operatore mv - expand

Sintassi

A | mv-expand [bagexpansion=(bag | array)] [with_itemindex=IndexColumnName] ColumnName [to typeof( Typename)] [, ColumnName ...] [limit Rowlimit]

T | mv-expand [bagexpansion=(bag | array)] Nome = ArrayExpression [to typeof(Nome tipo)] [, [Nome =] ArrayExpression [to typeof(Nome tipo)] ...] [limit Limite riga]

Argomenti

• ColumnName, ArrayExpression: un riferimento di colonna o un'espressione scalare, con un valore di tipo dynamic, che contiene un array o un contenitore di proprietà. I singoli elementi di livello superiore dell'array o del contenitore di proprietà vengono espansi in più record.
  Quando si utilizza ArrayExpression e Name non è uguale ad alcun nome di colonna di input, il valore espanso viene esteso in una nuova colonna nell'output. Altrimenti, il ColumnName esistente viene sostituito.

• Nome : un nome per la nuova colonna.

• Nome tipo: indica il tipo sottostante degli elementi dell'array, che diventa il tipo della colonna prodotta dall'operatore mv-expand . L'operazione di applicazione del tipo è solo cast e non include l'analisi o la conversione del tipo. Gli elementi dell'array che non sono conformi al tipo dichiarato diventeranno valori null .

• RowLimit: il numero massimo di righe generate da ciascuna riga originale. Il valore predefinito è 2147483647.

• IndexColumnNome: Se si specifica with_itemindex , l'output includerà un'altra colonna (denominata IndexColumnName), che contiene l'indice (a partire da 0) dell'elemento della raccolta espansa originale.

Restituisce

Per ogni record nell'input, l'operatore restituisce zero, uno o più record nell'output, come determinato nel seguente modo:

1. Le colonne di input non espanse vengono visualizzate nell'output con il valore originale. Se un singolo record di input viene espanso in più record di output, il valore viene duplicato in tutti i record.

2. Per ogni ColumnName o ArrayExpression espansa, il numero di record di output viene determinato per ciascun valore come spiegato sotto. Per ogni record di input, viene calcolato il numero massimo di record di output. Tutti gli array o i bag di proprietà vengono espansi "in parallelo" in modo che i valori mancanti (se presenti) vengano sostituiti da valori null. Gli elementi vengono espansi in righe nell'ordine in cui appaiono nell'array/bag originale.

3. Se il valore dinamico è null, viene prodotto un singolo record per tale valore (null). Se il valore dinamico è un array vuoto o un contenitore di proprietà, non viene prodotto alcun record per tale valore. Altrimenti, vengono prodotti tanti record quanti sono gli elementi nel valore dinamico.

Le colonne espanse sono di tipo dynamic, a meno che non vengano immesse esplicitamente utilizzando la clausola to typeof() .

Esempi

events 
   | project severity, name, ipv4_addrs=ipv4_addr___value, ipv4_addrs_ctx=ipv4_addr___context, 
       original_time=unixtime_milliseconds_todatetime(original_time),
       src_ip=network_traffic___x_src_ipv4_value[0],
       dst_ip=network_traffic___x_dst_ipv4_value[0]
   | where original_time > ago(24h) and src_ip != dst_ip    
   | take 2 // Only take 2 rows to expand  
   | mv-expand with_itemindex=idx ipv4_addrs, ipv4_addrs_ctx
   | project idx, name, ipv4_addrs, ipv4_addrs_ctx


datatable (a:int, b:dynamic)[1,dynamic({"prop1":"a", "prop2":"b"})]
| mv-expand b 

datatable (a:int, b:dynamic, c:dynamic)[1,dynamic({"prop1":"a", "prop2":"b"}), dynamic([5, 4, 3])]
| mv-expand b, c

datatable (a:int, b:dynamic, c:dynamic)
  [
  1,
  dynamic({"prop1":"a", "prop2":"b"}),
  dynamic([5, 6])
  ]
| mv-expand b
| mv-expand c

datatable (a:string, b:dynamic, c:dynamic)["Constant", dynamic([1,2,3,4]), dynamic([6,7,8,9])]
| mv-expand b, c to typeof(int)
| getschema 

range x from 1 to 4 step 1
| summarize x = make_list(x)
| mv-expand with_itemindex=Index x