使用 Kusto 查询语言在运行时将表列表动态传递给“查找”运算符

如何解决使用 Kusto 查询语言在运行时将表列表动态传递给“查找”运算符

我有一个 where 条件，我想在我的 Azure 数据资源管理器数据库中运行一组表。我发现 Kusto 查询中的“Find in ()”运算符非常有用，当我按预期传递表列表时工作正常。

find withsource=DataType in (AppServiceFileAuditLogs,AzureDiagnostics) 
where TimeGenerated > ago(31d) 
project _ResourceId,_BilledSize,_IsBillable
| where _IsBillable == true
| summarize BillableDataBytes = sum(_BilledSize) by _ResourceId,DataType | sort by BillableDataBytes nulls last

但是，在我的场景中，我想在运行时使用另一个查询来决定表的列表。

Usage
| where TimeGenerated > ago(32d)
| where StartTime >= startofday(ago(31d)) and EndTime < startofday(Now())
| where IsBillable == true
| summarize BillableDataGB = sum(Quantity) / 1000 by DataType
| sort by BillableDataGB desc
|project DataType

find withsource=DataType in (<pass resulting table expression from above query here as comma separated list of tables>) 
where TimeGenerated > ago(31d) 
project _ResourceId,DataType | sort by BillableDataBytes nulls last

找到了一些使用通配符传递数据库或集群中所有表的示例，但这不适合我的场景。有人可以帮我吗。

解决方法

这是实现此目的的一种方法：

let Tables = toscalar(Usage
| where TimeGenerated > ago(32d)
| where StartTime >= startofday(ago(31d)) and EndTime < startofday(now())
| where IsBillable == true
| summarize by DataType);
union withsource=T *
| where T in (Tables)
| count  

注意 toscalar 表达式有一个意义，它预先计算了表列表并优化了联合表达式上的过滤器。我还更新了您的查询以避免不必要的工作。