在 Log Analytics 中按组获取最新的日志条目

Question

我在 Log Analytics 中有很多计算机数据，我想通过计算机名称获得最新的检测信号。

例如这个自定义日志：

HistoryId	ComputerName	Heartbeat
1	DESKTOP-1	2020.02.01 23:32:31
2	DESKTOP-2	2020.02.01 13:32:11
3	DESKTOP-11	2020.02.01 22:32:00
4	DESKTOP-2	2020.01.23 21:32:11
5	DESKTOP-4	2020.02.01 22:32:11
6	DESKTOP-2	2020.01.11 09:32:11

结果是这样的：

DESKTOP-1：2020.02.01 23:32:31

DESKTOP-2：2020.02.0113:32:11

DESKTOP-4：2020.02.0122:32:11

DESKTOP-11：2020.02.01 22:32:00

我认为 summarize 和 arg_max 可能会告诉我方向，但不是。

Answer 1

使用 summarize arg_max(Heartbeat, *) by ComputerName 应该会给你想要的结果

datatable(Id:int, ComputerName:string, Heartbeat:datetime)
[
    1, 'DESKTOP-1', datetime(2020.02.01 23:32:31),
    2, 'DESKTOP-2', datetime(2020.02.01 13:32:11),
    3, 'DESKTOP-11',datetime(2020.02.01 22:32:00),
    4, 'DESKTOP-2', datetime(2020.01.23 21:32:11),
    5, 'DESKTOP-4', datetime(2020.02.01 22:32:11),
    6, 'DESKTOP-2', datetime(2020.01.11 09:32:11),
]
| summarize arg_max(Heartbeat, *) by ComputerName

在 Log Analytics 中按组获取最新的日志条目

Get the latest log entry by group in Log Analytics

azure-log-analytics

kql