在 KQL 中解析 Json 数组

Question

Json 文本未在 KQL 中正确解析。 我也尝试使用 parse_json ，但这也不起作用。 我确实确认扩展 AllProperties 保存了正确的数据。

DeviceInfo
| where RegistryDeviceTag == "Standard"
| extend AllProperties = todynamic(LoggedOnUsers)
| project DeviceName, Users = AllProperties["Username"]

输出为我提供了正确的 DeviceName，但没有在 Username 字段中提供任何数据。

Answer 1

（基于您在评论中提供的示例输入）

如果“LoggedOnUsers”数组只包含一个条目，您可以执行以下操作：

print input = '[{"UserName":"TheUserName","DomainName":"TheDomainName","Sid":"TheSID#"}]'
| project UserName = parse_json(input)[0].UserName

否则，您可以使用mv-expand或mv-apply ：

print input = '[{"UserName":"TheUserName","DomainName":"TheDomainName","Sid":"TheSID#"}]'
| project parse_json(input)
| mv-apply input on (
    project UserName = input.UserName
)