Azure Data Explorer导入空格分隔日志文件的Schema识别及导入问题

一、核心问题根源 #

Windows服务日志（IIS/POP3/IMAP）的空格分隔并非简单的单空格拆分，部分字段（比如IIS的cs(User-Agent)）本身包含空格，这直接导致ADX的自动Schema推断失效——系统会把整行当成单列数据。

二、快速解决：导入后用KQL解析单列数据 #

如果已经导入了单列数据，直接用KQL的parse或parse_csv命令拆分字段：

1. 针对无引号包裹字段的日志 #

假设单列字段名为RawData，以IIS标准日志为例：

YourLogTable
| parse RawData with date:datetime time:datetime s_ip:string cs_method:string cs_uri_stem:string cs_uri_query:string s_port:int cs_username:string c_ip:string cs_User_Agent:string cs_referer:string sc_status:int sc_substatus:int sc_win32_status:int time_taken:int

2. 针对带引号包裹字段的日志 #

如果日志里有带引号的多空格字段，用parse_csv指定空格为分隔符：

YourLogTable
| extend ParsedColumns = parse_csv(RawData, ' ')
| project 
    date = todatetime(strcat(ParsedColumns[0], " ", ParsedColumns[1])),
    s_ip = ParsedColumns[2],
    cs_method = ParsedColumns[3],
    cs_uri_stem = ParsedColumns[4],
    sc_status = toint(ParsedColumns[11])
    // 按需添加其他字段映射

三、从源头规避：预处理日志格式 #

用Windows自带的logparser工具把空格分隔日志转成CSV格式，彻底解决字段含空格的问题：

# 转换IIS日志为CSV
logparser "SELECT * INTO iis_logs.csv FROM ex*.log" -i:IISW3C -o:CSV

# 转换POP3/IMAP日志（如果是W3C格式）
logparser "SELECT * INTO pop3_logs.csv FROM pop3.log" -i:W3C -o:CSV

转成CSV后，ADX能自动准确识别多列Schema。

四、预创建表后导入无数据的修复方法 #

1. 严格匹配字段类型：预创建表时，字段类型必须和日志数据完全对应，比如端口、状态码要设为int，时间设为datetime。示例IIS表创建语句：

.create table IISLogs (
    date:datetime,
    time:datetime,
    s_ip:string,
    cs_method:string,
    cs_uri_stem:string,
    cs_uri_query:string,
    s_port:int,
    cs_username:string,
    c_ip:string,
    cs_User_Agent:string,
    cs_referer:string,
    sc_status:int,
    sc_substatus:int,
    sc_win32_status:int,
    time_taken:int
)

2. 手动配置导入映射：在ADX导入向导的「映射」步骤，手动添加字段映射，指定分隔符为空格，同时设置「跳过前N行」以忽略表头/元数据。
3. 检查编码格式：Windows日志默认是UTF-16，导入时需选对编码，否则会出现乱码或无数据的情况。

五、Log Explorer（Log Analytics）的适配方案 #

除了KQL解析，还可以用「自定义日志」功能：上传日志样本后，手动指定空格为分隔符，标记带引号的多空格字段，系统会自动生成解析规则。

内容的提问来源于stack exchange，提问作者Udar