我们的异常有一个自定义字段:customDimensions.ActivityId
exceptions | where isnotnull(customDimensions.ActivityId) | extend actid = tostring(customDimensions.ActivityId) | distinct actid
我想获取每个活动id的最新异常。
exceptions | extend actid = tostring(customDimensions.ActivityId) | where isnotnull(actid) | summarize arg_min(timestamp, *) by actid | order by timestamp desc
因为我实际上希望第一条消息在活动期间出现异常。
根据 this doc 关于arg\u max()聚合,这应该和
exceptions | where isnotnull(customDimensions.ActivityId) | extend actid = tostring(customDimensions.ActivityId) | summarize arg_max(timestamp, *) by actid