encontrar operador

Aplica-se a: ✅Microsoft Fabric✅Azure Data Explorer✅Azure Monitor✅Microsoft Sentinel

Localiza linhas que correspondem a um predicado em um conjunto de tabelas.

find in (Table1, Table2, Table3) where Fruit=="apple"

find in (database('*').*) where Fruit == "apple"

find in (cluster('cluster_name').database('MyDB*').*) where Fruit == "apple"

find in (Table1, Table2, Table3) where Fruit=="apple"

Sintaxe

• find [withsource= ColumnName] [in(Tabelas)] wherePredicado [project-smart | projectColumnName[:ColumnType, ... ] [,pack_all()]]

• find Predicado [project-smart | projectColumnName[:ColumnType, ... ] [,pack_all()]]

Saiba mais sobre convenções de sintaxe.

Parâmetros

Devoluções

Transformação de linhas em Tabela [,Tabela, ...] para a qual Predicado é true. As linhas são transformadas de acordo com o esquema de saída .

Esquema de saída

source_ coluna

A saída do operador find sempre inclui uma coluna source_ com o nome da tabela de origem. A coluna pode ser renomeada usando o parâmetro withsource.

colunas de resultados

As tabelas de origem que não contêm nenhuma coluna usada pela avaliação de predicados são filtradas.

Quando você usa project-smart, as colunas que aparecem na saída são:

• Colunas que aparecem explicitamente no predicado.
• Colunas que são comuns a todas as tabelas filtradas.

O restante das colunas é empacotado em um saco de propriedades e aparece em uma coluna de pack extra. Uma coluna que é referenciada explicitamente pelo predicado e aparece em várias tabelas com vários tipos, tem uma coluna diferente no esquema de resultados para cada tipo. Cada um dos nomes de coluna é construído a partir do nome e do tipo de coluna original, separados por um sublinhado.

Ao usar projectColumnName[:ColumnType, ... ] [,pack_all()]:

• A tabela de resultados inclui as colunas especificadas na lista. Se uma tabela de origem não contiver uma determinada coluna, os valores nas linhas correspondentes serão nulos.
• Quando você especifica um ColumnType com um ColumnName, essa coluna no "result" tem o tipo determinado, e os valores são convertidos para esse tipo, se necessário. A transmissão não tem efeito sobre o tipo de coluna ao avaliar o Predicado.
• Quando pack_all() é usado, todas as colunas, incluindo as colunas projetadas, são embaladas em um pacote de propriedades e aparecem em uma coluna extra, por padrão 'column1'. No pacote de propriedades, o nome da coluna de origem serve como o nome da propriedade e o valor da coluna serve como o valor da propriedade.

Sintaxe de predicados

O operador find suporta uma sintaxe alternativa para o termo * has e, usando apenas termo, pesquisa um termo em todas as colunas de entrada.

Para obter um resumo de algumas funções de filtragem, consulte onde o operador.

Considerações

• Se a cláusula project fizer referência a uma coluna que aparece em várias tabelas e tem vários tipos, um tipo deve seguir essa referência de coluna na cláusula do projeto
• Se uma coluna aparecer em várias tabelas e tiver vários tipos e project-smart estiver em uso, haverá uma coluna correspondente para cada tipo no resultado do find, conforme descrito em união
• Quando você usa inteligente de projeto, as alterações no predicado, no conjunto de tabelas de origem ou no esquema de tabelas podem resultar em uma alteração no esquema de saída. Se um esquema de resultado constante for necessário, use projeto em vez disso
• find escopo não pode incluir funções . Para incluir uma função no escopo find, defina uma instrução let com palavra-chave view.

Dicas de desempenho

• Use tabelas em vez de expressões tabulares. Se a expressão tabular, o operador de localização retornará a uma consulta union que pode resultar em desempenho degradado.
• Se uma coluna que aparece em várias tabelas e tem vários tipos faz parte da cláusula do projeto, prefira adicionar um ColumnType à cláusula do projeto em vez de modificar a tabela antes de passá-la para find.
• Adicione filtros baseados no tempo ao predicado. Use um valor de coluna datetime ou ingestion_time().
• Pesquisa em colunas específicas em vez de uma pesquisa de texto completo.
• É melhor não fazer referência a colunas que aparecem em várias tabelas e têm vários tipos. Se o predicado for válido ao resolver esse tipo de coluna para mais de um tipo, a consulta voltará à união. Por exemplo, ver exemplos de casos em que find atua como um sindicato.

Exemplos

Exemplos gerais

find "Hernandez"

find in (C*) where * has "Hernandez"

find in (database('*').*) where * has "Kusto"

find in (database("S*").C*) where * has "Kusto"

find in (cluster("cluster1").database("B*").K*, cluster("cluster2").database("C*".*))
where * has "Kusto"

find "Kusto"

Exemplos de find resultados de produção

Suponha que temos o próximo conteúdo dessas duas tabelas:

EventosTabela 1

EventosTabela 2

O exemplo a seguir procura registros específicos em EventsTable1 e EventsTable2 com base em um determinado Session_Id e um Nível de Erro . Em seguida, projeta três colunas específicas: EventText, Versione EventNamee empacota todas as outras colunas restantes em um objeto dinâmico.

find in (EventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' and Level == 'Error' 
     project EventText, Version, EventName, pack_all()

Realização

O exemplo a seguir procura registros que tenham Version como 'v1.0.0' ou EventName como 'Event1' e, em seguida, projeta (seleciona) quatro colunas específicas: Session_Id, EventText, Version e EventName desses resultados filtrados.

find Version == 'v1.0.0' or EventName == 'Event1' project Session_Id, EventText, Version, EventName

Realização

O exemplo a seguir pesquisa no banco de dados quaisquer registros com um Session_Id que corresponda a 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'. Ele recupera registros de todas as tabelas e colunas que contêm esse Session_Idespecífico.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Realização

O exemplo a seguir pesquisa registros no banco de dados com o Session_Id especificado e retorna todas as colunas desses registros como um único objeto dinâmico.

find Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e' project pack_all()

Realização

Exemplos de casos em que find atua como sindicato

O operador find em Kusto às vezes pode agir como um operador union, principalmente quando é usado para pesquisar em várias tabelas.

O exemplo a seguir primeiro cria um modo de exibição que filtra EventsTable1 para incluir apenas registros de nível de erro. Em seguida, ele pesquisa nessa exibição filtrada e na tabela EventsTable2 registros com um Session_Idespecífico.

let PartialEventsTable1 = view() { EventsTable1 | where Level == 'Error' };
find in (PartialEventsTable1, EventsTable2) 
     where Session_Id == 'acbd207d-51aa-4df7-bfa7-be70eb68f04e'

Os exemplos a seguir demonstram como o find operador pode agir como um union quando uma coluna aparece em várias tabelas com tipos diferentes. Neste caso, a ProcessId coluna está presente na Tabela 1 e na Tabela 2, mas com tipos diferentes. Para este exemplo, crie duas tabelas executando:

.create tables 
  Table1 (Level:string, Timestamp:datetime, ProcessId:string),
  Table2 (Level:string, Timestamp:datetime, ProcessId:int64)

• A consulta a seguir é executada como union.

find in (Table1, Table2) where ProcessId == 1001

O esquema de resultado de saída é (Level:string, Timestamp, ProcessId_string, ProcessId_int).

• A consulta a seguir é executada como union, mas produz um esquema de resultado diferente.

find in (Table1, Table2) where ProcessId == 1001 project Level, Timestamp, ProcessId:string 

O esquema de resultado de saída é (Level:string, Timestamp, ProcessId_string)