dedup

Verwenden Sie den Befehl dedup, um Ergebnisse zu entfernen, die eine identische Kombination von Feldwerten basierend auf der Suchreihenfolge enthalten, die mit dem Befehl sort generiert wurde.

Syntax

dedup <dedup_options> <field_name> [, <field_name>, ...]

Parameter

In der folgenden Tabelle sind die in diesem Befehl verwendeten Parameter sowie deren Beschreibungen aufgeführt.

Parameter Beschreibung

field_name

Geben Sie das Feld an, dessen Werte auf Duplikate geprüft werden müssen.

dedup_options

Syntax:

[count = <count>][includenulls = [true|false]] [consecutive = [true|false]]

count: Gibt die Anzahl der zurückzugebenden Duplikate an. Standardwert ist 1, wenn nicht angegeben.

includenulls: Nehmen Sie Ergebnisse auf, bei denen die dedup-Felder Null sind. Der Standardwert ist false, falls nicht angegeben.

consecutive: Entfernen Sie nur die Ergebnisse mit doppelten Kombinationen aufeinanderfolgender Werte. Der Standardwert ist false, falls nicht angegeben.

Die folgende Abfrage gruppiert Logs nach jeder eindeutigen Kombination aus Clienthostort und IP, berechnet die Summe der Inhaltsgröße für jede Gruppe, sortiert jede Gruppe nach absteigender Reihenfolge der Inhaltsgröße und entfernt schließlich doppelte Zeilen für einen Clienthostort. Dadurch werden nur die Zeilen beibehalten, die der höchsten Inhaltsgröße für jeden Clienthostort entsprechen:

* | stats sum('Content Size') as 'Content Size' by 'Client Host City', 'Source IP'
    | sort -'Content Size'
    | dedup 'Client Host City'

Bei der obigen Abfrage enthält die resultierende Datensatztabelle die drei Spalten Client Host City, Source IP und Content Size.

Wenn Sie die Option dedup count = 2 angeben, sind 2 Zeilen mit demselben Wert von Client Host City verfügbar.

Wenn Sie die Option dedup includenulls = true angeben, werden diese Zeilen eingeschlossen, wobei der Wert Client Host City Null ist.

Wenn Sie die Option dedup consecutive = true angeben, werden nur die Zeilen entfernt, bei denen die aufeinanderfolgenden Werte von Client Host City identisch sind.