조인 연산자 사용

• 7분

조인 연산자 두 테이블의 행을 병합하여 각 테이블에서 지정된 열의 값과 일치하는 항목을 찾는 방식으로 새 테이블을 생성합니다.

Syntax

LeftTable | 특성에 조인[JoinParameters](RightTable)

SecurityEvent 
| where EventID == "4624" 
| summarize LogOnCount=count() by EventID, Account 
| project LogOnCount, Account 
| join kind = inner (
     SecurityEvent 
     | where EventID == "4634" 
     | summarize LogOffCount=count() by EventID, Account 
     | project LogOffCount, Account 
) on Account

조인에서 지정된 첫 번째 테이블은 왼쪽 테이블로 간주됩니다. 조인 키워드 뒤의 테이블은 오른쪽 테이블입니다. 테이블의 열은 참조하는 테이블 열을 구분하기 위해 $left.Column 및 $right.Column이(가) 지정됩니다.

테이블을 조인할 때는 조인 특성을 사용하여 조인 동작을 결정합니다. 조인 특성에 따라 왼쪽과 오른쪽에 있는 레코드의 영향을 이해하는 것이 중요합니다. 아래 그림은 다른 데이터 세트에 일치하는 레코드가 있거나 없는 경우 어떤 레코드가 유지되는지 보여 줍니다. 오른쪽에 일치하는 레코드가 있는 경우 내부 조인은 왼쪽에 있는 레코드만 표시합니다. 오른쪽에는 왼쪽 레코드도 필요합니다.