查找两个表之间缺少的值

Question

kql的新手。有一个非常基本的问题。

说-我有两个表-Table1，Table2，其中有一个名为id的列。

我正在寻找的是一个查询-查找表1中存在但表2中没有的ID？

我看到了set_differnce，卡住的地方是生成要传递给它的数组。

谢谢。

Answer 1

您可以考虑使用leftanti / rightanti join或!in。

示例：

这将返回带有列x的表，其值为1,4,7,22,25,28

let T1 = range x from 1 to 30 step 3;
let T2 = range y from 10 to 20 step 1;
T1
| join kind=leftanti T2 on $left.x == $right.y

也是这样：

let T1 = range x from 1 to 30 step 3;
let T2 = range y from 10 to 20 step 1;
T1
| where x !in((T2 | project y))