如何编写 Kusto 查询以在一张表中获取结果？

Question

我有 2 个 KQL 查询，我想将它们组合起来以将两行显示为一个结果。不仅仅是第一次查询的结果，然后是第二次查询的结果：

R_CL
| where isnotempty(SrcIP_s) 
| project Message 
| take 1;

R_CL
| where isempty(SrcIP_s) 
| project Message 
| take 1

请参阅下面的示例R_L。我想看到 2 行作为结果，一个 SrcIP_s 不为空，第二个 SrcIP_s 为空（在这种情况下，它总是相同的）

let R_CL = datatable ( SrcIP_s:string, Message:string)
["1.1.1.1" ,"one",
"" ,"two",
"2.2.2.2","three",
"3.3.3.3","four"];
R_CL
| project SrcIP_s, Message

Answer 1

一个简单的解决方案是使用 union 运算符，如下所示：

let query1 = R_CL
    | where isnotempty(SrcIP_s) 
    | project Message 
    | take 1;

let query2 = R_CL
    | where isempty(SrcIP_s) 
    | project Message 
    | take 1;

query1
| union query2;

Answer 2

我知道这是一个旧请求 - 但这里有一个使用视图和联合查询的示例查询：

您的两个单独的查询...

R_CL
| where isnotempty(SrcIP_s) 
| project Message 
| take 1;

R_CL
| where isempty(SrcIP_s) 
| project Message 
| take 1

会成为：

let Query1 = view () {
R_CL
| where isnotempty(SrcIP_s) 
| project Message 
| take 1;
};
let Query2 = view () {
R_CL
| where isempty(SrcIP_s) 
| project Message 
| take 1
};    
union withsource="TempTableName" Query1, Query2