多级 json 到 SQL 输出每个元素而不是每行

Question

我正在使用 Microsoft 365 Defender API 来接收所有最近的事件/事件。

我得到一个json文件如下：link to example json

并使用以下脚本尝试将其转换为轻松导入 SQL 服务器： （仅作为测试回显）

# Send the request and get the results.
$response = Invoke-WebRequest -UseBasicParsing -Method Get -Uri $url -Headers $headers -ErrorAction Stop

# Extract the incidents from the results.
$alerts = ($response | ConvertFrom-Json)
$devices = ($response | ConvertFrom-Json ).value.alerts.devices
$entities = ($response | ConvertFrom-Json ).value.alerts.entities

Foreach($row in $alerts){
$IncidentID = $alerts.value.incidentID
$Createdtime = $alerts.value.creationTime
$Status = $alerts.value.status
$Severity = $alerts.value.severity
$Classification = $alerts.value.classification
$IncidentName = $alerts.value.incidentName
$URL = $alerts.incidentUri
$Klant = $afkorting
$Username = $entities.accountname
$device = $devices.deviceDnsName

echo $IncidentID
echo $Createdtime
echo $Status
echo $Severity
echo $Classification
echo $IncidentName
echo $URL
echo $Klant
echo $Username
echo $device
Invoke-Sqlcmd -ServerInstance "SQL.domain.local\MSQL2016" -Database "private" -Username private -Password 'private' -Query "INSERT Into dbo.private ( [IncidentID], [Createdtime], [Status], [Severity], [Classification], [IncidentName], [URL], [Klant], [Username], [device]) VALUES ('$IncidentID', '$Createdtime', '$Status', '$Severity', '$Classification', '$IncidentName', '$URL', '$Klant', '$Username', '$device')"
}

但是，3 次事件的输出如下所示：

事件ID
事件ID
事件ID
创建时间
创建时间
创建时间
状态
状态
状态

所以按元素分组，而不是按 IncidentID 分组。

我找不到获得如下输出的方法：

事件ID
创建时间
状态
严重性
分类
事件名称
网址
克兰特
用户名
设备

我现在通过一个中间步骤“解决”了这个问题，该步骤导出到 CSV 并合并它们并将它们通过管道传输到 SQL，但这太低效了。

Answer 1

将$devices 和$entities 的分辨率移动到循环中，然后使用迭代器变量$row 而不是在循环体内引用all $alerts ：

# Send the request and get the results.
$response = Invoke-WebRequest -UseBasicParsing -Method Get -Uri $url -Headers $headers -ErrorAction Stop

# Extract the incidents from the results.
$alerts = ($response | ConvertFrom-Json)

foreach($row in $alerts){
  $IncidentID     = $row.value.incidentID
  $Createdtime    = $row.value.creationTime
  $Status         = $row.value.status
  $Severity       = $row.value.severity
  $Classification = $row.value.classification
  $IncidentName   = $row.value.incidentName
  $URL            = $row.incidentUri
  $Klant          = $afkorting              # where does `$afkorting` come from?
  $Username       = $row.value.entities.accountname
  $device         = $row.value.devices.deviceDnsName

  # Insert into SQL Server here
}