执行表结果中的 Kusto 查询

如何解决执行表结果中的 Kusto 查询

我有一个表，其中包含许多其他列，例如用户名、主机名等。其中一列还存储了某个查询。

用户查询表

用户名	主机名	自定义查询
山姆	xyz	some_query_1
大卫	ABC	some_query_2
摇滚	mno	some_query_3
嗯	学习	some_query_4

当我运行 kql 时，例如：

UserQueryTable | where Username == "Sam"

我明白了：

用户名	主机名	自定义查询
山姆	xyz	some_query_1

注意CustomQuery 下的“some_query_1”值？这是一个实际的 KQL 查询，也是表结果的一部分。我想找到一种方法，可以在我的 KQL“UserQueryTable | where Username == “Sam””之后检索“some_query_1”并执行它

CustomQuery 查询将为我提供有关警报的其他信息，我需要从表中获取该查询字符串并执行它。 表格中的 CustomQuery 看起来像这样

let alertedEvent = datatable(compressedRec: string)
[' -----redacted----7ziphQG4Di05dfsdfdsgdgS6uThq4H5fclBccCH6wW8M//sdfgty==']
| extend raw = todynamic(zlib_decompress_from_base64_string(compressedRec)) | evaluate bag_unpack(raw) | project-away compressedRec;
alertedEvent

所以基本上第一个查询返回一个结果，其中一个返回的列本身包含查询，我希望能够运行返回的查询。 Query_ == CustomQuery

我尝试使用用户定义的函数，但没有想出可行的方法。请帮忙！

解决方法

如果我正确理解了您的问题，那么您有一个查询，该查询返回一个查询列表，并希望从实际运行的这个集合中获取一个查询列表作为结果。

在这种情况下，您可以：

1. 使用 .show queries 命令返回在您的集群上执行的查询列表（阅读更多信息 here）。请注意，.show queries 将返回您运行的查询列表，或者 - 如果您具有数据库管理员权限 - 任何人在数据库上运行的查询列表。
2. 在您的集群上启用诊断设置，并发送查询日志（阅读更多信息 here）。这会将在您的集群上执行的所有查询发送到您选择的日志分析工作区。

然后，您可以使用这些选项中的任何一个并连接到您的表以确定实际执行了哪些查询。例如，使用第一个选项：

.show queries | join datatable (Query_: string)
        [
            "Table | where somecol contains 1","Table | where somecol contains 2"
        ] on $left.Text == $right.Query_