count_distinct tif () (集約関数)

構文

count_distinctif (Expr, 述部)

引数

返品

Predicate が trueに評価されるすべてのレコードについて、要約グループごとの Expr の固有値の数を示す長整数値。

例

この例は、各固有イベント nameに関連付けられている個別の src_ip の数を示しています。 この場合、名前に Group Policyというテキストが含まれている場合にのみカウントします。 その他のレコードは引き続き処理され、結果に追加されますが、集約は実行されません。

events 
    | project name, severity, original_time, src_ip
    | where original_time > ago(24h)
    | where severity > 6 and isnotempty(name) and isnotempty(src_ip)
    | summarize SrcIpCount=count_distinctif(src_ip, name contains "Group Policy") by Name=name
    | order by SrcIpCount desc
    | take 10