find işleci

Şunlar için geçerlidir: ✅Microsoft Fabric✅Azure Veri Gezgini✅ Azure İzleyici✅Microsoft Sentinel

Bir tablo kümesinde koşulla eşleşen satırları bulur.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Sözdizimi

• find[withsource= ColumnName] [in( Tablolar)] where Koşul [ | project-smartproject ColumnName[ : ColumnType , ... ] [, pack_all()]]

• findKoşul [ | project-smartproject ColumnName[ : ColumnType , ... ] [, pack_all()]]

Söz dizimi kuralları hakkında daha fazla bilgi edinin.

Parametreler

Döndürülenler

Koşul olan Tablo [, Tablo, ...] içindeki satırların truedönüştürülmesi. Satırlar çıkış şemasına göre dönüştürülür.

Çıkış şeması

source_ sütunu

Bul işleci çıkışı her zaman kaynak tablo adına sahip bir source_ sütunu içerir. Sütun parametresi kullanılarak withsource yeniden adlandırılabilir.

sonuç sütunları

Koşul değerlendirmesi tarafından kullanılan herhangi bir sütun içermeyen kaynak tablolar filtrelenir.

kullandığınızda project-smart, çıktıda görünecek sütunlar şöyle olur:

• Koşulda açıkça görünen sütunlar.
• Tüm filtrelenmiş tablolar için ortak olan sütunlar.

Kalan sütunlar bir özellik paketine paketlenir ve ek pack bir sütunda görünür. Koşul tarafından açıkça başvuruda bulunup birden çok türe sahip birden çok tabloda görünen bir sütun, sonuç şemasında bu tür her tür için farklı bir sütuna sahip olur. Sütun adlarının her biri özgün sütun adından ve türünden oluşturulur ve alt çizgiyle ayrılır.

ColumnName[ : ColumnType , ... ] [, pack_all()]:project

• Sonuç tablosu listede belirtilen sütunları içerir. Kaynak tablo belirli bir sütun içermiyorsa, karşılık gelen satırlardaki değerler null olur.
• ColumnName ile bir ColumnType belirtirken, "sonuç" içindeki bu sütun belirtilen türe sahip olur ve gerekirse değerler bu türe atılır. Koşul değerlendirilirken atamanın sütun türü üzerinde bir etkisi olmaz.
• Kullanıldığında pack_all() , yansıtılan sütunlar da dahil olmak üzere tüm sütunlar bir özellik paketinde paketlenir ve varsayılan olarak 'column1' ek bir sütunda görünür. Özellik paketinde, kaynak sütun adı özellik adı ve sütunun değeri özellik değeri olarak görev görür.

Koşul söz dizimi

Bul işleci terim için alternatif bir söz dizimini * has destekler ve yalnızca terim kullanıldığında tüm giriş sütunları arasında bir terim aranacaktır.

Bazı filtreleme işlevlerinin özeti için bkz . where işleci.

Notlar

• Yan tümcesi project birden çok tabloda görünen ve birden çok türü olan bir sütuna başvuruyorsa, bir türün proje yan tümcesinde bu sütun başvurusuna uyması gerekir
• Bir sütun birden çok tabloda görünüyorsa ve birden çok türe sahipse ve project-smart kullanımdaysa, birleşimde açıklandığı gibi ' sonucundaki findher tür için karşılık gelen bir sütun olacaktır
• Project-smart kullandığınızda, koşuldaki, kaynak tablo kümesindeki veya tablo şemasındaki değişiklikler çıkış şemasında bir değişikliğe neden olabilir. Sabit sonuç şeması gerekiyorsa bunun yerine projeyi kullanın
• findkapsam işlevleri içeremez. Bulma kapsamına bir işlev eklemek için view anahtar sözcüğüne sahip bir let deyimi tanımlayın.

Performans ipuçları

• Tablosal ifadelerin aksine tabloları kullanın. Tablosal ifadeyse, bul işleci performansın düşmesine neden olabilecek bir union sorguya geri döner.
• Birden çok tabloda görünen ve birden çok türü olan bir sütun proje yan tümcesinin bir parçasıysa, tabloyu 'a geçirmeden önce değiştirmek yerine proje yan tümcesine ColumnType eklemeyi findtercih edin.
• Koşula zamana bağlı filtreler ekleyin. Datetime sütun değeri veya ingestion_time() kullanın.
• Tam metin araması yerine belirli sütunlarda arama yapma.
• Birden çok tabloda görünen ve birden çok türü olan sütunlara başvurmamak daha iyidir. Koşul, bu tür sütun türleri birden fazla tür için çözümlenirken geçerliyse, sorgu birleşime geri döner. Örneğin, bulmanın birleşim işlevi göreceği örneklerine bakın.

Örnekler

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Çıkış sonuçları örnekleri find

Aşağıdaki örnekler iki tablo üzerinde nasıl find kullanılabileceğini gösterir: EventsTable1 ve EventsTable2. Bu iki tablonun sonraki içeriğine sahip olduğumuzu varsayalım:

EventsTable1

EventsTable2

Ortak sütunlarda arama yapma, ortak ve yaygın olmayan sütunları yansıtma ve kalanları paketleme

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Çıktı

Ortak ve yaygın olmayan sütunlarda arama yapma

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Çıktı

Not: Pratikte, EventsTable1 satırları koşulla Version == 'v1.0.0' ve EventsTable2 satırları koşulla EventName == 'Event1' filtrelenir.

Geçerli veritabanındaki tüm tablolarda arama yapmak için kısaltılmış gösterimi kullanma

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Çıktı

Her satırdaki sonuçları özellik paketi olarak döndürme

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Çıktı

Gibi davranacak örnekler findunion

İşleneni bulmak için tablosal olmayan bir ifade kullanma

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Birden çok tabloda görünen ve birden çok türü olan bir sütuna başvurma

Komutunu çalıştırarak iki tablo oluşturduğumuz varsayılır:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• Aşağıdaki sorgu olarak unionyürütülür.

find in (Table1, Table2) where ProcessId == 1001

Çıkış sonucu şeması (Level:string, Timestamp, ProcessId_string, ProcessId_int) olacaktır.

• Aşağıdaki sorgu da olarak unionyürütülür, ancak farklı bir sonuç şeması oluşturur.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Çıkış sonucu şeması olacaktır (Level:string, Timestamp, ProcessId_string)