Operador find

Se aplica a: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Busca filas que coinciden con un predicado en un conjunto de tablas.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Sintaxis

• find[withsource= ColumnName] [in( Tables)] wherePredicate [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

• find Predicado [project-smart | project ColumnName[:ColumnType, ... ] [,pack_all()]]

Obtenga más información sobre las convenciones de sintaxis.

Parámetros

Devoluciones

Transformación de filas en Tabla [,, ...] para la que predicado es true. Las filas se transforman según el esquema de salida.

Esquema de salida

columna source_

La salida del operador find siempre incluye una columna source_ con el nombre de la tabla de origen. Se puede cambiar el nombre de la columna mediante el withsource parámetro .

columnas de resultados

Las tablas de origen que no contienen ninguna columna usada por la evaluación de predicado se filtran.

Cuando se usa project-smart, las columnas que aparecen en la salida son:

• Columnas que aparecen explícitamente en el predicado.
• Columnas comunes a todas las tablas filtradas.

El resto de las columnas se empaquetan en un contenedor de propiedades y aparecen en una columna de pack adicional. Una columna a la que hace referencia explícitamente el predicado y aparece en varias tablas con varios tipos, tiene una columna diferente en el esquema de resultados para cada tipo de este tipo. Cada uno de los nombres de columna se construye a partir del nombre y el tipo de columna original, separados por un carácter de subrayado.

Cuando se usa project ColumnName

• La tabla de resultados incluye las columnas especificadas en la lista. Si una tabla de origen no contiene una determinada columna, los valores de las filas correspondientes son NULL.
• Cuando se especifica un ColumnType con un ColumnName, esta columna del "resultado" tiene el tipo especificado y los valores se convierten a ese tipo si es necesario. La conversión no tiene ningún efecto en el tipo de columna al evaluar el predicado de .
• Cuando se usa pack_all(), todas las columnas, incluidas las columnas proyectadas, se empaquetan en un contenedor de propiedades y aparecen en una columna adicional, de forma predeterminada "column1". En el contenedor de propiedades, el nombre de la columna de origen actúa como nombre de propiedad y el valor de la columna actúa como valor de propiedad.

Sintaxis de predicado

El operador find admite una sintaxis alternativa para el término de * has, y usando solo término, busca un término en todas las columnas de entrada.

Para obtener un resumen de algunas funciones de filtrado, consulte el operador where.

Consideraciones

• Si la project cláusula hace referencia a una columna que aparece en varias tablas y tiene varios tipos, un tipo debe seguir esta referencia de columna en la cláusula project.
• Si una columna aparece en varias tablas y tiene varios tipos y project-smart está en uso, hay una columna correspondiente para cada tipo en el resultado del find, como se describe en unión
• Cuando se usa inteligente del proyecto , los cambios en el predicado, en el conjunto de tablas de origen o en el esquema de tablas, podrían dar lugar a un cambio en el esquema de salida. Si se necesita un esquema de resultados constantes, use el proyecto en su lugar.
• find scope no puede incluir funciones. Para incluir una función en el ámbito de find, defina una instrucción let de con palabra clave view.

Consejos de rendimiento

• Use tablas en lugar de expresiones tabulares. Si la expresión tabular, el operador find vuelve a una consulta que puede dar lugar a un union rendimiento degradado.
• Si una columna que aparece en varias tablas y tiene varios tipos, forma parte de la cláusula project, prefiere agregar columnType a la cláusula project sobre la modificación de la tabla antes de pasarla a find.
• Agregue filtros basados en tiempo al predicado. Use un valor de columna datetime o ingestion_time()..
• Busque en columnas específicas en lugar de en una búsqueda de texto completo.
• Es mejor no hacer referencia a columnas que aparecen en varias tablas y que tienen varios tipos. Si el predicado es válido al resolver este tipo de columnas para más de un tipo, la consulta vuelve a unión. Por ejemplo, vea ejemplos de casos en los que find actúa como una unión.

Ejemplos

Ejemplos generales

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Ejemplos de resultados de find salida

Supongamos que tenemos el siguiente contenido de estas dos tablas:

EventsTable1

EventsTable2

En el ejemplo siguiente se buscan registros específicos en EventsTable1 y EventsTable2 en función de un Session_Id determinado y un nivel de error . A continuación, proyecta tres columnas específicas: EventText, Versiony EventNamey empaqueta todas las demás columnas restantes en un objeto dinámico.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Salida

En el ejemplo siguiente se buscan registros que tengan version como "v1.0.0" o EventName como "Event1" y, a continuación, proyecta (selecciona) cuatro columnas específicas: Session_Id, EventText, Version y EventName de esos resultados filtrados.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Salida

En el ejemplo siguiente se busca en la base de datos los registros con un Session_Id que coincida con "acbd207d-51aa-4df7-bfa7-be70eb68f04e". Recupera registros de todas las tablas y columnas que contienen este Session_Idespecífico.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Salida

En el ejemplo siguiente se busca en la base de datos registros con el Session_Id especificado y se devuelven todas las columnas de esos registros como un único objeto dinámico.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Salida

Ejemplos de casos en los que find actúa como unión

El operador find de Kusto a veces puede actuar como un operador de union, principalmente cuando se usa para buscar en varias tablas.

En el ejemplo siguiente se crea primero una vista que filtra EventsTable1 para incluir solo registros de nivel de error. A continuación, busca en esta vista filtrada y en la tabla EventsTable2 los registros con un Session_Idespecífico.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

En los ejemplos siguientes se muestra cómo el find operador puede actuar como cuando union una columna aparece en varias tablas con diferentes tipos. En este caso, la ProcessId columna está presente en Table1 y Table2, pero con tipos diferentes. Para este ejemplo, cree dos tablas mediante la ejecución de:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• La consulta siguiente se ejecuta como union.

find in (Table1, Table2) where ProcessId == 1001

El esquema de resultados de salida es (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• La consulta siguiente se ejecuta como union, pero genera un esquema de resultados diferente.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

El esquema de resultados de salida es (Level:string, Timestamp, ProcessId_string)