Zmiany w poleceniu CMPivot

Artykuł
04/04/2023

Dotyczy: programu Configuration Manager (bieżąca gałąź)

Skorzystaj z następujących informacji, aby dowiedzieć się więcej o zmianach wprowadzonych w programie CMPivot między wersjami Configuration Manager:

Zmiany cmpivot w wersji 2107

Uproszczone wymagania dotyczące uprawnień cmpivot

Uprościliśmy wymagania dotyczące uprawnień cmpivot. Nowe uprawnienia mają zastosowanie do autonomicznych narzędzi CMPivot i CMPivot w konsoli lokalnej. Wprowadzono następujące zmiany:

Narzędzie CMPivot nie wymaga już uprawnień do odczytu skryptów programu SMS
- Dostawca programu SMS nadal wymaga tego uprawnienia, jeśli usługa administracyjna powróci do niej z powodu błędu 503 (Usługa niedostępna), jak pokazano w pliku CMPivot.log.
Domyślne uprawnienie zakresu nie jest wymagane.

Ogólne ulepszenia narzędzia CMPivot

Wprowadziliśmy następujące ulepszenia narzędzia CMPivot:

Dodano agregatory maxif i minif , których można używać z operatorem podsumowania
Ulepszenia dotyczące sugestii automatycznego uzupełniania zapytań w edytorze zapytań
Dodano wartość klucza do jednostki rejestru
Dodano nową jednostkę RegistryKey, która zwraca wszystkie klucze rejestru pasujące do danego wyrażenia

Aby przejrzeć różnicę między jednostkami Registry i RegistryKey, można użyć następujących przykładów:

// Change the path to match your desired registry hive query

Registry('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')
RegistryKey('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')

RegistryKey('hklm:\SOFTWARE\Microsoft\SMS\*')
Registry('hklm:\SOFTWARE\Microsoft\SMS\*')

Zmiany cmpivot w wersji 2103

Począwszy od wersji 2103, wprowadzono następujące ulepszenia dla narzędzia CMPivot:

Komunikat ostrzegawczy i opcja eksportowania danych CMPivot, gdy wyniki są zbyt duże
Uzyskiwanie dostępu do najważniejszych zapytań udostępnionych w centrum Community Hub z poziomu narzędzia CMPivot

Komunikat ostrzegawczy i opcja eksportowania danych CMPivot, gdy wyniki są zbyt duże

Gdy wyniki są zbyt duże, zostanie wyświetlony następujący komunikat ostrzegawczy:

Zapytanie zwróciło dużą liczbę wyników. Zawęź wyniki, modyfikując zapytanie, lub wybierz ten baner, aby wyeksportować wyniki.

Ten komunikat występuje w następujących scenariuszach:

Gdy wyniki są większe niż 100 000 komórek.
- Na przykład osiągnięto próg ostrzeżenia dla 10 000 urządzeń (wierszy) z 10 kolumnami danych jednostki.
- W takim przypadku zostanie wyświetlona opcja eksportowania wyników do .csv pliku
W przypadku żądania zwrócenia więcej niż 128 KB danych z danego urządzenia.
- Na przykład CcmLog('ciagent', 120d) zapytania rejestrują wyniki i prawdopodobnie przekraczają limit 128 KB.
- Gdy wyniki mają więcej niż 128 KB, otrzymasz ostrzeżenie, ale nie możesz ich wyeksportować, ponieważ nie zostaną one zwrócone z klienta na serwer.

Uzyskiwanie dostępu do najważniejszych zapytań udostępnionych w centrum Community Hub z poziomu narzędzia CMPivot

Począwszy od wersji 2103, możesz uzyskać dostęp do najważniejszych zapytań CMPivot udostępnionych w centrum Community Hub z lokalnego programu CMPivot. Korzystając ze wstępnie utworzonych zapytań CMPivot udostępnianych przez szerszą społeczność, użytkownicy programu CMPivot uzyskują dostęp do szerszej gamy zapytań. Lokalny program CMPivot uzyskuje dostęp do centrum Community Hub i zwraca listę najczęściej pobieranych zapytań CMPivot. Użytkownicy mogą przeglądać najważniejsze zapytania, dostosowywać je, a następnie uruchamiać na żądanie. To ulepszenie zapewnia szerszy wybór zapytań do natychmiastowego użycia bez konieczności ich konstruowania, a także umożliwia udostępnianie informacji na temat tworzenia zapytań na potrzeby przyszłego odwołania.

Uwaga

Te zapytania są dostępne po uruchomieniu programu CMPivot z konsoli Configuration Manager. Nie są one jeszcze dostępne w autonomicznym programie CMPivot.

Wymagania wstępne:

Spełnianie wszystkich wymagań wstępnych i uprawnień cmpivot
Włącz centrum Community Hub. Nie potrzebujesz konta usługi GitHub do pobierania zawartości.
Sprawdzanie , które kategorie zawartości są wyświetlane dla centrum społeczności
Instalowanie rozszerzenia Microsoft Edge WebView2 z powiadomienia konsoli Configuration Manager

Uzyskiwanie dostępu do najważniejszych zapytań centrum społeczności przy użyciu narzędzia CMPivot

Przejdź do obszaru roboczego Zasoby i zgodność , a następnie wybierz węzeł Kolekcje urządzeń .
Wybierz kolekcję docelową, urządzenie docelowe lub grupę urządzeń, a następnie wybierz pozycję Uruchom narzędzie CMPivot na wstążce, aby uruchomić narzędzie.
Użyj ikony centrum społeczności w menu.
Przejrzyj listę najważniejszych udostępnionych zapytań CMPivot.
Wybierz jedno z najważniejszych zapytań, aby załadować je do okienka zapytania.
W razie potrzeby edytuj zapytanie , a następnie wybierz pozycję Uruchom zapytanie.
Opcjonalnie wybierz ikonę folderu, aby uzyskać dostęp do listy ulubionych. Dodaj oryginalne zapytanie lub edytowaną wersję do listy ulubionych, aby uruchomić je później. Wybierz ikonę centrum społeczności, aby wyszukać inne zapytanie.
Pozostaw otwarte okno CMPivot, aby wyświetlić wyniki od klientów. Po zamknięciu okna CMPivot sesja zostanie zakończona. Jeśli zapytanie zostało wysłane, klienci nadal wysyłają odpowiedź na komunikat o stanie do serwera.

Zmiany programu CMPivot w wersji 2006

Począwszy od wersji 2006, wprowadzono następujące ulepszenia dla narzędzia CMPivot:

Standalone CMPivot i CMPivot uruchomione z konsoli administracyjnej są zbieżne. Po uruchomieniu programu CMPivot z konsoli administracyjnej jest używana ta sama technologia bazowa co autonomiczna funkcja CMPivot, aby zapewnić parzystość scenariusza.
Ulepszenia nawigacji za pomocą klawiatury w programie CMPivot.
Program CMPivot można uruchomić z poziomu pojedynczego urządzenia lub wielu urządzeń z węzła urządzenia bez konieczności wybierania kolekcji urządzeń. To ulepszenie ułatwia osobom, takim jak osoby pracujące jako osoba pomocy technicznej, tworzenie zapytań CMPivot dla określonych urządzeń poza wstępnie utworzoną kolekcją.
- Wybierz pojedyncze urządzenie lub wiele wybranych urządzeń w kolekcji urządzeń, a następnie wybierz pozycję Uruchom narzędzie CMPivot.
Po zwróceniu urządzeń w widoku listy zapytań możesz wybrać pozycję Device Pivot na co najmniej jednym urządzeniu, a następnie przestawić i wykonywać zapytania tylko na tych urządzeniach, aby przejść do szczegółów. Ta zmiana umożliwia przechodzenie do szczegółów bez wykonywania zapytań dotyczących większego zestawu urządzeń z oryginalnej kolekcji. Tabela przestawna urządzenia została zastąpiona elementem Pivot.
- W ramach istniejącej operacji CMPivot wybierz pojedyncze urządzenie lub wiele wybranych urządzeń z danych wyjściowych. Kliknij prawym przyciskiem myszy i przestawij przy użyciu opcji Device Pivot . Ta akcja uruchamia oddzielne wystąpienie CMPivot o zakresie tylko wybranych urządzeń. Ułatwia to przestawianie i wykonywanie zapytań na żądanych urządzeniach bez konieczności tworzenia dla nich kolekcji.
Po uruchomieniu programu CMPivot dla pojedynczego urządzenia nazwa urządzenia jest wyświetlana w górnej części okna. W przypadku wielu urządzeń w górnej części okna jest wyświetlana liczba wybranych urządzeń.
Opcja Utwórz kolekcję na karcie Podsumowanie zapytania została usunięta, ponieważ program CMPivot nie wymaga już wykonywania zapytań względem kolekcji. Wykonaj wykres przestawny urządzenia , aby otworzyć nowe wystąpienie programu CMPivot o zakresie tylko dla urządzeń, na które chcesz wykonywać zapytania. Funkcja Utwórz kolekcję jest nadal dostępna w menu głównym.

Tabela przestawna urządzenia dla wielu urządzeń przy użyciu narzędzia CMPivot

Zmiany cmpivot w wersji 2002

Ułatwiliśmy nawigowanie po jednostkach CMPivot. Począwszy od Configuration Manager wersji 2002, można wyszukiwać jednostki CMPivot. Dodano również nowe ikony w celu łatwego rozróżnienia jednostek i typów obiektów jednostki.

Zmiany programu CMPivot w wersji 1910

Począwszy od wersji 1910, program CMPivot został znacznie zoptymalizowany pod kątem zmniejszenia ruchu sieciowego i obciążenia serwerów. Ponadto dodano szereg jednostek i ulepszeń jednostek, aby ułatwić rozwiązywanie problemów i wyszukiwanie zagrożeń. W wersji 1910 wprowadzono następujące zmiany dla programu CMPivot:

Optymalizacje aparatu CMPivot
Dodatkowe ulepszenia jednostek i jednostek:
- Dzienniki zdarzeń systemu Windows (WinEvent)
- Zawartość pliku (FileContent)
- Biblioteki DLL ładowane przez procesy (ProcessModule)
- Microsoft Entra informacji (AADStatus)
- Stan ochrony punktu końcowego (EPStatus)
Ocena zapytań urządzeń lokalnych przy użyciu autonomicznego narzędzia CMPivot
Inne ulepszenia programu CMPivot

Optymalizacje aparatu CMPivot

Aby zmniejszyć ruch sieciowy i obciążenie serwerów, program CMPivot został zoptymalizowany w 1910 roku. Wiele operacji zapytań jest teraz wykonywanych bezpośrednio na kliencie, a nie na serwerach. Ta zmiana oznacza również, że niektóre operacje CMPivot zwracają minimalne dane z pierwszego zapytania. Jeśli zdecydujesz się przejść do szczegółów danych, aby uzyskać więcej informacji, może zostać uruchomione nowe zapytanie w celu pobrania dodatkowych danych z klienta. Na przykład wcześniej duży zestaw danych został zwrócony do serwera po uruchomieniu zapytania "sumaryczne liczby". Podczas zwracania dużego zestawu danych oferowanego natychmiastowego przechodzenia do szczegółów wiele razy potrzebna była tylko podsumowana liczba. W 1910 roku, gdy zdecydujesz się przejść do szczegółów konkretnego klienta, nastąpi kolejna kolekcja danych w celu zwrócenia żądanych dodatkowych danych. Ta zmiana zapewnia lepszą wydajność i skalowalność zapytań względem dużej liczby klientów.

Przykłady

Optymalizacje cmpivot drastycznie zmniejszyć obciążenie sieci i procesora serwera potrzebne do uruchamiania zapytań CMPivot. Dzięki tym optymalizacjom możemy teraz przesiać gigabajty danych klienta w czasie rzeczywistym. Następujące zapytania ilustrują te optymalizacje:

Wyszukaj błędy uwierzytelniania we wszystkich dziennikach zdarzeń na wszystkich klientach w przedsiębiorstwie.
```
EventLog('Security')
| where  EventID == 4673
| summarize count() by Device
| order by count_ desc
```

Wyszukaj plik według skrótu.

Device
| join kind=leftouter ( File('%windir%\\system32\\*.exe')
| where SHA256Hash == 'A92056D772260B39A876D01552496B2F8B4610A0B1E084952FE1176784E2CE77')
| project Device, MalwareFound = iif( isnull(FileName), 'No', 'Yes')

WinEvent(<logname>,[<timespan>])

Ta jednostka służy do pobierania zdarzeń z dzienników zdarzeń i plików dziennika śledzenia zdarzeń. Jednostka pobiera dane z dzienników zdarzeń generowanych przez technologię dziennika zdarzeń systemu Windows. Jednostka pobiera również zdarzenia w plikach dziennika generowanych przez śledzenie zdarzeń dla systemu Windows (ETW). Usługa WinEvent domyślnie analizuje zdarzenia, które wystąpiły w ciągu ostatnich 24 godzin. Jednak wartość domyślna 24-godzinna może zostać zastąpiona przez uwzględnienie przedziału czasu.

WinEvent('Microsoft-Windows-HelloForBusiness/Operational', 1d)
| where LevelDisplayName =='Error'
| summarize count() by Device

FileContent(<nazwa> pliku)

PlikContent służy do pobierania zawartości pliku tekstowego.

FileContent('c:\\windows\\SMSCFG.ini')
| where Content startswith  'SMS Unique Identifier='
| project Device, SMSId= substring(Content,22)

ProcessModule(<nazwa> procesu)

Ta jednostka służy do wyliczania modułów (dll) załadowanych przez dany proces. Funkcja ProcessModule jest przydatna podczas wyszukiwania złośliwego oprogramowania ukrywanego w legalnych procesach.

ProcessModule('powershell')
| summarize count() by ModuleName
| order by count_ desc

AadStatus

Ta jednostka może służyć do pobierania bieżących informacji o tożsamości Microsoft Entra z urządzenia.

AadStatus
| project Device, IsAADJoined=iif( isnull(DeviceId),'No','Yes')
| summarize DeviceCount=count() by IsAADJoined
| render piechart

EPStatus

Funkcja EPStatus służy do uzyskiwania stanu oprogramowania chroniącego przed złośliwym kodem zainstalowanego na komputerze.

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge
| order by QuickScanAge
| render barchart

Ocena zapytań urządzeń lokalnych przy użyciu autonomicznego narzędzia CMPivot

W przypadku korzystania z programu CMPivot poza konsolą Configuration Manager można wykonywać zapytania dotyczące tylko urządzenia lokalnego bez konieczności używania infrastruktury Configuration Manager. Teraz możesz korzystać z zapytań cmpivot usługi Azure Log Analytics, aby szybko wyświetlać informacje o usłudze WMI na urządzeniu lokalnym. Umożliwia to również walidację i uściślanie zapytań CMPivot przed uruchomieniem ich w większym środowisku. Autonomiczny program CMPivot jest dostępny tylko w języku angielskim. Aby uzyskać więcej informacji na temat autonomicznego narzędzia CMPivot, zobacz CMPivot standalone (Autonomiczny cmpivot).

Znane problemy dotyczące oceny zapytań urządzeń lokalnych

Jeśli zapytasz na tym komputerze o jednostkę WMI, do którą nie masz dostępu, na przykład zablokowaną klasę WMI, w programie CMPivot może wystąpić awaria. Uruchom polecenie CMPivot przy użyciu konta z podwyższonym poziomem uprawnień do wykonywania zapytań o te jednostki.
W przypadku wykonywania zapytań dotyczących jednostek innych niż WMI na tym komputerze zobaczysz nieprawidłową przestrzeń nazw lub niejednoznaczny wyjątek.
Uruchom polecenie CMPivot autonomicznie ze skrótu menu Start, a nie bezpośrednio ze ścieżki pliku wykonywalnego.

Inne ulepszenia

Zapytania typów wyrażeń regularnych można wykonywać przy użyciu nowego like operatora. Przykład:

//Find BIOS manufacture that contains any word like Micro, such as Microsoft
Bios
| where Manufacturer like '%Micro%'

Zaktualizowaliśmy jednostki CcmLog() i EventLog(), aby domyślnie sprawdzać komunikaty tylko w ciągu ostatnich 24 godzin. To zachowanie można zastąpić, przekazując opcjonalny przedział czasu. Na przykład następujące zapytanie przyjrzy się zdarzeniom w ciągu ostatnich 1 godziny:
```
CcmLog('Scripts',1h)
```
Jednostka File() została zaktualizowana w celu zbierania informacji o plikach ukrytych i systemowych oraz dołączania skrótu MD5. Chociaż skrót MD5 nie jest tak dokładny jak skrót SHA256, zwykle jest to często zgłaszany skrót w większości biuletynów złośliwego oprogramowania.
Komentarze można dodawać w zapytaniach. To zachowanie jest przydatne podczas udostępniania zapytań. Przykład:
```
//Get the top ten devices sorted by user
Device
| top 10 by UserName
```
Program CMPivot automatycznie nawiązuje połączenie z ostatnią lokacją. Po uruchomieniu programu CMPivot możesz w razie potrzeby nawiązać połączenie z nową lokacją.
Z menu Eksportuj wybierz nową opcję Zapytanie link do schowka. Ta akcja kopiuje link do schowka, który można udostępniać innym osobom. Przykład:

cmpivot:Ly8gU2FtcGxlIHF1ZXJ5DQpPcGVyYXRpbmdTeXN0ZW0NCnwgc3VtbWFyaXplIGNvdW50KCkgYnkgQ2FwdGlvbg0KfCBvcmRlciBieSBjb3VudF8gYXNjDQp8IHJlbmRlciBiYXJjaGFydA==

Ten link otwiera autonomiczne narzędzie CMPivot z następującym zapytaniem:
```
// Sample query
OperatingSystem
| summarize count() by Caption
| order by count_ asc
| render barchart
```
Porada

Aby ten link działał, zainstaluj autonomiczny program CMPivot.
W wynikach zapytania, jeśli urządzenie jest zarejestrowane w Ochrona punktu końcowego w usłudze Microsoft Defender, kliknij prawym przyciskiem myszy urządzenie, aby uruchomić Centrum zabezpieczeń usługi Microsoft Defender portalu online.

Znane problemy dotyczące programu CMPivot w wersji 1910

Maksymalny baner wyników może nie być wyświetlany po osiągnięciu limitu.
- Każdy klient jest ograniczony do 128 KB danych na zapytanie.
- Wyniki mogą zostać obcięte, jeśli wyniki zapytania przekroczą 128 KB.

Zmiany cmpivot w wersji 1906

Począwszy od wersji 1906, do programu CMPivot dodano następujące elementy:

Sprzężenia, dodatkowe operatory i agregatory
Dodano uprawnienia CMPivot do roli administratora zabezpieczeń
Autonomiczne narzędzie CMPivot

Dodawanie sprzężeń, dodatkowych operatorów i agregatorów w programie CMPivot

Masz teraz dodatkowe operatory arytmetyczne, agregatory i możliwość dodawania sprzężeń zapytań, takich jak używanie rejestru i pliku razem. Dodano następujące elementy:

Operatory tabel

Operatory tabel	Opis
Dołączyć	Scal wiersze dwóch tabel, tworząc nową tabelę, dopasowując wiersz dla tego samego urządzenia
Renderowania	Renderuje wyniki jako graficzne dane wyjściowe

Operator renderowania już istnieje w programie CMPivot. Dodano obsługę wielu serii i instrukcji with . Aby uzyskać więcej informacji, zobacz sekcję przykłady i artykuł operatora dołączania kusto.

Ograniczenia dotyczące sprzężeń

Kolumna sprzężenia jest zawsze niejawnie wykonywana w polu Urządzenie .
Można użyć maksymalnie 5 sprzężeń na zapytanie.
Można użyć maksymalnie 64 połączonych kolumn.

Operatory skalarne

Operator	Opis	Przykład
+	Dodaj	`2 + 1, now() + 1d`
-	Odejmij	`2 - 1, now() - 1d`
*	Pomnożyć	`2 * 2`
/	Podzielić	`2 / 1`
%	Modulo	`2 % 1`

Funkcje agregacji

Funkcja	Opis
percentile()	Zwraca oszacowanie dla określonego percentyla najbliższej rangi populacji zdefiniowanego przez wyrażenie
sumif()	Zwraca sumę wyrażeń, dla których predykat ma wartość true

Funkcje skalarne

Funkcja	Opis
case()	Oblicza listę predykatów i zwraca pierwsze wyrażenie wyniku, którego predykat jest spełniony
iff()	Oblicza pierwszy argument i zwraca wartość drugiego lub trzeciego argumentu w zależności od tego, czy predykat został obliczony na wartość true (sekunda) czy false (trzeci)
indexof()	Funkcja zgłasza indeks zerowy pierwszego wystąpienia określonego ciągu w ciągu wejściowym
strcat()	Łączy od 1 do 64 argumentów
strlen()	Zwraca długość ciągu wejściowego w postaci znaków
substring()	Wyodrębnia podciąg z ciągu źródłowego, zaczynając od pewnego indeksu do końca ciągu
Tostring()	Konwertuje dane wejściowe na operację ciągu

Przykłady

Pokaż urządzenie, producenta, model i OSVersion:

ComputerSystem
| project Device, Manufacturer, Model
| join (OperatingSystem | project Device, OSVersion=Caption)

Pokaż wykres czasów rozruchu urządzenia:

SystemBootData
| where Device == 'MyDevice'
| project SystemStartTime, BootDuration, OSStart=EventLogStart, GPDuration, UpdateDuration
| order by SystemStartTime desc
| render barchart with (kind=stacked, title='Boot times for MyDevice', ytitle='Time (ms)')

Skumulowany wykres słupkowy przedstawiający czas rozruchu urządzenia w ms

Dodano uprawnienia CMPivot do roli administratora zabezpieczeń

Począwszy od wersji 1906, do wbudowanej roli administratora zabezpieczeń Configuration Manager dodano następujące uprawnienia:

Odczyt skryptu sms
Uruchamianie narzędzia CMPivot w kolekcji
Odczyt w raporcie spisu

Uwaga

Uruchom skrypty jest super zestawem uprawnień Uruchom polecenie CMPivot .

Autonomiczne narzędzie CMPivot

Możesz użyć narzędzia CMPivot jako aplikacji autonomicznej. Autonomiczny program CMPivot jest dostępny tylko w języku angielskim. Uruchom polecenie CMPivot poza konsolą Configuration Manager, aby wyświetlić stan urządzeń w czasie rzeczywistym w środowisku. Ta zmiana umożliwia korzystanie z narzędzia CMPivot na urządzeniu bez uprzedniej instalacji konsoli programu .

Możesz udostępnić możliwości programu CMPivot innym osobom, takim jak pomoc techniczna lub administratorzy zabezpieczeń, którzy nie mają zainstalowanej konsoli na swoim komputerze. Te inne osoby mogą używać narzędzia CMPivot do wykonywania zapytań Configuration Manager wraz z innymi narzędziami, których tradycyjnie używają. Udostępniając te bogate dane zarządzania, możesz współpracować w celu proaktywnego rozwiązywania problemów biznesowych, które pełnią wiele ról.

Instalowanie autonomicznego programu CMPivot

Skonfiguruj uprawnienia wymagane do uruchomienia programu CMPivot. Aby uzyskać więcej informacji, zobacz wymagania wstępne. Możesz również użyć roli administratora zabezpieczeń , jeśli uprawnienia są odpowiednie dla użytkownika.
Znajdź instalatora aplikacji CMPivot w następującej ścieżce: <site install path>\tools\CMPivot\CMPivot.msi. Można go uruchomić z tej ścieżki lub skopiować do innej lokalizacji.
Po uruchomieniu autonomicznej aplikacji CMPivot zostanie wyświetlony monit o nawiązanie połączenia z witryną. Określ w pełni kwalifikowaną nazwę domeny lub nazwę komputera administracji centralnej lub serwera lokacji głównej.
- Po każdym otwarciu autonomicznego programu CMPivot zostanie wyświetlony monit o nawiązanie połączenia z serwerem lokacji.
Przejdź do kolekcji, w której chcesz uruchomić narzędzie CMPivot, a następnie uruchom zapytanie.

Uwaga

Akcje kliknięcia prawym przyciskiem myszy, takie jak Uruchamianie skryptów, Eksplorator zasobów i wyszukiwanie w Internecie, nie są dostępne w autonomicznym programie CMPivot. Podstawowym zastosowaniem autonomicznego narzędzia CMPivot jest wykonywanie zapytań niezależnie od infrastruktury Configuration Manager. Aby ułatwić administratorom zabezpieczeń, autonomiczne narzędzie CMPivot obejmuje możliwość nawiązywania połączenia z Centrum zabezpieczeń usługi Microsoft Defender.
Możesz ewaluować zapytania dotyczące urządzeń lokalnych przy użyciu autonomicznego narzędzia CMPivot.

Zmiany cmpivot w wersji 1902

Począwszy od Configuration Manager wersji 1902, możesz uruchomić polecenie CMPivot z centralnej lokacji administracyjnej (CAS) w hierarchii. Lokacja główna nadal obsługuje komunikację z klientem. Podczas uruchamiania programu CMPivot z centralnej lokacji administracyjnej komunikuje się z lokacją główną za pośrednictwem szybkiego kanału subskrypcji komunikatów. Ta komunikacja nie polega na standardowej replikacji SQL Server między lokacjami.

Uruchomienie programu CMPivot na serwerze CAS będzie wymagało dodatkowych uprawnień, jeśli SQL Server lub dostawca programu SMS nie znajdują się na tej samej maszynie lub w przypadku konfiguracji zawsze włączonej grupy dostępności SQL Server. W przypadku tych konfiguracji zdalnych istnieje "scenariusz podwójnego przeskoku" dla narzędzia CMPivot.

Aby program CMPivot mógł pracować nad urzędem certyfikacji w takim "scenariuszu podwójnego przeskoku", możesz zdefiniować ograniczone delegowanie. Aby zrozumieć wpływ tej konfiguracji na bezpieczeństwo, przeczytaj artykuł Dotyczący ograniczonego delegowania protokołu Kerberos . Protokół Kerberos musi działać przez wszystkie przeskoki między maszynami. Jeśli masz więcej niż jedną konfigurację zdalną, taką jak SQL Server lub dostawca programu SMS, jest kolokowany z urzędem certyfikacji lub nie, lub wiele zaufanych lasów, może być wymagane połączenie ustawień uprawnień. Poniżej przedstawiono kroki, które mogą być konieczne do wykonania:

Cas ma zdalne SQL Server

Przejdź do SQL Server każdej lokacji głównej.
1. Dodaj zdalne SQL Server CAS i serwer lokacji CAS do grupy Configmgr_DviewAccess.
Przejdź do Użytkownicy i komputery usługi Active Directory.
1. Dla każdego serwera lokacji głównej kliknij prawym przyciskiem myszy i wybierz pozycję Właściwości.
  1. Na karcie delegowania wybierz trzecią opcję Ufaj temu komputerowi na potrzeby delegowania tylko do określonych usług.
  2. Wybierz pozycję Użyj tylko protokołu Kerberos.
  3. Dodaj usługę SQL Server CAS z portem i wystąpieniem.
  4. Upewnij się, że te zmiany są zgodne z zasadami zabezpieczeń firmy.
2. W witrynie CAS kliknij prawym przyciskiem myszy i wybierz pozycję Właściwości.
  1. Na karcie delegowania wybierz trzecią opcję Ufaj temu komputerowi na potrzeby delegowania tylko do określonych usług.
  2. Wybierz pozycję Użyj tylko protokołu Kerberos.
  3. Dodaj usługę SQL Server każdej lokacji głównej za pomocą portu i wystąpienia.
  4. Upewnij się, że te zmiany są zgodne z zasadami zabezpieczeń firmy.

CAS ma dostawcę zdalnego

Przejdź do SQL Server każdej lokacji głównej.
1. Dodaj konto komputera dostawcy CAS i serwer lokacji CAS do grupy Configmgr_DviewAccess .
Przejdź do Użytkownicy i komputery usługi Active Directory.
1. Wybierz maszynę dostawcy CAS, kliknij prawym przyciskiem myszy i wybierz pozycję Właściwości.
  1. Na karcie delegowania wybierz trzecią opcję Ufaj temu komputerowi na potrzeby delegowania tylko do określonych usług.
  2. Wybierz pozycję Użyj tylko protokołu Kerberos.
  3. Dodaj usługę SQL Server każdej lokacji głównej za pomocą portu i wystąpienia.
  4. Upewnij się, że te zmiany są zgodne z zasadami zabezpieczeń firmy.
2. Wybierz serwer lokacji CAS, kliknij prawym przyciskiem myszy i wybierz pozycję Właściwości.
  1. Na karcie delegowania wybierz trzecią opcję Ufaj temu komputerowi na potrzeby delegowania tylko do określonych usług.
  2. Wybierz pozycję Użyj tylko protokołu Kerberos.
  3. Dodaj usługę SQL Server każdej lokacji głównej za pomocą portu i wystąpienia.
  4. Upewnij się, że te zmiany są zgodne z zasadami zabezpieczeń firmy.
Uruchom ponownie maszynę dostawcy zdalnego CAS.

SQL Server zawsze włączonych grup dostępności

Przejdź do SQL Server każdej lokacji głównej.
1. Dodaj serwer lokacji CAS do grupy Configmgr_DviewAccess .
Przejdź do Użytkownicy i komputery usługi Active Directory.
1. Dla każdego serwera lokacji głównej kliknij prawym przyciskiem myszy i wybierz pozycję Właściwości.
  1. Na karcie delegowania wybierz trzecią opcję Ufaj temu komputerowi na potrzeby delegowania tylko do określonych usług.
  2. Wybierz pozycję Użyj tylko protokołu Kerberos.
  3. Dodaj konta usługi SQL Server cas dla węzłów SQL Server z portem i wystąpieniem.
  4. Upewnij się, że te zmiany są zgodne z zasadami zabezpieczeń firmy.
2. Wybierz serwer lokacji CAS, kliknij prawym przyciskiem myszy i wybierz pozycję Właściwości.
  1. Na karcie delegowania wybierz trzecią opcję Ufaj temu komputerowi na potrzeby delegowania tylko do określonych usług.
  2. Wybierz pozycję Użyj tylko protokołu Kerberos.
  3. Dodaj usługę SQL Server każdej lokacji głównej za pomocą portu i wystąpienia.
  4. Upewnij się, że te zmiany są zgodne z zasadami zabezpieczeń firmy.
Upewnij się, że nazwa SPN została opublikowana dla nazwy odbiornika CAS i każdej nazwy odbiornika podstawowego.
Uruchom ponownie węzły SQL Server podstawowej.
Uruchom ponownie serwer lokacji CAS i węzły SQL Server CAS.

Zmiany cmpivot dla wersji 1810

Program CMPivot zawiera następujące ulepszenia, począwszy od Configuration Manager wersji 1810:

Narzędzie CMPivot i wydajność
Funkcje skalarne
Renderowanie wizualizacji
Spis sprzętu
Operatory skalarne
Podsumowanie zapytania
Komunikaty o stanie inspekcji

Narzędzie CMPivot i wydajność

Polecenie CMPivot zwróci do 100 000 komórek zamiast 20 000 wierszy.
- Jeśli jednostka ma 5 właściwości, czyli 5 kolumn, zostanie wyświetlonych maksymalnie 20 000 wierszy.
- W przypadku jednostki z 10 właściwościami zostanie wyświetlonych maksymalnie 10 000 wierszy.
- Łączna liczba wyświetlanych danych będzie mniejsza lub równa 100 000 komórek.
Na karcie Podsumowanie zapytania wybierz liczbę urządzeń zakończonych niepowodzeniem lub w trybie offline, a następnie wybierz opcję Utwórz kolekcję. Ta opcja ułatwia ukierunkowanie tych urządzeń na wdrożenie korygowania.
- Ta opcja została usunięta w wersji 2006, ponieważ program CMPivot nie wymaga już wykonywania zapytań względem kolekcji.
Zapisz ulubione zapytania, klikając ikonę folderu.
Klienci zaktualizowani do wersji 1810 zwracają dane wyjściowe mniejsze niż 80 KB do lokacji za pośrednictwem kanału szybkiej komunikacji.
- Ta zmiana zwiększa wydajność wyświetlania danych wyjściowych skryptu lub zapytania.
- Jeśli dane wyjściowe skryptu lub zapytania są większe niż 80 KB, klient wysyła dane za pośrednictwem komunikatu o stanie.
- Jeśli klient nie zostanie zaktualizowany do wersji klienta 1810, nadal będzie używać komunikatów o stanie.
Podczas uruchamiania programu CMPivot może zostać wyświetlony następujący błąd: Nie możesz teraz używać narzędzia CMPivot z powodu niezgodnej wersji skryptu. Ten problem może być spowodowany tym, że hierarchia jest w trakcie uaktualniania lokacji. Poczekaj na ukończenie uaktualnienia, a następnie spróbuj ponownie.
- Jeśli zostanie wyświetlony ten komunikat, może to oznaczać:
  - Zakres zabezpieczeń nie jest poprawnie skonfigurowany.
  - W tym procesie występują problemy z uaktualnianiem.
  - Bazowy skrypt CMPivot jest niezgodny.

Funkcje skalarne

Program CMPivot obsługuje następujące funkcje skalarne:

ago(): odejmuje dany przedział czasu od bieżącego czasu zegara UTC
datetime_diff(): oblicza różnicę kalendarza między dwiema wartościami daty/godziny
now(): zwraca bieżący czas zegara UTC
bin(): Zaokrągla wartości w dół do wielokrotności całkowitej danego rozmiaru pojemnika

Uwaga

Typ danych daty/godziny reprezentuje moment w czasie, zwykle wyrażony jako data i godzina dnia. Wartości czasu są mierzone w jednostkach 1-sekundowych. Wartość daty/godziny jest zawsze w strefie czasowej UTC. Zawsze wyrażaj literały daty/godziny w formacie ISO 8601, na przykład yyyy-mm-dd HH:MM:ss

Przykłady

datetime(2015-12-31 23:59:59.9): określony literał daty i godziny
now(): bieżąca godzina
ago(1d): bieżąca godzina minus jeden dzień

Renderowanie wizualizacji

Narzędzie CMPivot obejmuje teraz podstawową obsługę operatora renderowania KQL. Ta obsługa obejmuje następujące typy:

barchart: Pierwsza kolumna to oś x i może być tekstem, datą/godziną lub liczbą. Druga kolumna musi być liczbowa i jest wyświetlana jako pozioma taśma.
columnchart: Podobnie jak w przypadku wykresu barchart, z pionowymi paskami zamiast paskami poziomymi.
piechart: Pierwsza kolumna to oś kolorów, druga kolumna jest liczbowa.
timechart: wykres liniowy. Pierwsza kolumna to oś x i powinna być datą/godziną. Druga kolumna to oś y.

Przykład: wykres słupkowy

Następujące zapytanie renderuje ostatnio używane aplikacje jako wykres słupkowy:

CCMRecentlyUsedApplications
| summarize dcount( Device ) by ProductName
| top 10 by dcount_
| render barchart

Przykład wizualizacji wykresu słupkowego CMPivot

Przykład: wykres czasów

Aby renderować wykresy czasowe, użyj nowego operatora bin(), aby grupować zdarzenia w czasie. Następujące zapytanie pokazuje, kiedy urządzenia zostały uruchomione w ciągu ostatnich siedmiu dni:

OperatingSystem
| where LastBootUpTime <= ago(7d)
| summarize count() by bin(LastBootUpTime,1d)
| render timechart

Przykład wizualizacji wykresu czasowego CMPivot

Przykład: wykres kołowy

Następujące zapytanie wyświetla wszystkie wersje systemu operacyjnego na wykresie kołowym:

OperatingSystem
| summarize count() by Caption
| render piechart

Przykład wizualizacji wykresu kołowego CMPivot

Spis sprzętu

Użyj narzędzia CMPivot do wykonywania zapytań względem dowolnej klasy spisu sprzętu. Te klasy obejmują wszelkie rozszerzenia niestandardowe utworzone w spisie sprzętu. Narzędzie CMPivot natychmiast zwraca buforowane wyniki ostatniego skanowania spisu sprzętu przechowywanego w bazie danych lokacji. Jednocześnie aktualizuje wyniki w razie potrzeby przy użyciu danych na żywo od klientów online.

Nasycenie kolorów danych w tabeli wyników lub wykresie wskazuje, czy dane są aktywne, czy buforowane. Na przykład ciemnoniebieski to dane w czasie rzeczywistym od klienta online. Jasnoniebieski to dane buforowane.

Przykład

LogicalDisk
| summarize sum( FreeSpace ) by Device
| order by sum_ desc
| render columnchart

Przykład zapytania spisu PROGRAMU CMPivot z wizualizacją wykresu kolumnowego

Ograniczenia

Następujące jednostki spisu sprzętu nie są obsługiwane:
- Właściwości tablicy, na przykład adres IP
- Real32/Real64
- Właściwości obiektu osadzonego
Nazwy jednostek spisu muszą zaczynać się znakiem
Nie można zastąpić wbudowanych jednostek, tworząc jednostkę spisu o tej samej nazwie

Operatory skalarne

Narzędzie CMPivot obejmuje następujące operatory skalarne:

Uwaga

LHS: ciąg po lewej stronie operatora
RHS: ciąg po prawej stronie operatora

Operator	Opis	Przykład (zwraca wartość true)
==	Równa	`"aBc" == "aBc"`
!=	Nie równa się	`"abc" != "ABC"`
takie jak	LHS zawiera dopasowanie dla rhs	`"FabriKam" like "%Brik%"`
!Jak	System LHS nie zawiera dopasowania dla usługi RHS	`"Fabrikam" !like "%xyz%"`
Zawiera	RHS występuje jako podsekwencja LHS	`"FabriKam" contains "BRik"`
!Zawiera	Funkcja RHS nie występuje w systemie LHS	`"Fabrikam" !contains "xyz"`
Startswith	RHS jest początkową podsekwencją LHS	`"Fabrikam" startswith "fab"`
!Startswith	RHS nie jest początkową podsekwencją LHS	`"Fabrikam" !startswith "kam"`
Endswith	RHS jest podsekwencją zamykającą LHS	`"Fabrikam" endswith "Kam"`
!Endswith	RHS nie jest podsekwencją zamykającą LHS	`"Fabrikam" !endswith "brik"`

Podsumowanie zapytania

Wybierz kartę Podsumowanie zapytania w dolnej części okna CMPivot. Ten stan ułatwia identyfikowanie klientów w trybie offline lub rozwiązywanie problemów z błędami, które mogą wystąpić. Wybierz wartość w kolumnie Count (Liczba), aby otworzyć listę określonych urządzeń o tym stanie.

Na przykład wybierz liczbę urządzeń ze stanem Awaria. Zobacz konkretny komunikat o błędzie i wyeksportuj listę tych urządzeń. Jeśli błąd polega na tym, że określone polecenie cmdlet nie jest rozpoznawane, utwórz kolekcję na podstawie listy wyeksportowanych urządzeń, aby wdrożyć aktualizację Windows PowerShell.

Komunikaty o stanie inspekcji programu CMPivot

Począwszy od wersji 1810, po uruchomieniu programu CMPivot zostanie utworzony komunikat o stanie inspekcji o identyfikatorze MessageID 40805. Komunikaty o stanie można wyświetlić, przechodząc do pozycji Monitorowanie>zapytań o stan stanu>systemu. Możesz uruchomić wszystkie komunikaty o stanie inspekcji dla określonego użytkownika, wszystkie komunikaty o stanie inspekcji dla określonej witryny lub utworzyć własne zapytanie o komunikat o stanie.

Dla komunikatu jest używany następujący format:

MessageId 40805: User UserName> uruchomił skrypt <Script-Guid> z skrótem <Script-Hash> w kolekcji <Collection-ID>.<

7DC6B6F1-E7F6-43C1-96E0-E1D16BC25C14 jest Script-Guid cmpivot.
Script-Hash można wyświetlić w pliku scripts.log klienta.
Możesz również zobaczyć skrót przechowywany w magazynie skryptów klienta. Nazwa pliku na kliencie to <Script-Guid>_<Script-Hash>.
- Przykładowa nazwa pliku: C:\Windows\CCM\ScriptStore\7DC6B6F1-E7F6-43C1-96E0-E1D16BC25C14_abc1d23e45678901fabc123d456ce789fa1b2cd3e456789123fab4c56789d0123.ps

Przykładowy komunikat o stanie inspekcji PROGRAMU CMPivot

Następne kroki

Rozwiązywanie problemów z narzędziem CMPivot

Udostępnij za pośrednictwem

Zmiany w poleceniu CMPivot

Zmiany cmpivot w wersji 2107

Uproszczone wymagania dotyczące uprawnień cmpivot

Ogólne ulepszenia narzędzia CMPivot

Zmiany cmpivot w wersji 2103

Komunikat ostrzegawczy i opcja eksportowania danych CMPivot, gdy wyniki są zbyt duże

Uzyskiwanie dostępu do najważniejszych zapytań udostępnionych w centrum Community Hub z poziomu narzędzia CMPivot

Wymagania wstępne:

Uzyskiwanie dostępu do najważniejszych zapytań centrum społeczności przy użyciu narzędzia CMPivot

Zmiany programu CMPivot w wersji 2006

Zmiany cmpivot w wersji 2002

Zmiany programu CMPivot w wersji 1910

Optymalizacje aparatu CMPivot

Przykłady

WinEvent(<logname>,[<timespan>])

FileContent(<nazwa> pliku)

ProcessModule(<nazwa> procesu)

AadStatus

EPStatus

Ocena zapytań urządzeń lokalnych przy użyciu autonomicznego narzędzia CMPivot

Znane problemy dotyczące oceny zapytań urządzeń lokalnych

Inne ulepszenia

Znane problemy dotyczące programu CMPivot w wersji 1910

Zmiany cmpivot w wersji 1906

Dodawanie sprzężeń, dodatkowych operatorów i agregatorów w programie CMPivot

Operatory tabel

Ograniczenia dotyczące sprzężeń

Operatory skalarne

Funkcje agregacji

Funkcje skalarne

Przykłady

Dodano uprawnienia CMPivot do roli administratora zabezpieczeń

Autonomiczne narzędzie CMPivot

Instalowanie autonomicznego programu CMPivot

Zmiany cmpivot w wersji 1902

Cas ma zdalne SQL Server

CAS ma dostawcę zdalnego

SQL Server zawsze włączonych grup dostępności

Zmiany cmpivot dla wersji 1810

Narzędzie CMPivot i wydajność

Funkcje skalarne

Przykłady

Renderowanie wizualizacji

Przykład: wykres słupkowy

Przykład: wykres czasów

Przykład: wykres kołowy

Spis sprzętu

Przykład

Ograniczenia

Operatory skalarne

Podsumowanie zapytania

Komunikaty o stanie inspekcji programu CMPivot

Następne kroki

Opinia

Dodatkowe zasoby