Operatore find

Si applica a: ✅Microsoft Fabric✅Azure Esplora dati✅ Azure Monitor✅Microsoft Sentinel

Trova le righe che corrispondono a un predicato in un set di tabelle.

L'ambito di find può anche essere tra database o tra cluster.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

Sintassi

• find[withsource= ColumnName] [in( Tables)] where Predicate [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

• findPredicato [project-smart | project ColumnName[: ColumnType , ... ] [, pack_all()]]

Altre informazioni sulle convenzioni di sintassi.

Parametri

Nome	Digita	Obbligatorio	Descrizione
ColumnName	string		Per impostazione predefinita, l'output includerà una colonna denominata source_ i cui valori indicano la tabella di origine che ha contribuito a ogni riga. Se specificato, verrà usato ColumnName anziché source_. Dopo la corrispondenza con caratteri jolly, se la query fa riferimento a tabelle da più di un database incluso il database predefinito, il valore di questa colonna avrà un nome di tabella qualificato con il database. Analogamente , le qualifiche del cluster e del database saranno presenti nel valore se viene fatto riferimento a più cluster.
Predicato	bool	✔️	Questa espressione booleana viene valutata per ogni riga di ogni tabella di input. Per altre informazioni, vedere Dettagli della sintassi del predicato.
Tabelle	string		Zero o più riferimenti di tabella delimitati da virgole. Per impostazione predefinita, find cercherà tutte le tabelle nel database corrente. Puoi usare: 1. Nome di una tabella, ad esempio Events 2. Espressione di query, ad esempio (Events | where id==42) 3. Set di tabelle specificate con un carattere jolly. Ad esempio, E* formerebbe l'unione di tutte le tabelle nel database i cui nomi iniziano con E.
project-smart oppure project	string		Se non specificato, project-smart verrà utilizzato per impostazione predefinita. Per altre informazioni, vedere dettagli dello schema di output.

Valori restituiti

Trasformazione delle righe in Table [, Table, ...] per cui Predicato è true. Le righe vengono trasformate in base allo schema di output.

Schema di output.

source_ colonna

L'output dell'operatore find includerà sempre una colonna source_ con il nome della tabella di origine. La colonna può essere rinominata usando il withsource parametro .

colonne dei risultati

Le tabelle di origine che non contengono colonne usate dalla valutazione del predicato verranno filtrate.

Quando si usa project-smart, le colonne che verranno visualizzate nell'output saranno:

• Colonne visualizzate in modo esplicito nel predicato.
• Colonne comuni a tutte le tabelle filtrate.

Il resto delle colonne verrà compresso in un contenitore delle proprietà e verrà visualizzato in una colonna aggiuntiva pack . Una colonna a cui viene fatto riferimento in modo esplicito dal predicato e viene visualizzata in più tabelle con più tipi avrà una colonna diversa nello schema dei risultati per ogni tipo. Ogni nome di colonna verrà costruito dal nome e dal tipo di colonna originale, separati da un carattere di sottolineatura.

Quando si usa project ColumnName[ : ColumnType , ... ] [, pack_all()]:

• La tabella dei risultati includerà le colonne specificate nell'elenco. Se una tabella di origine non contiene una determinata colonna, i valori nelle righe corrispondenti saranno Null.
• Quando si specifica un ColumnType con columnName, questa colonna nel "risultato" avrà il tipo specificato e i valori verranno cast a tale tipo, se necessario. Il cast non avrà alcun effetto sul tipo di colonna durante la valutazione del predicato.
• Quando pack_all() viene usato, tutte le colonne, incluse le colonne proiettate, vengono compresse in un contenitore delle proprietà e vengono visualizzate in una colonna aggiuntiva, per impostazione predefinita 'column1'. Nel contenitore delle proprietà il nome della colonna di origine funge da nome della proprietà e il valore della colonna funge da valore della proprietà.

Sintassi del predicato

L'operatore find supporta una sintassi alternativa per il * has termine e l'uso di un termine just cercherà un termine in tutte le colonne di input.

Per un riepilogo di alcune funzioni di filtro, vedere dove operatore.

Note

• Se la project clausola fa riferimento a una colonna che viene visualizzata in più tabelle e ha più tipi, un tipo deve seguire questo riferimento a questa colonna nella clausola di progetto
• Se una colonna viene visualizzata in più tabelle e ha più tipi ed project-smart è in uso, sarà presente una colonna corrispondente per ogni tipo nel findrisultato del , come descritto nell'unione
• Quando si usa project-smart, le modifiche nel predicato, nel set di tabelle di origine o nello schema delle tabelle, possono comportare una modifica allo schema di output. Se è necessario uno schema dei risultati costante, usare invece il progetto
• find l'ambito non può includere funzioni. Per includere una funzione nell'ambito di ricerca, definire un'istruzione let con la parola chiave view.

Suggerimenti per incrementare le prestazioni

• Usare tabelle anziché espressioni tabulari. Se l'espressione tabulare, l'operatore find esegue il fallback a una union query che può comportare prestazioni ridotte.
• Se una colonna visualizzata in più tabelle e ha più tipi, fa parte della clausola di progetto, preferire l'aggiunta di un columnType alla clausola di progetto rispetto alla modifica della tabella prima di passarla a find.
• Aggiungere filtri basati sul tempo al predicato. Usare un valore di colonna datetime o ingestion_time().
• Eseguire ricerche in colonne specifiche anziché in una ricerca full-text.
• È preferibile non fare riferimento a colonne visualizzate in più tabelle e avere più tipi. Se il predicato è valido durante la risoluzione di tale tipo di colonne per più tipi, la query eseguirà il fallback all'unione. Ad esempio, vedere esempi di casi in cui trovare fungerà da unione.

Esempi

Ricerca termini in tutte le tabelle nel database corrente

La query trova tutte le righe di tutte le tabelle nel database corrente in cui qualsiasi colonna include la parola Hernandez. I record risultanti vengono trasformati in base allo schema di output. L'output include righe della Customers tabella e della SalesTable tabella del ContosoSales database.

Eseguire la query

find "Hernandez"

Ricerca termini in tutte le tabelle corrispondenti a un modello di nome nel database corrente

La query trova tutte le righe di tutte le tabelle nel database corrente il cui nome inizia con Ce in cui qualsiasi colonna include la parola Hernandez. I record risultanti vengono trasformati in base allo schema di output. L'output contiene ora solo i record della Customers tabella.

Eseguire la query

find in (C*) where * has "Hernandez"

Ricerca termini in tutte le tabelle in tutti i database nel cluster

La query trova tutte le righe di tutte le tabelle in tutti i database in cui qualsiasi colonna include la parola Kusto. Questa query è una query tra database . I record risultanti vengono trasformati in base allo schema di output.

Eseguire la query

find in (database('*').*) where * has "Kusto"

Ricerca termini in tutte le tabelle e i database corrispondenti a un modello di nome nel cluster

La query trova tutte le righe di tutte le tabelle il cui nome inizia con K in tutti i database il cui nome inizia con B e in cui qualsiasi colonna include la parola Kusto. I record risultanti vengono trasformati in base allo schema di output.

Eseguire la query

find in (database("S*").C*) where * has "Kusto"

Ricerca termini in diversi cluster

La query trova tutte le righe di tutte le tabelle il cui nome inizia con K in tutti i database il cui nome inizia con B e in cui qualsiasi colonna include la parola Kusto. I record risultanti vengono trasformati in base allo schema di output.

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

Esempi di risultati di find output

Negli esempi seguenti viene illustrato come find usare su due tabelle: EventsTable1 ed EventsTable2. Si supponga di avere il contenuto successivo di queste due tabelle:

EventsTable1

Session_Id	Livello	EventText	Versione
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informazioni	Testo 1	v1.0.0
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Error	Testo 2	v1.0.0
28b8e46e-3c31-43cf-83cb-48921c3986fc	Error	Testo 3	v1.0.1
8f057b11-3281-45c3-a856-05ebb18a3c59	Informazioni	Testo 4	v1.1.0

EventsTable2

Session_Id	Livello	EventText	EventName
f7d5f95f-f580-4ea6-830b-5776c8d64fdd	Informazioni	Altro testo1	Evento1
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informazioni	Altro testo2	Event2
acbd207d-51aa-4df7-bfa7-be70eb68f04e	Error	Altro testo3	Event3
15eaeab5-8576-4b58-8fc6-478f75d8fee4	Error	Altro testo4	Evento4

Cercare colonne comuni, proiettare colonne comuni e non comuni e comprimere il resto

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Output

fonte_	EventText	Versione	EventName	branco_
EventsTable1	Testo 2	v1.0.0		{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error"}
EventsTable2	Altro testo3		Event3	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error"}

Eseguire ricerche in colonne comuni e non comuni

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Output

fonte_	Session_Id	EventText	Versione	EventName
EventsTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Testo 1	v1.0.0
EventsTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Testo 2	v1.0.0
EventsTable2	f7d5f95f-f580-4ea6-830b-5776c8d64fdd	Altro testo1		Evento1

Nota: in pratica, le righe EventsTable1 verranno filtrate con Version == 'v1.0.0' predicato ed EventsTable2 le righe verranno filtrate con EventName == 'Event1' predicato.

Usare la notazione abbreviata per eseguire ricerche in tutte le tabelle nel database corrente

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Output

fonte_	Session_Id	Livello	EventText	branco_
EventsTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informazioni	Testo 1	{"Version":"v1.0.0"}
EventsTable1	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Error	Testo 2	{"Version":"v1.0.0"}
EventsTable2	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Informazioni	Altro testo2	{"EventName":"Event2"}
EventsTable2	acbd207d-51aa-4df7-bfa7-be70eb68f04e	Error	Altro testo3	{"EventName":"Event3"}

Restituisce i risultati di ogni riga come contenitore delle proprietà

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Output

fonte_	branco_
EventsTable1	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Information", "EventText":"Some Text1", "Version":"v1.0.0"}
EventsTable1	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error", "EventText":"Some Text2", "Version":"v1.0.0"}
EventsTable2	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Information", "EventText":"Some Other Text2", "EventName":"Event2"}
EventsTable2	{"Session_Id":"acbd207d-51aa-4df7-bfa7-be70eb68f04e", "Level":"Error", "EventText":"Some Other Text3", "EventName":"Event3"}

Esempi di casi in cui find fungeranno da union

Uso di un'espressione non tabulare come operando di ricerca

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Riferimento a una colonna visualizzata in più tabelle e con più tipi

Si supponga di aver creato due tabelle eseguendo:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• La query seguente verrà eseguita come union.

find in (Table1, Table2) where ProcessId == 1001

Lo schema dei risultati di output sarà (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• La query seguente verrà eseguita anche come union, ma produrrà uno schema di risultati diverso.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

Lo schema dei risultati di output sarà (Level:string, Timestamp, ProcessId_string)