azure - KQL查询，如何从渲染描述中扩展信息

Question

我想用特定值扩展查询结果，但我不知道如何仅获取屏幕上的信息片段，即，例如，从“rendereddescription”部分，我只需要有关“server_principal_name”的信息并将其分配给某个值，例如“用户”，我知道这需要解决|扩展“变量名”= i 这里我不知道语法是什么。 enter image description here

Answer 1

您可以使用parse运营商:https://learn.microsoft.com/en-us/azure/data-explorer/kusto/query/parseoperator

例如:

print RenderDescription = @"... 0000000000 session_server_principal_name:ABB\HPAM-TCS-DB10 server_principal_sid:01050000000 ...."
| parse RenderDescription with * "session_server_principal_name:" session_server_principal_name " " *

<表类=“s-表”><标题>渲染描述session_server_principal_name <正文>... 0000000000 session_server_principal_name:ABB\HPAM-TCS-DB10 server_principal_sid:01050000000 ....ABB\HPAM-TCS-DB10