KQL生成数组无法索引？如何按Action分类获取EventLogs样本？

问题描述 #

我原本写了一段KQL查询来提取Action列的唯一值：

let Actions = EventLogs
| distinct DeviceVendor  // 注：这里存在笔误，实际要提取Action列唯一值需改为`distinct Action`
| summarize action = make_list(Action);

这段查询能生成包含Action唯一值的数组，但无法通过Actions[0]这类索引方式直接访问元素，输出结果示例如下：

["Action_1","Action_2","Action_3","Action_4"]

我的需求是为每个Action类别获取5条样本结果，原本计划通过索引逐个查询，比如：

EventLogs
| where Action == Actions[0]
| take 5

EventLogs
| where Action == Actions[1]
| take 5

现在需要找到让数组支持索引的方法，或是更高效的实现方案。

解决方案 #

方案1：让数组支持索引访问

如果一定要用数组索引的方式，可通过toscalar()函数将列表转换为标量数组，同时确保查询仅返回一行结果（避免数组嵌套）：

// 修正后的Actions变量定义
let Actions = toscalar(EventLogs
| distinct Action
| summarize make_list(Action));

// 现在可直接通过索引访问数组元素
EventLogs
| where Action == Actions[0]
| take 5

定义完成后，Actions会成为可索引的标量数组，能直接用Actions[0]、Actions[1]等方式调用。

方案2：批量获取样本（推荐）

手动逐个索引查询效率低下，推荐直接用KQL的分组取数语法，一次性获取所有Action类别的样本：

方式A：按Action分组取最新5条（按指定字段排序）

EventLogs
| top 5 by Timestamp partition by Action

这里的Timestamp可替换为你需要的排序字段（比如事件ID、优先级等），每组Action会返回排序后的前5条数据。

方式B：随机抽取每组5条样本

如果不需要排序，仅需随机抽取每组的5条数据，可使用take_any()函数：

EventLogs
| summarize sample = take_any(5, *) by Action

这条查询会按Action分组，每组返回5条随机样本，结果将样本数据嵌套在sample列中，可展开查看详细内容。

内容的提问来源于stack exchange，提问作者Stephanos B.