find 演算子

適用対象: ✅Microsoft Fabric✅Azure データ エクスプローラー✅Azure Monitor✅Microsoft Sentinel

テーブルのセットで述語が一致する行を見つけます。

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

構文

• find [withsource= ColumnName] [in(Tables)] wherePredicate [project-smart | projectColumnName[:ColumnType, ... ][,pack_all()]]

• find Predicate [project-smart | projectColumnName[:ColumnType, ... ][,pack_all()]]

構文規則について詳しく知る。

パラメーター

返品

Table, がされている [true, ...] 内の行の変換。 行は、出力スキーマに従って変換されます。

出力スキーマ

source_ 列

find 演算子の出力には、常にソース テーブル名を持つ source_ 列が含まれます。 列の名前は、withsource パラメーターを使用して変更できます。

結果列

述語の評価で使用される列が含まれていないソース テーブルは、フィルターで除外されます。

project-smartを使用すると、出力に表示される列は次のようになります。

• 述語で明示的に示されている列。
• すべてのフィルター処理されたテーブルに共通の列。

残りの列はプロパティ バッグにパックされ、追加の pack 列に表示されます。 述語によって明示的に参照され、複数の型を持つ複数のテーブルに表示される列には、このような型ごとに結果スキーマに異なる列があります。 各列名は、元の列名と型から作成され、アンダースコアで区切ります。

project ColumnName[:ColumnType, ... ] [,pack_all()]:

• 結果テーブルには、リストで指定された列が含まれます。 ソース テーブルに特定の列が含まれていない場合、対応する行の値は null になります。
• ColumnNameで ColumnType を指定すると、"result" 内のこの列には指定された型があり、必要に応じて値はその型にキャストされます。 キャストは、述語を評価するときに列の型に影響しません。
• pack_all() を使用すると、投影列を含むすべての列がプロパティ バッグにパックされ、既定で追加の列 'column1' に表示されます。 プロパティ バッグでは、ソース列名がプロパティ名として機能し、列の値がプロパティ値として機能します。

述語の構文

find 演算子は、* has 用語の代替構文をサポートし、用語のみを使用して、すべての入力列で用語を検索します。

いくつかのフィルター処理関数の概要については、「where 演算子」を参照してください。

考慮 事項

• 複数のテーブルにあり、複数の型を持つ列が project 句で参照されている場合、型は project 句のこの列参照に従う必要があります
• 1 つの列が複数のテーブルに表示され、複数の型を持ち、project-smart が使用されている場合は、findの結果の各型に対応する列 、共用体
• プロジェクト スマート 使用すると、述語、ソース テーブル セット、またはテーブル スキーマが変更され、出力スキーマが変更される可能性があります。 定数の結果スキーマが必要な場合は、代わりに project を使用してください
• find スコープに関数を含めることはできません。 find スコープに関数を含めるには、view キーワード を使用して let ステートメント定義します。

パフォーマンスに関するヒント

• 表形式の式ではなく、テーブルを使用します。 表形式の式の場合、find 演算子は、パフォーマンスが低下する可能性がある union クエリに戻されます。
• 複数のテーブルにあり、複数の型を持つ列が project 句の一部である場合は、 に渡す前に、テーブルを変更するよりも project 句に find を追加することを優先してください。
• 時間ベースのフィルターを述語に追加します。 datetime 列の値または ingestion_time() を使用します。
• フル テキスト検索ではなく、特定の列を検索します。
• 複数のテーブルにあり、複数の型を持つ列を参照しないことをお勧めします。 複数の型に対してこのような列の型を解決するときに述語が有効な場合、クエリは共用体にフォールバックします。 たとえば、find が共用体 として機能するケースの例参照してください。

例

一般的な例

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

find 出力結果の例

これら 2 つのテーブルの内容が以下であると想定します。

EventsTable1

EventsTable2

次の例では、特定のSession_Idとエラー レベルに基づいて、EventsTable1 と EventsTable2 の特定のレコードを検索します。 次に、EventText、Version、EventNameの 3 つの特定の列を射影し、残りの列をすべて動的オブジェクトにパックします。

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

出力

次の例では、 バージョン が 'v1.0.0' または EventName が 'Event1' のレコードを検索し、フィルター処理された結果から Session_Id、 EventText、 Version、 EventName の 4 つの特定の列をプロジェクト (選択) します。

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

出力

次の例では、"acbd207d-51aa-4df7-bfa7-be70eb68f04e" と一致する Session_Id を持つレコードをデータベースで検索します。 この特定の Session_Idを含むすべてのテーブルと列からレコードを取得します。

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

出力

次の例では、指定した Session_Id を持つレコードをデータベースで検索し、それらのレコードのすべての列を 1 つの動的オブジェクトとして返します。

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

出力

findが共用体として機能する場合の例

Kusto の find 演算子は、主に複数のテーブルを検索するために使用される場合に、union 演算子のように動作する場合があります。

次の例では、まず、エラー レベルのレコードのみを含むように EventsTable1 をフィルター処理するビューを作成します。 次に、このフィルター処理されたビューと EventsTable2 テーブル内で、特定の Session_Idを持つレコードを検索します。

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

次の例では、異なる型の複数のテーブルに列が表示される場合に、 find 演算子を union として機能させる方法を示します。 この場合、 ProcessId 列は Table1 と Table2 の両方に存在しますが、型は異なります。 この例では、次を実行して 2 つのテーブルを作成します。

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• 次のクエリは、unionとして実行されます。

find in (Table1, Table2) where ProcessId == 1001

出力結果スキーマは、(Level:string、Timestamp、ProcessId_string、ProcessId_int) です。

• 次のクエリは unionとして実行されますが、別の結果スキーマが生成されます。

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

出力結果スキーマが (Level:string、Timestamp、ProcessId_string)