azure - 将查询结果作为参数传递给函数 Kusto

Question

我想创建一个函数，允许我将查询的表格结果作为参数传递，而无需指定表列名称。

这就是我想要的结果:

let Func = (T) {
   T
   | where Source has_any ("value")
};

let EventVar = Event | where TimeGenerated > ago(30d);

Func (EventVar);

Answer 1

您不需要指定表格参数架构中的所有列，只需指定需要在函数内使用的那些列。

例如，您的查询如下所示:

let CustomFunc = (T:(Source:string)) {
   T | where Source has_any ("value")
};

let EventVar = Event | where TimeGenerated > ago(30d);

CustomFunc(EventVar);

如果表 EventVar 的行与函数中的条件匹配，上面的查询将输出表中的所有列。唯一的要求是表 EventVar 具有一个 string 类型、名称为 Source 的列，并且它可以具有任意数量的其他列。

还可以通过定义输入表格参数(如 T:(*))来接受任何表格模式，但在这种情况下，您将无法引用函数内的任何列名称。请参阅 the documentation page 上的示例 4供引用。