azure-data-explorer - 如何编写 Kusto 查询以在一张表中获取结果？

Question

我有 2 个 KQL 查询，我想将它们组合起来以将两行显示为一个结果。不仅仅是第一次查询的结果，然后是第二次查询的结果:

R_CL
| where isnotempty(SrcIP_s) 
| project Message 
| take 1;

R_CL
| where isempty(SrcIP_s) 
| project Message 
| take 1

请参阅下面的示例 R_L。我想看到 2 行作为结果，一个 SrcIP_s 不为空，第二个 SrcIP_s 为空(在这种情况下，它总是相同的)

let R_CL = datatable ( SrcIP_s:string, Message:string)
["1.1.1.1" ,"one",
"" ,"two",
"2.2.2.2","three",
"3.3.3.3","four"];
R_CL
| project SrcIP_s, Message

Answer 1

我知道这是一个旧请求 - 但这里有一个使用 View 和联合查询的示例查询:

您的两个单独的查询...

R_CL
| where isnotempty(SrcIP_s) 
| project Message 
| take 1;

R_CL
| where isempty(SrcIP_s) 
| project Message 
| take 1

会成为:

let Query1 = view () {
R_CL
| where isnotempty(SrcIP_s) 
| project Message 
| take 1;
};
let Query2 = view () {
R_CL
| where isempty(SrcIP_s) 
| project Message 
| take 1
};    
union withsource="TempTableName" Query1, Query2