azure - 如何通过请求响应查询Azure日志？

Question

我在日志中看到许多 API 调用。我想按响应中包含的某些属性对调用进行分组。我可以在日志中看到响应正文，并且可以在事务搜索中过滤它们，但我想在日志中创建一个查询，并按响应中包含的某些属性对它们进行分组。

特别是，我感兴趣的响应包含一个带有“email”属性的 json 对象。我想根据该电子邮件属性对 API 调用进行分组。

如果不可能，我还可以根据特定电子邮件对 API 调用进行计数，例如 count()，其中“[email protected] ”作为响应

欢迎任何关于如何做到这一点的提示

Answer 1

使用has_any过滤您的响应的特定子字符串Azure 日志中的运算符。使用此运算符，您还可以获取同一列的多个字符串。

解决方法如下

这里我使用 has_any 运算符从请求中获取特定字符串，并使用计数运算符查找字符串可用行。

# KQL Query to fetch the specific string from response
requests
| where <column NAME> has_any ("<string you want to search from result>") 
| summarize count() by tostring(<Column NAME>)

结果