使用“大于”运算符实现外部联接

如何解决使用“大于”运算符实现外部联接

我正在编写 Kusto 查询以从 AppInsights 返回日志记录事件。我有一个代表“密码重置请求”的自定义事件，后面应该是“密码重置确认”事件。但当然，客户可以多次请求重设密码，即使在同一小时内也是如此。我正在尝试创建一个 Kusto 查询，该查询向我显示所有“密码重置请求”事件的日期/时间，以及随后发生的“密码重置确认”事件的日期/时间。

我使用的是外部联接，因为并非所有客户都会完成密码重置，因此“密码重置已确认”事件是可选的：

customEvents
| where name == "Password Reset Request"
| project CustomerId = tostring(customDimensions.["CustomerId"]),RequestDateTime = timestamp
| join kind = leftouter
    (
    customEvents
    | where name == "Password Reset Confirmed"
    | project CustomerId = tostring(customDimensions.["CustomerId"]),ConfirmDatetime = timestamp
    )
    on CustomerId

问题在于，如果客户请求两次重置密码，我会得到 4 条匹配记录，因为两个“密码重置请求”事件中的每一个都加入了两个“密码重置确认”事件。

我想要做的是用附加条件约束外连接，以便我只选择确认事件在请求事件之后的记录，如下所示：

on CustomerId,$right.ConfirmDatetime > $left.RequestDateTime

但是好像 Kusto 查询语言只支持使用相等运算符的连接条件，没有别的。是否可以实现此查询？我已经看到 this 谈到使用 bin 和 mv-expand 来限制查询连接的时间，但我正在寻找不受时间窗口限制而只是寻找使用“大于”运算符的相应事件。

谢谢。

解决方法

这可以通过在 join 子句后添加过滤器来实现：

customEvents
| where name == "Password Reset Request"
| project CustomerId = tostring(customDimensions.["CustomerId"]),RequestDateTime = timestamp
| join kind = leftouter
    (
    customEvents
    | where name == "Password Reset Confirmed"
    | project CustomerId = tostring(customDimensions.["CustomerId"]),ConfirmDatetime = timestamp
    )
    on CustomerId
| where ConfirmDatetime > RequestDateTime