dedup
Verwenden Sie den Befehl dedup, um Ergebnisse zu entfernen, die eine identische Kombination von Feldwerten basierend auf der Suchreihenfolge enthalten, die mit dem Befehl sort generiert wurde.
Syntax
dedup <dedup_options> <field_name> [, <field_name>, ...]Parameter
In der folgenden Tabelle sind die in diesem Befehl verwendeten Parameter sowie deren Beschreibungen aufgeführt.
| Parameter | Beschreibung |
|---|---|
|
|
Geben Sie das Feld an, dessen Werte auf Duplikate geprüft werden müssen. |
|
|
Syntax: [count = <count>][includenulls = [true|false]] [consecutive = [true|false]]
|
Mit der folgenden Abfrage werden Logs nach jeder eindeutigen Kombination aus Clienthostort und IP gruppiert, die Summe der Inhaltsgröße für jede Gruppe berechnet, jede Gruppe nach absteigender Reihenfolge der Inhaltsgröße sortiert und schließlich doppelte Zeilen für einen Clienthostort entfernt. Dadurch werden nur die Zeilen beibehalten, die der höchsten Inhaltsgröße für jeden Clienthostort entsprechen:
* | stats sum('Content Size') as 'Content Size' by 'Client Host City', 'Source IP'
| sort -'Content Size'
| dedup 'Client Host City'
Bei der obigen Abfrage enthält die resultierende Datensatztabelle die drei Spalten Client Host City, Source IP und Content Size.
Wenn Sie die Option dedup count = 2 angeben, sind 2 Zeilen verfügbar, die denselben Wert Client Host City aufweisen.
Wenn Sie die Option dedup includenulls = true angeben, werden diese Zeilen eingeschlossen, wobei der Wert Client Host City null ist.
Wenn Sie die Option dedup consecutive = true angeben, werden nur die Zeilen entfernt, bei denen die aufeinander folgenden Werte von Client Host City identisch sind.