在 KQL 中解析 Json 數組

Question

Json 文本未在 KQL 中正確解析。 我也嘗試使用 parse_json ，但這也不起作用。 我確實確認擴展 AllProperties 保存了正確的數據。

DeviceInfo
| where RegistryDeviceTag == "Standard"
| extend AllProperties = todynamic(LoggedOnUsers)
| project DeviceName, Users = AllProperties["Username"]

輸出為我提供了正確的 DeviceName，但沒有在 Username 字段中提供任何數據。

Answer 1

（基於您在評論中提供的示例輸入）

如果“LoggedOnUsers”數組只包含一個條目，您可以執行以下操作：

print input = '[{"UserName":"TheUserName","DomainName":"TheDomainName","Sid":"TheSID#"}]'
| project UserName = parse_json(input)[0].UserName

否則，您可以使用mv-expand或mv-apply ：

print input = '[{"UserName":"TheUserName","DomainName":"TheDomainName","Sid":"TheSID#"}]'
| project parse_json(input)
| mv-apply input on (
    project UserName = input.UserName
)