azure-data-explorer - Kusto - 如果其他匹配正则表达式

Question

如何将以下 Splunk 查询转换为 Kusto Pls

| eval result=if(Match(Status,"Success|Passed"), "succeeded","failed")

我在 Kusto 中尝试使用下面的方法，但它不起作用 | extend result = case(Status matches regex ("Success", "Passed"), "succeeded", "failed")

谢谢。

Answer 1

你可以试试这个：

T
| extend result = case(Status contains "Success" or Status contains "Passed", "succeeded", "failed")

如果已知“Success”和“Passed”是源数据中的术语，则应将“contains”替换为“has”；和 id 已知它们是整个字符串，您可以改用“in()”或“in~()”。

请参阅：https ://docs.microsoft.com/en-us/azure/data-explorer/kusto/query/datatypes-string-operators