azure - KQL group by 与拖放组功能的结果相同

Question

在 Azure 门户中使用 Monitor、Log 功能时，您可以通过将列标题拖放到某个框中来对行进行分组，问题是按下保存按钮时不会保存。

如何编写生成相同结果的 KQL？按 Column_Name 进行汇总不会产生相同的结果。

Answer 1

保存功能仅保存查询编辑器内容，不保存结果窗格中的任何内容。我相信使用 pack 和 make-set 运算符可以生成与您正在寻找的内容非常接近的输出（如果我理解正确的话）。请参见下面按 client_OS 分组的示例以及按名称和计数进行的内部细分

customEvents
| summarize count() by name, client_OS
| extend p =pack('name', name, 'count', count_) 
| summarize names = make_set(p)  by client_OS

Answer 2

我相信可以通过这种方式实现最接近您期望的结果：

exceptions
| summarize entries = make_list(pack_all()) by operation_Name

标量函数pack_all从所有可用列创建一个对象，聚合函数make_list返回作为其参数提供的所有值的 JSON 数组。

编辑：该makelist功能已弃用，请make_list改用。