共用方式為

Azure 監視器轉換中支援的 KQL 功能

  • 發行項

Azure 監視器 中的轉換可讓您對傳入的 Azure 監視器數據執行 KQL 查詢，以在將資料儲存在 Log Analytics 工作區之前篩選或修改傳入數據。 本文詳述除了只能在轉換中使用的特殊運算元之外，轉換查詢中的 KQL 考慮和支援的功能。

由於轉換會個別套用至每個記錄，因此無法使用任何在多個記錄上作用的 KQL 運算符。 僅支援接受單一資料列作為輸入並傳回不超過一個資料列的運算子。 例如，不支援 summarize，因為其摘要多個記錄。

轉換僅支援本文所列的運算符。 轉換中不支援任何其他可用於其他記錄查詢的運算符。

特殊考量

剖析命令

基於 效能考慮，轉換中的剖析 命令限制為每個語句 10 個數據行。 如果您的轉換需要剖析超過10個數據行，請將它分割成多個語句，如中斷大型剖析命令中所述。

處理動態資料

考慮使用動態資料的下列輸入：

{
    "TimeGenerated" : "2021-11-07T09:13:06.570354Z",
    "Message": "Houston, we have a problem",
    "AdditionalContext": {
        "Level": 2,
        "DeviceID": "apollo13"
    }
}

若要存取 AdditionalContext 中的屬性，請將其定義為輸入資料流中的動態類型資料行：

"columns": [
    {
        "name": "TimeGenerated",
        "type": "datetime"
    },
    {
        "name": "Message",
        "type": "string"
    }, 
    {
        "name": "AdditionalContext",
        "type": "dynamic"
    }
]

AdditionalContext 資料行的內容現在可以在 KQL 轉換中剖析和使用：

source
| extend parsedAdditionalContext = parse_json(AdditionalContext)
| extend Level = toint (parsedAdditionalContext.Level)
| extend DeviceId = tostring(parsedAdditionalContext.DeviceID)

動態常值

使用函 parse_json 式 來處理 動態常值。

例如，下列查詢提供相同功能：

print d=dynamic({"a":123, "b":"hello", "c":[1,2,3], "d":{}})

print d=parse_json('{"a":123, "b":"hello", "c":[1,2,3], "d":{}}')

特殊函式

下列函式僅適用於轉換。 它們不能用於其他記錄查詢。

parse_cef_dictionary

假設字串包含 CEF 訊息，parse_cef_dictionary 會將訊息的 Extension 屬性剖析為動態索引鍵/值物件。 分號是保留字元，應該在將原始訊息傳遞至方法之前加以取代，如範例所示。

| extend cefMessage=iff(cefMessage contains_cs ";", replace(";", " ", cefMessage), cefMessage) 
| extend parsedCefDictionaryMessage =parse_cef_dictionary(cefMessage) 
| extend parsecefDictionaryExtension = parsedCefDictionaryMessage["Extension"]
| project TimeGenerated, cefMessage, parsecefDictionaryExtension

parse_cef_dictionary 函式的範例輸出。

geo_location

假設有包含IP位址的字串 (支援IPv4和IPv6)，geo_location 函式會傳回大約地理位置，包括下列屬性：

  • Country
  • 區域
  • 狀態
  • City
  • 緯度
  • 緯度
| extend GeoLocation = geo_location("1.0.0.5")

geo_location 函式範例輸出的螢幕擷取畫面。

重要

由於此函式所使用的 IP 地理位置服務本質，如果過度使用，可能會造成資料擷取延遲。 在每個轉換使用此函式時，請謹慎使用多次。

支援的陳述式

Let 陳述式

的右側 let 可以是純量表示式、表格式表達式或使用者定義函數。 僅支援具有純量引數的使用者定義函式。

表格式運算式陳述式

轉換中 KQL 語句唯一支援的數據來源如下：

  • source，表示來源資料。 例如：

    source
| where ActivityId == "383112e4-a7a8-4b94-a701-4266dfc18e41"
| project PreciseTimeStamp, Message

  • print 運算子，一律會產生單一數據列。 例如：

    print x = 2 + 2, y = 5 | extend z = exp2(x) + exp2(y)

支援的表格式運算元

支援的純量運算子

  • 支援所有數值運算子。
  • 支援所有 DateTime 和 TimeSpan 算術運算子。
  • 支援下列字串運算子。
    • `=
    • !=
    • =~
    • !~
    • contains
    • !contains
    • contains_cs
    • !contains_cs
    • has
    • !has
    • has_cs
    • !has_cs
    • startswith
    • !startswith
    • startswith_cs
    • !startswith_cs
    • endswith
    • !endswith
    • endswith_cs
    • !endswith_cs
    • matches regex
    • in
    • !in
  • 支援下列位元運算子。
    • binary_and()
    • binary_or()
    • binary_xor()
    • binary_not()
    • binary_shift_left()
    • binary_shift_right()

純量函式

識別碼引號

視需要使用識別碼引號。

下一步