operator find

Berlaku untuk: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Menemukan baris yang cocok dengan predikat di satu set tabel.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Sintaks

• find[withsource= ColumnName] [in (Tables)] where Predikat [project-smart | project ColumnName[: ColumnType , ... ] [,pack_all()]]

• findPredikat [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

Pelajari selengkapnya tentang konvensi sintaksis.

Parameter

Mengembalikan

Transformasi baris dalam Tabel [ Tabel, ...] yang Predikatnya adalah true., Baris tersebut diubah sesuai dengan skema output.

Skema output

source_ column

Output operator find akan selalu menyertakan kolom source_ dengan nama tabel sumber. Kolom dapat diganti namanya menggunakan parameter withsource.

kolom hasil

Tabel sumber yang tidak berisi kolom yang digunakan oleh evaluasi predikat, akan difilter.

Saat Anda menggunakan project-smart, kolom yang akan muncul dalam output adalah:

• Kolom yang muncul secara eksplisit dalam predikat.
• Kolom yang umum untuk semua tabel yang difilter.

Kolom lainnya akan dikemas ke dalam tas properti dan akan muncul di kolom pack tambahan. Kolom yang direferensikan secara eksplisit oleh predikat dan muncul dalam beberapa tabel dengan beberapa jenis, akan memiliki kolom yang berbeda dalam skema hasil untuk setiap jenis tersebut. Tiap-tiap nama kolom akan dibuat dari nama dan jenis kolom asli, yang dipisahkan oleh garis bawah.

Saat menggunakan project ColumnName[: ColumnType , ... ] [, pack_all()]:

• Tabel hasil akan menyertakan kolom yang ditentukan dalam daftar. Jika tabel sumber tidak berisi kolom tertentu, nilai dalam baris yang sesuai akan menjadi null.
• Saat menentukan ColumnType dengan ColumnName, kolom ini di "hasil" akan memiliki jenis tertentu, dan nilai akan ditransmisikan ke jenis tersebut jika diperlukan. Proses transmisi tidak akan berpengaruh pada jenis kolom saat mengevaluasi Predikat.
• Saat pack_all() digunakan, semua kolom, termasuk kolom yang diproyeksikan, dikemas ke dalam tas properti dan muncul di kolom tambahan, secara default 'column1'. Dalam tas properti, nama kolom sumber berfungsi sebagai nama properti dan nilai kolom berfungsi sebagai nilai properti.

Sintaksis predikat

Operator find mendukung sintaksis alternatif untuk istilah * has tersebut, dan hanya menggunakan istilah, akan mencari istilah di semua kolom input.

Untuk ringkasan beberapa fungsi pemfilteran, lihat operator where.

Catatan

• Jika klausa project mereferensikan kolom yang muncul di beberapa tabel dan memiliki beberapa jenis, jenis harus mengikuti referensi kolom ini dalam klausa proyek
• Jika kolom muncul dalam beberapa tabel dan memiliki beberapa jenis dan project-smart sedang digunakan, akan ada kolom yang sesuai untuk setiap jenis dalam hasil find, seperti yang dijelaskan dalam gabungan
• Saat Anda menggunakan project-smart, perubahan predikat, dalam kumpulan tabel sumber, atau dalam skema tabel, dapat mengakibatkan perubahan pada skema output. Jika skema hasil konstan diperlukan, gunakan proyek sebagai gantinya
• find cakupan tidak menyertakan fungsi. Untuk menyertakan fungsi dalam cakupan find, tentukan pernyataan let dengan kata kunci tampilan.

Tips performa

• Gunakan tabel yang bertentangan dengan ekspresi tabular. Jika ekspresi tabular, operator find melakukan fall back pada kueri yang union dapat mengakibatkan penurunan performa.
• Jika kolom yang muncul dalam beberapa tabel dan memiliki beberapa jenis, adalah bagian dari klausa proyek, coba tambahkan ColumnType ke klausul proyek daripada memodifikasi tabel sebelum meneruskannya ke find.
• Tambahkan filter berbasis waktu ke predikat. Gunakan nilai kolom tanggalwaktu atau ingestion_time().
• Cari di kolom tertentu, bukan pencarian teks lengkap.
• Sebaiknya jangan mereferensikan kolom yang muncul di beberapa tabel dan memiliki beberapa jenis. Jika predikat tersebut valid saat menyelesaikan jenis kolom tersebut untuk lebih dari satu jenis, kueri akan melakukan fallback pada gabungan. Misalnya, lihat contoh kasus ketika find akan bertindak sebagai gabungan.

Contoh

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Contoh hasil output find

Contoh berikut menampilkan cara penggunaan find dua tabel: EventsTable1 dan EventsTable2. Misalkan kita memiliki konten berikutnya dari dua tabel ini:

EventsTable1

EventsTable2

Cari di kolom umum, proyeksikan kolom umum dan tidak umum, dan kemas kolom sisanya

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Hasil

Cari di kolom umum dan tidak umum

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Hasil

Catatan:dalam praktiknya, baris EventsTable1 akan difilter dengan predikat Version == 'v1.0.0' dan baris EventsTable2 akan difilter dengan predikat EventName == 'Event1'.

Gunakan notasi yang disingkat untuk mencari di semua tabel dalam database saat ini

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Hasil

Tampilkan hasil dari setiap baris sebagai tas properti

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Hasil

Contoh kasus ketika find akan bertindak sebagai union

Menggunakan ekspresi non-tabular sebagai operand find

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Mereferensikan kolom yang muncul di beberapa tabel dan memiliki beberapa jenis

Misalkan kita telah membuat dua tabel dengan menjalankan:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Kueri berikut akan dijalankan sebagai union.

find in (Table1, Table2) where ProcessId == 1001

Skema hasil output akan berupa (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• Kueri berikut juga akan dijalankan sebagai union, tetapi akan menghasilkan skema hasil yang berbeda.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Skema hasil output akan berupa (Level:string, Timestamp, ProcessId_string)