应用程序洞察分析事件：对表中的行进行分组

Question

所以我正在分析我的用户的事件并按名称分隔它们。这非常有效，但是我指责的问题是某些事件名称是完全相同的行为。例如，如果azure跟踪“已添加扫描：”，则它始终包含文件名“已添加扫描：T-885_J ....”并将其分隔在不同的行中。所以我想弄清楚的是，如何将“添加扫描”之类的多个相同动作“合并”到一行并保持其余部分分开。 我用e试了一下。 G。 “name startswith（”Added“）”，但是我只能合并一行。 如果有人有想法，我将非常感激！ 干杯， Marleen

let added =
   customEvents
    | where timestamp > ago(1d);
added
    | summarize adoc=count(), adli = makelist(name), b = makeset(user_Id) by name
    | extend sumname = substring(adli, 2, 10)
    | project sumname, adoc, adli, b

例如：

Answer 1

一种方法是添加iff或case语句来分解您知道的仅包含所需内容的语句。

因此您可以将事件名称更改为＆＃34;修复＆＃34;他们了。

 | extend name = iff(name startswith("Added scan"), substring(name, 0,10), name)

在这种情况下，如果名称以＆＃34开头;添加了扫描＆＃34;，它将被截断为仅限于此，否则，它将保持不变。

你可以使用extend来＆＃34;覆盖＆＃34;如果需要，可以使用现有字段。

你不能控制遥测的东西吗？如果你是，你应该真正将代码更改为不将所有额外内容放入事件名称中，而是将其放在自定义属性中。如果你不是，你应该与以下人士交谈：）

然后，像用户，流量和渠道等应用程序洞察工具等其他工具可以更好地为您服务。