设备查询
通过设备查询，可以快速获取有关设备状态的按需信息。 在所选设备上输入查询时，设备查询会实时运行查询。 然后，返回的数据可用于响应安全威胁、对设备进行故障排除或做出业务决策。
先决条件
若要在租户中使用设备查询，必须具有包含Microsoft Intune 高级分析的许可证。 高级分析功能可用于：
- Intune 高级分析加载项
- Microsoft Intune Suite
若要在设备上使用设备查询，必须在 Endpoint Analytics 中注册设备。 了解如何在 Endpoint Analytics 中注册设备。
无法选择退出云通知 (WNS)
用户若要使用设备查询，必须向其分配 托管设备 - 查询 权限。
若要使用设备查询，设备必须Intune管理和公司拥有。
若要运行远程操作，请至少使用具有技术支持操作员角色的帐户登录到 Intune 管理中心。 有关不同角色的详细信息，请转到使用 Microsoft Intune (RBAC) 的基于角色的访问控制。
若要接收远程操作，设备必须连接到 Internet 并打开电源。
支持的平台
目前仅在运行 Windows 10 及更高版本的设备上支持设备查询。
如何使用设备查询
若要使用设备查询，请导航到 “设备 ”，然后选择要使用设备查询的设备。 选择“监视”部分下的“设备查询”。
“属性”部分列出了可查询支持 的属性 。 若要运行查询，请输入Kusto 查询语言 (KQL) 查询，然后选择“运行”。 结果显示在“ 结果 ”选项卡区域中。
有关Kusto 查询语言的详细信息，请参阅了解有关Kusto 查询语言的详细信息。
提示
现在可以在公共预览版) Intune (使用 Copilot 为使用自然语言请求的设备查询生成 KQL 查询。 若要了解详细信息，请转到 设备查询中使用 Copilot 进行查询。
远程设备操作
使用单个设备查询中的Intune远程设备操作来帮助远程管理设备。 从设备查询界面中，现在可以基于查询结果运行设备操作，以便更快、更高效地进行故障排除。
可用的远程操作
可用的设备操作取决于设备配置。 并非所有操作都适用于所有设备。
有关可在设备上执行的操作的完整列表，请在Intune管理中心选择“设备>所有设备”，然后选择特定设备。 可用设备操作显示在顶部。
以下列表包括受支持的设备操作：
| 操作 | 说明 |
|---|---|
| Autopilot 重置 | 将设备还原到其原始设置，并删除个人文件、应用和设置。 |
| BitLocker 密钥轮换 | 更改设备的 BitLocker 恢复密钥，并将新密钥上传到Intune。 |
| 收集诊断 | 从设备收集诊断日志并将日志上传到Intune。 |
| 删除 | 从Intune管理中删除设备，删除任何公司数据，并且设备已停用。 |
| 全新启动 | 在设备上重新安装最新版本的 Windows，并删除制造商安装的应用。 |
| 完全扫描 | 通过Microsoft Defender防病毒启动设备的完整扫描。 |
| 定位设备 | 显示设备在地图上的大致位置。 |
| 暂停 ConfigRefresh | 暂停 ConfigRefresh 以在设备上运行修正，以便进行故障排除或维护或进行更改。 |
| 快速扫描 | 通过Microsoft Defender防病毒启动设备的快速扫描。 |
| 使用团队查看器进行远程控制 | 允许使用 TeamViewer 远程控制设备。 |
| 重命名设备 | 更改Intune中的设备名称。 |
| Restart | 重启设备。 |
| 停用 | 从设备中删除公司数据和设置，使个人数据保持不变。 |
| 轮换本地管理员密码 | 更改设备的本地管理员密码，并将密码存储在Intune中。 |
| 同步设备 | 将设备与Intune同步，以应用最新的策略和配置。 |
| 更新 Windows Defender 安全智能 | 汇报Microsoft Defender防病毒的安全智能文件。 |
| Windows 10 PIN 重置 | 重置使用Microsoft Entra身份验证的设备 PIN。 |
| 擦除 | 此操作会将设备还原到其出厂设置，并删除所有数据和设置。 |
支持的运算符
设备查询仅支持Kusto 查询语言 (KQL) 中支持的一部分运算符。 当前支持以下运算符：
表运算符
表运算符可用于筛选、汇总和转换数据流。 目前支持以下运算符：
| 表运算符 | 说明 |
|---|---|
| count | 返回一个表，其中包含包含记录数的单个记录 |
| 不同 | 使用输入表提供的列的不同组合生成表 |
| 加入 | 合并两个表的行，通过匹配同一设备的行来形成新表 |
| order by | 按一列或多列对输入表的行进行排序 |
| 项目 | 选择要包含、重命名或删除的列，然后插入新的计算列 |
| 拿 | 返回最多指定的行数 |
| top | 返回按指定列排序的前 N 条记录 |
| 哪里 | 将表筛选为满足谓词的行子集 |
标量运算符
下表汇总了运算符：
| 运算符 | 说明 | 示例 |
|---|---|---|
| == | 等于 | 1 == 1, 'aBc' == 'AbC' |
| != | 不等于 | 1 != 2, 'abc' != 'abcd' |
| < | 少 | 1 < 2, 'abc' < 'DEF' |
| > | 大 | 2 > 1, 'xyz' > 'XYZ' |
| <= | 小于或等于 | 1 <= 2, 'abc' <= 'abc' |
| >= | 大于或等于 | 2 >= 1, 'abc' >= 'ABC' |
| + | 添加 | 2 + 1, now() + 1d |
| - | 减法 | 2 - 1, now() - 1h |
| * | 乘法 | 2 * 2 |
| / | 除法 | 2 / 1 |
| % | 模 | 2 % 1 |
| 喜欢 | 左侧 (LHS) 包含右侧 (RHS) | 'abc' like '%B%' |
| contains | RHS 作为 LHS 的子序列出现 | 'abc' contains 'b' |
| ！包含 | LHS 中不会出现 RHS | 'team' !contains 'i' |
| startswith | RHS 是 LHS 的初始子序列 | 'team' startswith 'tea' |
| ！startswith | RHS 不是 LHS 的初始子序列 | 'abc' !startswith 'bc' |
| endswith | RHS 是 LHS 的结束子序列 | 'abc' endswith 'bc' |
| ！endswith | RHS 不是 LHS 的结束子序列 | 'abc' !endswith 'a' |
| 和 | 仅当 RHS 和 LHS 为 true 时，才为 True | (1 == 1) and (2 == 2) |
| 或 | 如果且仅当 RHS 或 LHS 为 true 时，才为 True | (1 == 1) or (1 == 2) |
聚合函数
聚合函数可与 summarize table 运算符一起使用来计算汇总值。 目前支持以下聚合函数：
| 功能 | 说明 |
|---|---|
| avg () | 返回组中值的平均值 |
| count () | 返回每个汇总组的记录计数 |
| countif () | 返回 Predicate 计算结果为 true 的行计数 |
| dcount () | 返回组中非重复值的数目 |
| max () | 返回组中的最大值 |
| maxif () | 从版本 2107 开始，可以将 maxif 与 summarize table 运算符配合使用。
返回 Predicate 计算 true结果为 的组的最大值。 |
| min () | 返回组中的最小值 |
| minif () | 从版本 2107 开始，可以将 minif 与 summarize table 运算符配合使用。
返回 Predicate 计算 true结果为 的组的最小值。 |
| 百分位 () | 返回 Expr 所定义总体的指定最接近排名百分位数的估计值 |
| sum () | 返回组中值的总和 |
| sumif () | 返回 Predicate 计算结果为 true 的 Expr 之和 |
标量函数
可以在表达式中使用标量函数。 目前支持以下标量函数：
| 功能 | 说明 |
|---|---|
| 以前 () | 从当前 UTC 时钟时间减去给定的时间跨度 |
| bin () | 将值向下舍入为给定箱大小的多个日期/时间倍数 |
| case () | 计算谓词列表，并返回满足谓词的第一个结果表达式 |
| datetime_add () | 从指定的日期部分乘以指定金额计算新的日期时间，并添加到指定的日期时间 |
| datetime_diff () | 计算两个日期时间值之间的差值 |
| iif () | 计算第一个参数并返回第二个或第三个参数的值，具体取决于谓词的计算结果为 true (第二个) 还是 false (第三个) |
| indexof () | 函数报告输入字符串中指定字符串的第一个匹配项的从零开始的索引 |
| isnotnull () | 计算其唯一参数并返回一个布尔值，该值指示参数的计算结果是否为非 null 值 |
| isnull () | 计算其唯一参数并返回一个布尔值，该值指示参数的计算结果是否为 null 值 |
| 现在 () | 返回当前 UTC 时钟时间 |
| strcat () | 连接 1 到 64 个参数 |
| strlen () | 返回输入字符串的长度（以字符为单位） |
| substring () | 从源字符串中提取从某个索引开始到字符串末尾的子字符串 |
| tostring () | 将输入转换为字符串表示形式 |
支持的属性
设备查询支持以下实体。 若要详细了解每个实体支持哪些属性，请参阅Intune数据平台架构。
BiosInfo
证书
中央处理器
DiskDrive
EncryptableVolume
FileInfo
LocalGroup
LocalUserAccount
LogicalDrive
MemoryInfo
OsVersion
流程
SystemEnclosure
SystemInfo
Tpm
WindowsAppCrashEvent
WindowsDriver
WindowsEvent
WindowsQfe
WindowsRegistry
WindowsService
已知限制
任何查询的结果字符串限制为 128kb 字符。 如果查询结果超过 128kb 字符，则结果将被截断。 错误消息会通知你有多少行被截断。
每分钟只能发送 15 个查询。 如果遇到 “超过查询限制 ”错误，请等待一分钟，然后重试。
查询输入的长度限制为 2048 个字符。 如果遇到 查询过长 错误，请优化查询以包含较少的字符，然后重试。
现在 () 标量函数不支持 offset 参数。
不支持 ！like 运算符。
当以下运算符仅支持单引号时，输入窗口会自动推荐双引号：
- contains
- ！包含
- startswith
- ！startswith
- endswith
WindowsRegistry 实体无法返回根目录的 RegistryKey。
WindowsRegistry 实体无法返回 64 位共享注册表项。
WindowsRegistry 实体无法返回 binary ValueData。
如果要查询在 Windows 10 上运行的设备，则它们必须采用最低质量版本。
如果运行 Windows 10 21H2，请确保其运行版本 10.0.19044.3393。
如果运行 Windows 10 22H2，请确保运行版本 10.0.19045.3393。
如果计算机上有多个可用的网卡，则仅返回第一个配置的域。
如果设备上存在 TPM 2.0，则激活和启用始终返回为 TRUE。
如果计算机上当前正在使用某个文件，则 FileInfo 查询将返回错误。
如果最终用户对设备具有管理员访问权限，他们也许能够更改查询结果中显示的基于客户端的信息。 例如，OS 版本和注册表。
后续步骤
有关详细信息，请转到：