azure - 如何在 Log Analytics 中获取具有不同 parameterxml 值的事件？

Question

首先，我希望您正确理解我的问题。在 Log Analytics 中，我有一个像这样的查询:

Event
| where EventID == 7036 and Computer == "testSQLServer"
and ParameterXml == "<Param>SQL Server (MSSQLSERVER)</Param><Param>stopped</Param><Param>-</Param>"

此查询有效，现在我想获得适合“EventID”和“Computer”以及“ParameterXml”条目池之一的结果。

具体来说，该池包含 5 个“ParameterXml”行:

ParameterXml == "<Param>SQL Server (MSSQLSERVER)</Param><Param>stopped</Param><Param>-</Param>" 
ParameterXml == "<Param>SQL Server Agent (MSSQLSERVER)</Param><Param>stopped</Param><Param>-</Param>"
ParameterXml == "<Param>SQL Server Integration Services 13.0</Param><Param>stopped</Param><Param>-</Param>"
ParameterXml == "<Param>SQL Server Analysis Services (MULTIDIM)</Param><Param>stopped</Param><Param>-</Param>"

那么如何获得“EventID”和“Computer”以及其中一个“ParameterXml”的结果？如果所有“ParameterXml”适合搜索或其他“ParameterXml”(来自其他服务)适合搜索，我不想获得结果。

我尝试了不同的“AND”和“OR”方式，但我不明白。

你有什么想法吗？提前致谢!

Answer 1

更优雅的方法是使用运算符“in”而不是“or”，如下所示:

Event
| where EventID == 7036 and Computer == "testSQLServer"
| where ParameterXml in ("<Param>SQL Server (MSSQLSERVER)</Param><Param>stopped</Param><Param>-</Param>", 
                         "<Param>SQL Server Agent (MSSQLSERVER)</Param><Param>stopped</Param><Param>-</Param>", 
                         "<Param>SQL Server Integration Services 13.0</Param><Param>stopped</Param><Param>-</Param>",
                         "<Param>SQL Server Analysis Services (MSSQLSERVER)</Param><Param>stopped</Param><Param>-</Param>")