CMPivot 概述

适用于: Configuration Manager(current branch)

CMPivot 允许快速评估环境中设备的状态并采取措施。 输入查询时，CMPivot 将在所选集合中当前连接的所有设备上实时运行查询。 然后，可以对返回的数据进行筛选、分组和优化，以回答业务问题、解决环境中的问题或响应安全威胁。 有关使用 CMPivot 的详细信息，请参阅 使用 CMPivot。

查询

查询可用于搜索字词、识别趋势、分析模式，以及根据数据提供许多其他见解。 CMPivot 将 Azure Log Analytics 数据流模型的子集用于表格表达式语句。 表格表达式语句的典型结构是由客户端实体和表格数据运算符组成的， (例如筛选器和投影) 。 合成由管道字符表示 (|) ，为 语句提供一种从左到右直观地表示表格数据流的常规形式。 每个运算符接受“来自管道”的表格数据集，其他输入 (包括运算符正文) 的其他表格数据集，然后将表格数据集发出给下一个运算符，如下所示： entity | operator1 | operator2 | ...

在以下示例中，实体 CCMRecentlyUsedApplications (对最近使用的应用程序) 的引用，运算符是 (根据某些按记录谓词) 从其输入中筛选出记录的位置：

CCMRecentlyUsedApplications | where CompanyName like '%Microsoft%' | project CompanyName, ExplorerFileName, LastUsedTime, LaunchCount, FolderPath

实体

实体是从客户端查询的对象。 我们目前支持以下实体：

Entity	说明
AadStatus	Microsoft Entra ID 的状态
管理员	本地管理员组的成员
AppCrash	最近的应用程序崩溃报告
AppVClientApplication	AppV 客户端应用程序
AppVClientPackage	AppV 客户端包
AutoStartSoftware	自动启动的软件，或紧接在操作系统之后启动
脚板	脚板
电池	电池
Bios	系统 BIOS 信息
BitLocker	BitLocker
BitLockerEncryptionDetails	BitLocker 加密详细信息
BitLockerPolicy	BitLocker 策略
BootConfiguration	启动配置
BrowserHelperObject	浏览器帮助程序对象
BrowserUsage	浏览器使用情况
CcmLog ()	默认情况下， (24 小时内的行从 Ccm 日志文件)
CCMRAX	CCM_RAX
CCMRecentlyUsedApplications	最近使用的应用程序
CCMWebAppInstallInfo	Web 应用程序
CDROM	CDROM 驱动器
ClientEvents	客户端事件
ComputerSystem	计算机系统
ComputerSystemEx	计算机系统 Ex
ComputerSystemProduct	计算机系统产品
ConnectedDevice	连接的设备
Connection	进出设备的活动 Tcp 连接
桌面	桌面
DesktopMonitor	桌面监视器
Device	有关设备的基本信息
磁盘	运行 Windows 的计算机系统上的本地存储设备信息
Dma	Dma
DMAChannel	DMA 通道
DriverVxD	驱动程序 - VxD
EmbeddedDeviceInformation	嵌入式设备信息
环境	环境
EPStatus	cmdlet 收集 Get-MpComputerStatus 的计算机上反恶意软件的状态。 在运行 defender 的 Windows 10 和 Server 2016 或更高版本上受支持。
EventLog ()	默认情况下，24 小时内的事件 (从事件日志)
File ()	有关特定文件的信息
FileShare	活动文件共享信息
固件	固件
IDEController	IDE 控制器
InstalledExecutable	已安装可执行文件
InstalledSoftware	设备上安装的应用程序
IPConfig	获取网络配置，包括可用接口、IP 地址和 DNS 服务器
IRQTable	IRQ 表
Keyboard	Keyboard
LoadOrderGroup	加载顺序组
LogicalDisk	逻辑磁盘
MDMDevDetail	设备信息
内存	内存
调制解调器	调制解调器
主板	主板
NetworkAdapter	网络适配器
NetworkAdapterConfiguration	网络适配器配置
NetworkClient	网络客户端
NetworkLoginProfile	网络登录配置文件
NTEventlogFile	NT 事件日志文件
Office365ProPlusConfigurations	Office 365应用配置
OfficeAddin	Office 外接程序
OfficeClientMetric	Office 客户端指标
OfficeDeviceSummary	Office 设备摘要
OfficeDocumentMetric	Office 文档指标
OfficeDocumentSolution	Office 文档解决方案
OfficeMacroError	Office 宏错误
OfficeProductInfo	Office 产品信息
OfficeVbaRuleViolation	Office Vba 规则冲突
OfficeVbaSummary	Office VBA 扫描摘要
OperatingSystem	操作系统
OperatingSystemEx	操作系统 Ex
OperatingSystemRecoveryConfiguration	操作系统恢复配置
OptionalFeature	可选功能
操作系统	有关操作系统的基本信息
PageFileSetting	页面文件设置
ParallelPort	并行端口
Partition	磁盘分区
PCMCIAController	PCMCIA 控制器
PhysicalDisk	PhysicalDisk
PhysicalMemory	物理内存
PNPDEVICEDRIVER	PNP 设备驱动程序
PointingDevice	指针设备
PortableBattery	便携式电池
端口	端口
PowerCapabilities	电源功能
PowerClientOptOutSettings	电源管理排除设置
PowerConfigurations	电源配置
PowerManagementDaily	电源管理每日数据
PowerManagementInsomniaReasons	电源失眠原因
PowerManagementMonthly	电源管理每月数据
PowerSettings	电源设置
PrinterConfiguration	打印机配置
PrinterDevice	打印机设备
PrintJobs	打印作业
流程	操作系统上的进程
ProcessModule ()	由指定进程加载的模块
处理器	处理器
ProtectedVolumeInformation	受保护的卷信息
协议	协议
QuickFixEngineering	快速修复工程
注册表	从版本 2107 开始，特定注册表项 的所有值都已添加到注册表 () 实体
SCSIController	SCSI 控制器
SerialPortConfiguration	串行端口配置
SerialPorts	串行端口
ServerFeature	服务器功能
服务	运行 Windows 的计算机系统上的服务
服务	服务
股票	股票
SMBConfig	设备的 SMB 配置
SMSAdvancedClientPorts	Configuration Manager客户端端口
SMSAdvancedClientSSLConfigurations	Configuration Manager客户端 SSL 配置
SMSAdvancedClientState	Configuration Manager客户端状态
SMSDefaultBrowser	默认浏览器
SMSSoftwareTag	软件标记
SMSWindows8Application	Windows 应用
SMSWindows8ApplicationUserInfo	Windows 应用用户信息
SoftwareShortcut	软件快捷方式
SoftwareUpdate	适用于但未在设备上安装的软件更新
SoundDevices	声音设备
SWLicensingProduct	软件许可产品
SWLicensingService	软件许可服务
SystemAccount	系统帐户
SystemBootData	系统启动数据
SystemBootSummary	系统启动摘要
SystemConsoleUsage	系统控制台使用情况
SystemConsoleUser	系统控制台用户
SystemDevices	系统设备
SystemDrivers	系统驱动程序
SystemEnclosure	系统机箱
TapeDrive	磁带机
TimeZone	时区
TPM	TPM
TPMStatus	TPM 状态
TSIssuedLicense	TS 颁发的许可证
TSLicenseKeyPack	TS 许可证密钥包
UnintertiblePowerSupply	不间断电源
USBController	USB 控制器
USBDevice	USB 设备
用户	与设备建立活动连接的用户帐户
USMFolderRedirectionHealth	文件夹重定向运行状况
USMUserProfile	用户配置文件运行状况
VideoController	视频控制器
VirtualMachine	虚拟机
VirtualMachine64	虚拟机 (64)
卷	卷
WindowsUpdate	Windows 更新
WindowsUpdateAgentVersion	Windows 更新代理版本
WinEvent ()	默认情况下， (24 小时内的事件从 Windows 事件日志)
WriteFilterState	写入筛选器状态

表运算符

表运算符可用于筛选、汇总和转换数据流。 目前支持以下运算符：

表运算符	说明
count	返回一个表，其中包含包含记录数的单个记录
不同	使用输入表提供的列的不同组合生成表
join	合并两个表的行，通过匹配同一设备的行来形成新表
order by	按一列或多列对输入表的行进行排序
项目	选择要包含、重命名或删除的列，然后插入新的计算列
take	返回最多指定的行数
top	返回按指定列排序的前 N 条记录
其中	将表筛选为满足谓词的行子集

标量运算符

下表汇总了运算符：

运算符	说明	示例
==	等于	1 == 1, 'aBc' == 'AbC'
!=	不等于	1 != 2, 'abc' != 'abcd'
<	少	1 < 2, 'abc' < 'DEF'
>	大	2 > 1, 'xyz' > 'XYZ'
<=	小于或等于	1 <= 2, 'abc' <= 'abc'
>=	大于或等于	2 >= 1, 'abc' >= 'ABC'
+	添加	2 + 1, now() + 1d
-	减法	2 - 1, now() - 1h
*	乘法	2 * 2
/	除法	2 / 1
%	模	2 % 1
喜欢	左侧 (LHS) 包含右侧 (RHS)	'abc' like '%B%'
！喜欢	LHS 不包含 RHS 的匹配项	'abc' !like '_d_'
contains	RHS 作为 LHS 的子序列出现	'abc' contains 'b'
！包含	LHS 中不会出现 RHS	'team' !contains 'i'
startswith	RHS 是 LHS 的初始子序列	'team' startswith 'tea'
！startswith	RHS 不是 LHS 的初始子序列	'abc' !startswith 'bc'
endswith	RHS 是 LHS 的结束子序列	'abc' endswith 'bc'
！endswith	RHS 不是 LHS 的结束子序列	'abc' !endswith 'a'
和	仅当 RHS 和 LHS 为 true 时，才为 True	(1 == 1) and (2 == 2)
或	如果且仅当 RHS 或 LHS 为 true 时，才为 True	(1 == 1) or (1 == 2)

聚合函数

聚合函数可与 summarize table 运算符一起使用，以计算汇总值。 目前支持以下聚合函数：

功能	说明
avg ()	返回组中值的平均值
count ()	返回每个汇总组的记录计数
countif ()	返回 Predicate 计算结果为 true 的行计数
dcount ()	返回组中非重复值的数目
max ()	返回组中的最大值
maxif ()	从版本 2107 开始，可以将 maxif 与 summarize table 运算符配合使用。 返回 Predicate 计算 true结果为 的组的最大值。
min ()	返回组中的最小值
minif ()	从版本 2107 开始，可以将 minif 与 summarize table 运算符配合使用。 返回 Predicate 计算 true结果为 的组的最小值。
percentile ()	返回 Expr 所定义总体的指定最接近排名百分位数的估计值
sum ()	返回组中值的总和
sumif ()	返回 Predicate 计算结果为 true 的 Expr 之和

标量函数

可以在表达式中使用标量函数。 目前支持以下标量函数：

功能	说明
ago ()	从当前 UTC 时钟时间减去给定的时间跨度
bin ()	将值向下舍入为给定箱大小的日期/时间倍数
case ()	计算谓词列表，并返回满足谓词的第一个结果表达式
datetime_add ()	从指定的日期部分乘以指定金额计算新的日期时间，并添加到指定的日期时间
datetime_diff ()	计算两个日期时间值之间的差值
iif ()	计算第一个参数并返回第二个或第三个参数的值，具体取决于谓词的计算结果为 true (第二个) 还是 false (第三个)
indexof ()	函数报告输入字符串中指定字符串的第一个匹配项的从零开始的索引
isnotnull ()	计算其唯一参数并返回一个布尔值，该值指示参数的计算结果是否为非 null 值
isnull ()	计算其唯一参数并返回一个布尔值，该值指示参数的计算结果是否为 null 值
now ()	返回当前 UTC 时钟时间
strcat ()	连接 1 到 64 个参数
strlen ()	返回输入字符串的长度（以字符为单位）
substring ()	从源字符串中提取从某个索引开始到字符串末尾的子字符串
tostring ()	将输入转换为字符串表示形式

Configuration Manager中 CMPivot 的其他实体、运算符和函数

重要

从 Microsoft Intune 管理中心运行 CMPivot 时，不支持这些项。

类型	Item	说明
Entity	AccountSID	帐户 SID
Entity	FileContent ()	特定文件的内容
Entity	NAPClient	NAP 客户端
Entity	NAPSystemHealthAgent	NAP 系统运行状况代理
Entity	RegistryKey ()	返回与给定表达式匹配的所有注册表项， (从版本 2107 开始)
表运算符	呈现	将结果呈现为图形输出

后续步骤

若要了解有关 CMPivot 的详细信息，请参阅 使用 CMPivot。