekt záradékában
• Ha egy oszlop több táblában jelenik meg, és több típussal rendelkezik, és project-smart van használatban, a finderedményében minden típushoz tartozik egy megfelelő oszlop, az egyesítő
• Ha projektalapúhasznál, a predikátumban, a forrástáblákban vagy a táblák sémájában végzett módosítások a kimeneti sémát is módosíthatják. Ha állandó eredménysémára van szükség, használja inkább projekt
• find hatókör nem tartalmazhat függvényeket. Ha egy függvényt szeretne belefoglalni a find hatókörébe, definiáljon egy let utasítástkulcsszómegtekintésével.

Teljesítménytippek

• Használjon táblázatokattáblázatos kifejezések helyett. Táblázatos kifejezés esetén a keresési operátor visszaesik egy union lekérdezésre, amely teljesítménycsökkenést eredményezhet.
• Ha egy több táblában megjelenő és több típusokból álló oszlop a projekt záradék része, inkább adjon hozzá egy ColumnType a projekt záradékhoz, hogy módosítsa a táblát, mielőtt átadaná azt find.
• Adjon hozzá időalapú szűrőket a predikátumhoz. Használjon datetime oszlopértéket vagy ingestion_time().
• Keresés adott oszlopokban a teljes szöveges keresés helyett.
• Jobb, ha nem hivatkozik több táblában megjelenő és több típussal rendelkező oszlopokra. Ha a predikátum érvényes az ilyen típusú oszlopok több típusra történő feloldásakor, a lekérdezés visszaesik az egyesítésre. Lásd például példákat azokra az esetekre, amikor find unióként.

Példák

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Példák find kimeneti eredményekre

Az alábbi példák bemutatják, hogyan használható find két táblán: EventTable1 és EventTable2. Tegyük fel, hogy a következő tartalom a következő két táblázatból áll:

EventsTable1

EventsTable2

Keresés közös oszlopokban, közös és nem gyakori oszlopokban, és csomagolja be a többit

A lekérdezés meghatározott rekordokat keres EventTable1 és EventTable2 egy adott Session_Id és egy hiba szint alapján. Ezután három konkrét oszlopot ad ki: EventText, Verzióés EventName, és az összes többi oszlopot egy dinamikus objektumba csomagolja.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

kimeneti

Keresés gyakori és nem gyakori oszlopokban

A lekérdezés olyan rekordokat keres, amelyek verziójú "v1.0.0" vagy EventName "Event1" néven, majd négy konkrét oszlopot jelöl ki (kiválaszt) : Session_Id, EventText, Verzió, és EventName ezekből a szűrt eredményekből.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

kimeneti

Rövidített jelölés használata az aktuális adatbázis összes táblájában való kereséshez

Ez a lekérdezés olyan rekordokat keres az adatbázisban, amelyek Session_Id egyeznek az "acbd207d-51aa-4df7-bfa7-be70eb68f04e" kifejezéssel. Az adott Session_Idtartalmazó összes táblából és oszlopból lekéri a rekordokat.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

kimeneti

Az egyes sorok eredményeinek visszaadása tulajdonságtáskaként

Ez a lekérdezés megkeresi az adatbázisban a megadott Session_Id rendelkező rekordokat, és a rekordok összes oszlopát egyetlen dinamikus objektumként adja vissza.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

kimeneti

Példák olyan esetekre, amikor findunion

A Kusto find operátora néha union operátorként is működhet, főleg akkor, ha több táblában való keresésre használják.

Nem egybeeső kifejezés használata operandus kereséseként

A lekérdezés először létrehoz egy nézetet, amely szűri EventsTable1, hogy csak hibaszintű rekordokat tartalmazzon. Ezután ebben a szűrt nézetben, az EventTable2 táblában pedig egy adott Session_Idrendelkező rekordokat keres.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Hivatkozás több táblában megjelenő és több típussal rendelkező oszlopra

Ebben a példában hozzon létre két táblát a következő futtatásával:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• A rendszer a következő lekérdezést unionként hajtja végre.

find in (Table1, Table2) where ProcessId == 1001

A kimeneti eredményséma (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• A következő lekérdezés unionként lesz végrehajtva, de egy másik eredménysémát hoz létre.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

A kimeneti eredményséma (Level:string, Timestamp, ProcessId_string)