find 运算符

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

在一组表中查找与谓词匹配的行。

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

语法

• find [withsource= ColumnName] [in (表)] where 谓词 [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

• find 谓词 [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

详细了解语法约定。

参数

返回

Predicate 为 true 的 Table [, Table, ...] 中的行的转换。 行根据输出架构进行转换。

输出架构

source_ 列

find 运算符输出始终包含具有源表名称的 source_ 列。 可以使用 withsource 参数重命名该列。

结果列

将筛除不包含谓词评估所用的任何列的源表。

使用 project-smart 时，输出中会显示的列为：

• 在谓词中显式显示的列。
• 所有筛选的表的公共列。

其余列将打包为属性包，并显示在其他 pack 列中。 谓词显式引用并显示在具有多种类型（每种类型在结果架构中将具有不同的列）的多个表中的列。 每个列名都基于原始列名和类型构造而成，并用下划线分隔。

使用 project ColumnName[: ColumnType , ... ] [, pack_all()] 时：

• 结果表将包含列表中指定的列。 如果源表不包含特定列，则相应行中的值将为 NULL。
• 使用 ColumnName 指定 ColumnType 时，“结果”中的此列将具有给定的类型，并且值将根据需要强制转换为该类型 。 评估 Predicate 时，强制转换不会影响列类型。
• 使用 pack_all() 时，所有列（包括投影列）都打包到一个属性包中，并显示在一个附加列中，默认为“column1”。 在该属性包中，源列名称用作属性名称，列的值用作属性值。

谓词语法

find 运算符支持 * has 术语的替代语法，并且仅使用 term 即可在所有输入列中搜索术语 。

有关某些筛选函数的摘要，请参阅 where 运算符。

说明

• 如果 project 子句引用了出现在多个表中且具有多种类型的列，则在 project 子句中，类型必须遵循此列引用
• 如果某列出现在多个表中且具有多种类型，并且正在使用 project-smart，则 find 的结果中每种类型都会有一个对应的列，如 union 中所述
• 当使用 project-smart 时，谓词、源表集或表架构中的更改可能会导致输出架构发生更改。 如果需要常量结果架构，请改用 project
• find 作用域不能包括函数。 要在 find 作用域中包含函数，请使用 view 关键字定义 let 语句。

性能提示

• 使用表，而不是表格表达式。 如果使用表格表达式，则 find 运算符将回退到 union 查询，这可能会导致性能下降。
• 如果列出现在多个表中并具有多种类型，并且是 project 子句的一部分，则在将表传递给 find 之前，最好将 ColumnType 添加到 project 子句，而不是修改表。
• 向谓词添加基于时间的筛选器。 使用日期/时间列值或 ingestion_time()。
• 搜索特定列而不是全文搜索。
• 最好不要引用出现在多个表中且具有多个类型的列。 如果在为多个类型解析此类列类型时谓词有效，则查询将回退到并集。 例如，请参阅将 find 用作 union 的案例示例。

示例

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

find 输出结果的示例

下面的示例演示如何针对两个表使用 find：EventsTable1 和 EventsTable2 。 假设我们有这两个表的以下内容：

EventsTable1

EventsTable2

搜索公共列、投影通用列和非通用列，然后打包其余列

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

输出

搜索公共列和非公共列

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

输出

注意：在实践中，将使用 Version == 'v1.0.0' 谓词筛选 EventsTable1 行，使用 EventName == 'Event1' 谓词筛选 EventsTable2 行 。

使用缩写表示法在当前数据库的所有表中进行搜索

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

输出

以属性包的形式返回每一行的结果

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

输出

将 find 用作 union 的案例示例

使用非表格表达式作为 find 操作数

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

引用出现在多个表中并具有多个类型的列

假设我们已通过运行以下内容创建了两个表：

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• 下面的查询将作为 union 执行。

find in (Table1, Table2) where ProcessId == 1001

输出结果架构将为 (Level:string, Timestamp, ProcessId_string, ProcessId_int)。

• 以下查询也将作为 union 执行，但将产生不同的结果模式。

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

输出结果架构将为 (Level:string, Timestamp, ProcessId_string)