KQL时区设置问题：查询Kusto数据时区并调整为UTC匹配Splunk数据

Kusto 存储的datetime类型本身不携带时区属性，日常使用中感知到的「默认时区」是集群层面配置的默认时区，仅影响时间函数的解析、展示逻辑，和数据存储无关。
你可以直接运行以下查询获取当前集群的默认时区：

print cluster_default_timezone()

如果需要确认表中存储的时间是否为UTC，可以取最新时间戳和当前UTC时间对比验证：

// 替换为你的表名和时间列名
YourTableName
| summarize max_ts = max(TimestampColumn)
| extend current_utc = utc_now()

如果max_ts和current_utc的差值和数据延迟匹配，说明存储的是UTC时间。

分两种场景实现，可根据你的需求选择：

查询侧临时适配（无需修改存量数据） #

所有时间计算、筛选逻辑强制指定UTC时区即可：

• 时间筛选时，将输入的本地时间转成UTC后再做匹配：

  // 示例：筛选北京时间2024-01-01全天的UTC时间数据
  let start_utc = datetime_local_to_utc(datetime(2024-01-01 00:00:00), "China Standard Time");
  let end_utc = datetime_local_to_utc(datetime(2024-01-02 00:00:00), "China Standard Time");
  YourTableName
  | where TimestampColumn between (start_utc .. end_utc)
  

• 如果Kusto表当前存储的是本地时间，查询时统一转成UTC再和Splunk数据匹配：

  YourTableName
  | extend timestamp_utc = datetime_local_to_utc(TimestampColumn, "你的集群默认时区")
  // 后续用timestamp_utc和Splunk的UTC时间做关联、统计
  

表/集群层面长期适配（推荐生产环境使用） #

从根源消除时区差异，无需每次查询额外处理：

1. 写入链路统一转UTC：修改数据摄入的转换逻辑，所有写入Kusto的时间值统一转成UTC后再存储，和Splunk的存储规则完全对齐。
2. 存量数据修正：如果现有表存储的是本地时间，可通过更新命令将时间列批量转换为UTC：

   // 示例：将TimestampColumn从东八区本地时间转成UTC
   .alter-merge table YourTableName policy update @'[{"IsEnabled": true, "Source": "YourTableName", "Query": "YourTableName | extend TimestampColumn = datetime_local_to_utc(TimestampColumn, \"China Standard Time\")", "IsTransactional": true}]'
   

3. 调整集群默认时区：如果整个集群的业务都使用UTC，可联系管理员将集群默认时区设置为UTC，后续所有未指定时区的时间函数默认都会按UTC计算。

内容的提问来源于stack exchange，提问作者Milo_Dev