Группировка KQL с тем же результатом, что и у группы перетаскивания

Question

При использовании функции "Монитор" и "Журнал" в портале Azure вы можете группировать строки, перетаскивая заголовок столбца в определенное поле, проблема в том, что он не сохраняется при нажатии кнопки сохранения.

Как мне написать KQL, который генерирует тот же результат? Суммирование по Column_Name не дает тот же результат.

Answer 1

Функция сохранения сохраняет только содержимое редактора запросов и ничего не сохраняет в области результатов. Я считаю, что использование операторов pack и make-set может генерировать очень близкий вывод к тому, что вы ищете (если я правильно понял). Ниже приведен пример группировки по client_OS и внутренней разбивке по имени и количеству

customEvents
| summarize count() by name, client_OS
| extend p =pack('name', name, 'count', count_) 
| summarize names = make_set(p)  by client_OS

Answer 2

Я считаю, что самое близкое к тому, что вы ожидаете, может быть достигнуто таким образом:

exceptions
| summarize entries = makelist(pack_all()) by operation_Name

Скалярная функция pack_all создает объект из всех доступных столбцов и функции агрегирования makelist возвращает массив JSON всех значений, предоставленных в качестве аргументов.