在kusto中​​使用parse和mv-expand后如何投影附加列

如何解决在kusto中​​使用parse和mv-expand后如何投影附加列

这是一个字符串列的示例，我想根据字典的键值将此字符串列拆分为多列，如果有更多键，我想将它们分成不同的行。

<column2>: "for each user:[{"id":1,"Publisher":null,"type":0,"Identity":{
"Id":"00000000-0000-0000-0000-000000000000","sid":"134567890"},"roles":[],"permissions":[],"name":"ABC"},{"id":1,"name":"ABC"}]"```

I want to trim initial string "for each user:" and create columns for id,publisher,type,Identity.Id,Identity.sid,roles,permissions,name and since there are two dictionaries in the above sample,I want to insert the second item into a new row.

I also want <column1> in the output

解决方法

print message = ```<column1>: "val",<column2>: "for each user:[{"id":1,"Publisher":null,"type":0,"Identity":{
"Id":"00000000-0000-0000-0000-000000000000","sid":"134567890"},"roles":[],"permissions":[],"name":"ABC"},{"id":1,"name":"ABC"}]"```
| parse message with * '<column1>: "' column1 '"' * '<column2>: "for each user:' dict:dynamic '"'
| mv-expand dict
| project dict.id,dict.publisher,dict.type,dict.Identity.Id,column1 // add the rest of your properties of interest

dict_id	dict_publisher	dict_type	dict_Identity_Id	column1
1		0	00000000-0000-0000-0000-000000000000	val
1		0	00000000-0000-0000-0000-000000000000	val

,

给你：

datatable(Column2: string) [
    'for each user:[{"id":1,"Identity":{"Id":"00000000-0000-0000-0000-000000000000","name":"ABC"}]"'
]
| parse Column2 with 'for each user:' Json:dynamic '"'
| project Json
| mv-expand Json
| evaluate bag_unpack(Json)

结果：

id	身份	姓名	权限	角色	类型
1	{ "Id": "00000000-0000-0000-0000-000000000000", "sid": "134567890" }	ABC	[]	[]	0
1	{ "Id": "00000000-0000-0000-0000-000000000000", "sid": "134567890" }	ABC	[]	[]	0

分步说明：

1. 使用 parse 将您感兴趣的 json 部分提取到名为 Json 的列中
2. 仅投影 Json 列（因为您不关心原始输入字符串）
3. 使用 mv-expand 将 Json 列中的数组拆分为单独的元素（每个元素将获得自己的记录）
4. 使用 evaluate bag_unpack(Json) 为 Json 列中的每个键拥有一个单独的列