演算子を含む

パフォーマンスのヒント

パフォーマンスは、検索のタイプとデータの構造によって異なります。

パフォーマンスを向上させるには、オペレーターの大/小文字を区別するバージョン (例えば、 containsではなく contains_cs) を試してください。

フィールドの先頭または末尾に非英数字文字でバインドされたシンボルまたは英数字ワードの存在をテストする場合は、パフォーマンスを向上させるために、 has または inを試してください。 また、 has は contains、 startswith、または endswithよりも速く動作しますが、正確ではなく、不要なレコードを提供する可能性があります。

構文

T | where col contains (式)

引数

• T -レコードがフィルタリングされる表形式の入力。
• col -フィルタリングする列。
• expression -スカラーまたはリテラル式。

返品

述部が trueである T 内の行。

例

events
    | project original_time, data_source_name, name, user_id
    //--- Search for the last 5 mins of data    
    | where original_time > now(-5m)
    // Look for events with sucessful audit
    | where name contains "success audit" 
    | take 2