13 октября 2026
ID 295026
Использование набора функций enrich в SQL-запросах
Набор функций enrich (см. таблицу ниже) применяется в блоке SELECT SQL-запроса для обогащения результатов.
При использовании этого набора функций вы не можете группировать события по обогащенным полям.
Обогащаемые функциями виджеты и отчеты должны принадлежать не более чем одному тенанту.
Значения полей актива, которые указываются в SQL-запросах, являются регистрозависимыми.
Описание набора функций enrich
Функция | Поле события | Поле актива | Описание |
|---|---|---|---|
|
|
| Позволяет обогатить результат запроса полями актива на основании указанного в функции идентификатора. Пример enrich_assets(DeviceAssetID, name) |
|
|
| Позволяет обогатить результат запроса полями учетной записи на основании указанного в функции идентификатора. Пример enrich_account(SourceAccountID, name) Функция доступна только для тенантов, у которых включено обогащение с помощью LDAP. |
| Любое | – | Позволяет обогатить результат запроса значениями из словаря с типом Таблица на основании полей событий в ответе от кластера ClickHouse. Пример enrich_table('Main/some-table', [DeviceProduct], 'value') Ключевой может быть только один столбец таблицы, но ключ записи может быть составным. Пример enrich_table('Main/Dictionary', [BytesOut|BytesIn], 'value2') Функция |
| Любое | — | Позволяет обогатить результат запроса значениями из словаря с типом Словарь на основании полей событий в ответе от кластера ClickHouse. Пример 1 enrich_dictionary('Main/some-dict', [SourceAddress] Пример 2 enrich_dictionary('Main/some-dict', [SourceAddress, DeviceAddress]) Вы можете посмотреть путь до словаря в разделе Ресурсы → Словари. |
Вы можете задавать функцию enrich при ручном создании SQL-запросов.
Примеры запросов с функцией enrich:
Все события таблицы events с полями событий Name и Message, а также с полями актива macAddress и osBuild для обогащения результата данными актива. Количество отображаемых в таблице строк – 250.
SELECT Name,
Message,
enrich_assets(DeviceAssetID, macAddress),
enrich_assets(DeviceAssetID, osBuild)
FROM `events`
WHERE DeviceAssetID != ''
LIMIT 250
Все события таблицы events с полями событий SourceUserName и SourceAddress, а также со значениями поля mobile для обогащения результата данными учетной записи. Количество отображаемых в таблице строк – 10.
SELECT SourceUserName,
SourceAddress,
enrich_accounts(SourceAccountID, mobile) as mobile
FROM `events`
WHERE SourceAccountID != ''
LIMIT 10
Все события таблицы events с полями событий DeviceProduct со значениями из таблицы Main/[OOTB] Linux. Auditd record types. Отсортированы по столбцу Timestamp в порядке убывания. Количество отображаемых в таблице строк – 1000.
SELECT DeviceProduct,
enrich_table('Main/[OOTB] Linux. Auditd record types', [DeviceProduct], 'Description') as HTTP
FROM `events` WHERE Type!=4
LIMIT 1000
Все события таблицы events с полями событий DeviceAction со значениями из словаря Main/[OOTB] KEDR. Количество отображаемых в таблице строк – 255.
SELECT DeviceAction,
enrich_dictionary('Main/[OOTB] KEDR. AccountType', [BytesOut]) as accountType
FROM `events` WHERE Type!=4
LIMIT 255
