Проект Вложенные значения в KQL из целевых ресурсов

если TargetResources имеет тип string, вы можете использовать parse_json(), чтобы сделать его типом dynamic, а затем получить доступ к его свойствам следующим образом:

| extend TargetResources = parse_json(TargetResources)
| project A = tostring(TargetResources.PropertyA),
          B = tolong(TargetResources.PropertyB),
          C = TargetResources.PropertyC

если TargetResources уже имеет тип dynamic, вы можете просто получить доступ к его свойствам, как показано выше, без необходимости вызывать parse_json().

соответствующие темы документации:

• динамический тип данных
• функция parse_json()

например:

print input = '{"key1":1, "key2":"value2", "key3":{"key4":4.4}}'
| extend input = parse_json(input)
| project v1 = tolong(input.key1),
          v2 = tostring(input.key2),
          v4 = todouble(input.key3.key4)

ОБНОВЛЕНИЕ на основе предоставленного образца данных

при работе с массивами вы можете использовать mv-expand или mv-apply для расширения элементов в массивах для дальнейшей обработки.

Примеры:

Примеры:

print TargetResources = dynamic([{
    "id": "xyz",
    "displayName": null,
    "type": "User",
    "userPrincipalName": "ABC",
    "modifiedProperties": [{
            "displayName": "xxxxxx",
            "oldValue": "xxxxx",
            "newValue": "yyyyy"
        },
        {
            "displayName": "xxxxx",
            "oldValue": "[{xxxx}]",
            "newValue": "[{xxxx}]"
        },
        {
            "displayName": "Included Updated Properties",
            "oldValue": null,
            "newValue": "xxxxx"
        },
        {
            "displayName": "TargetId.UserType",
            "oldValue": null,
            "newValue": "\"Member\""
        }
    ],
    "administrativeUnits": []
}])
| mv-expand TargetResources
| project TargetResources.id, TargetResources.userPrincipalName

print TargetResources = dynamic([{
    "id": "xyz",
    "displayName": null,
    "type": "User",
    "userPrincipalName": "ABC",
    "modifiedProperties": [{
            "displayName": "xxxxxx",
            "oldValue": "xxxxx",
            "newValue": "yyyyy"
        },
        {
            "displayName": "xxxxx",
            "oldValue": "[{xxxx}]",
            "newValue": "[{xxxx}]"
        },
        {
            "displayName": "Included Updated Properties",
            "oldValue": null,
            "newValue": "xxxxx"
        },
        {
            "displayName": "TargetId.UserType",
            "oldValue": null,
            "newValue": "\"Member\""
        }
    ],
    "administrativeUnits": []
}])
| mv-expand TargetResources
| mv-expand TargetResources.modifiedProperties
| project TargetResources_modifiedProperties