parse-kv 运算符

适用于：✅Azure 数据资源管理器✅Azure Monitor✅Microsoft Sentinel

从字符串表达式中提取结构化信息，并以键/值形式表示该信息。

支持以下提取模式：

• 指定的分隔符：基于指定分隔符进行提取，这些分隔符指示键/值和对是如何相互分隔的。
• 非指定的分隔符：提取无需指定分隔符。 任何非字母数字的字符都被视为分隔符。
• 正则表达式：基于正则表达式进行提取。

语法

指定的分隔符

T|parse-kv表达as(KeysList)with(pair_delimiter=PairDelimiter,kv_delimiter=KvDelimiter [,quote=QuoteChars ...[,escape=EscapeChar ...]][,greedy=true] )

非指定的分隔符

T|parse-kv表达as(KeysList)with( [quote=QuoteChars ...[,escape=EscapeChar ...]] )

正则表达式

T|parse-kv表达as(KeysList)with(regex=RegexPattern))

详细了解语法约定。

参数

返回

原始输入表格表达式 T，使用每个要提取的指定键的列进行扩展。

示例

本节中的示例演示如何使用语法帮助你入门。

使用定义完善的分隔符进行提取

在此查询中，键和值由定义完善的分隔符分隔。 这些分隔符是逗号和冒号字符。

print str="ThreadId:458745723, Machine:Node001, Text: The service is up, Level: Info"
| parse-kv str as (Text: string, ThreadId:long, Machine: string) with (pair_delimiter=',', kv_delimiter=':')
| project-away str

输出

使用值引用进行提取

有时，键名或值用引号括起来，这使值本身可以包含分隔符字符。 下面的例子展示了如何使用 quote 参数提取此类值。

print str='src=10.1.1.123 dst=10.1.1.124 bytes=125 failure="connection aborted" "event time"=2021-01-01T10:00:54'
| parse-kv str as (['event time']:datetime, src:string, dst:string, bytes:long, failure:string) with (pair_delimiter=' ', kv_delimiter='=', quote='"')
| project-away str

输出

此查询使用不同的左引号和右引号：

print str='src=10.1.1.123 dst=10.1.1.124 bytes=125 failure=(connection aborted) (event time)=(2021-01-01 10:00:54)'
| parse-kv str as (['event time']:datetime, src:string, dst:string, bytes:long, failure:string) with (pair_delimiter=' ', kv_delimiter='=', quote='()')
| project-away str

输出

值本身可能包含正确转义的引号字符，如以下示例所示：

print str='src=10.1.1.123 dst=10.1.1.124 bytes=125 failure="the remote host sent \\"bye!\\"" time=2021-01-01T10:00:54'
| parse-kv str as (['time']:datetime, src:string, dst:string, bytes:long, failure:string) with (pair_delimiter=' ', kv_delimiter='=', quote='"', escape='\\')
| project-away str

输出

在贪婪模式下提取

在某些情况下，不带引号的值可能包含对分隔符。 在这种情况下，使用 greedy 模式指示运算符在查找值结尾时扫描直到下一个键出现（或字符串结尾）。

以下示例比较了运算符在指定和不指定 greedy 模式的情况下的工作方式：

print str='name=John Doe phone=555 5555 city=New York'
| parse-kv str as (name:string, phone:string, city:string) with (pair_delimiter=' ', kv_delimiter='=')
| project-away str

输出

print str='name=John Doe phone=555 5555 city=New York'
| parse-kv str as (name:string, phone:string, city:string) with (pair_delimiter=' ', kv_delimiter='=', greedy=true)
| project-away str

输出

使用定义不完善的分隔符进行提取

在以下示例中，任何非字母数字的字符都被视为有效的分隔符：

print str="2021-01-01T10:00:34 [INFO] ThreadId:458745723, Machine:Node001, Text: Started"
| parse-kv str as (Text: string, ThreadId:long, Machine: string)
| project-away str

输出

在此模式下允许使用引用和转义的值，如以下示例所示：

print str="2021-01-01T10:00:34 [INFO] ThreadId:458745723, Machine:Node001, Text: 'The service \\' is up'"
| parse-kv str as (Text: string, ThreadId:long, Machine: string) with (quote="'", escape='\\')
| project-away str

输出

使用正则表达式进行提取

如果没有分隔符定义足够多的文本结构，则基于正则表达式的提取可能很有用。

print str=@'["referer url: https://hostname.com/redirect?dest=/?h=1234", "request url: https://hostname.com/?h=1234", "advertiser id: 24fefbca-cf27-4d62-a623-249c2ad30c73"]'
| parse-kv str as (['referer url']:string, ['request url']:string, ['advertiser id']: guid) with (regex=@'"([\w ]+)\s*:\s*([^"]*)"')
| project-away str

输出