對 CMPivot 的變更

適用於：Configuration Manager (目前的分支)

使用下列資訊來瞭解在 Configuration Manager 版本之間對 CMPivot 所做的變更：

版本 2107 的 CMPivot 變更

簡化的 CMPivot 權限需求

我們已簡化 CMPivot 權限需求。 新的權限適用於內部部署主控台中的 CMPivot 獨立版和 CMPivot。 我們做了以下變更：

• CMPivot 不再需要 簡訊指令碼 讀取權限

  • 如果系統管理服務因為 503 (服務無法使用) 錯誤而回復給它，簡訊提供者仍需要此權限，如CMPivot.log所示。

• 不需要 預設範圍 權限。

CMPivot 的一般改良項目

我們對 CMPivot 進行了以下改進：

• 已新增可與 summarize 運算子搭配使用的 maxif 和 minif 彙總工具
• 對查詢編輯器中的查詢自動完成建議的改進
• 已新增機碼值至 登錄實體
• 新增新的 RegistryKey 實體，以傳回所有符合指定運算式的登錄機碼

若要檢閱登錄和 RegistryKey 實體之間的差異，您可以使用下列範例：

// Change the path to match your desired registry hive query

Registry('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')
RegistryKey('hklm:\SOFTWARE\Microsoft\EnterpriseCertificates\Root\Certificates\*')

RegistryKey('hklm:\SOFTWARE\Microsoft\SMS\*')
Registry('hklm:\SOFTWARE\Microsoft\SMS\*')

版本 2103 的 CMPivot 變更

從版本 2103 開始，已對 CMPivot 進行下列改善：

• 結果過大時的警告訊息和匯出 CMPivot 資料選項
• 從 CMPivot 存取社群中心中共用的熱門查詢

結果過大時的警告訊息和匯出 CMPivot 資料選項

當結果太大時，會顯示以下警告訊息：

您的查詢傳回大量結果。 修改查詢以縮小結果範圍，或選取此橫幅以匯出結果。

此訊息會在下列情況下出現：

• 當結果大於 100,000 個儲存格時。

  • 例如，) 有 10 欄實體資料的 10,000 個裝置 (資料列，已達到警告閾值。
  • 在此情況下，系統會提供您將結果匯出至 .csv 檔案的選項

• 當要求從指定裝置傳回超過 128 KB 的資料時。

  • 例如， CcmLog('ciagent', 120d) 查詢會記錄結果，而且可能會超過 128 KB 的限制。
  • 當結果超過 128 KB 時，您會收到警告，但您無法匯出它們，因為它們不會從用戶端傳回伺服器。

從 CMPivot 存取社群中心中共用的熱門查詢

從版本 2103 開始，您可以從內部部署 CMPivot 存取社群中樞中共用的熱門 CMPivot 查詢。 透過使用由更廣泛社群共用的預先建立的 CMPivot 查詢，CMPivot 使用者可以存取更多種查詢。 內部部署 CMPivot 會存取社群中樞，並傳回最常下載的 CMPivot 查詢清單。 使用者可以檢閱熱門查詢、進行自訂，然後隨選執行。 這項改進提供了更廣泛的查詢選擇，以便立即使用，而無需構建它們，並且還允許共享有關如何構建查詢以供將來參考的資訊。

必要條件：

• 符合所有 CMPivot 先決條件和權限
• 啟用 社群中心。 您不需要 GitHub 帳戶即可下載內容。
• 確認社群中樞會顯示哪些內容類別
• 從 Configuration Manager 主控台通知安裝 Microsoft Edge WebView2 擴充功能

使用 CMPivot 存取熱門社群中樞查詢

1. 移至 [資產與合規性 ] 工作區，然後選取 [裝置集合 ] 節點。

2. 選取目標集合、目標裝置或裝置群組，然後選取功能區中的 [啟動 CMPivot ] 以啟動工具。

3. 使用功能表上的社群中樞圖示。

   

4. 檢視最常見共用的 CMPivot 查詢清單。

   

5. 選取其中一個熱門查詢，將其載入到查詢窗格。

6. 如果需要，請編輯 查詢 ，然後選取 [ 執行查詢]。

7. 或者，選取資料夾圖示以存取我的最愛清單。 將原始查詢或編輯的版本新增至我的最愛清單，以便稍後執行。 選取社群中樞圖示以搜尋其他查詢。

8. 保持 CMPivot 視窗開啟，以檢視用戶端的結果。 當您關閉 CMPivot 視窗時，工作階段就完成了。 如果查詢已傳送，用戶端仍會傳送狀態訊息回應給伺服器。

版本 2006 的 CMPivot 變更

從版本 2006 開始，我們對 CMPivot 進行了以下改進：

• CMPivot 獨立版 和從管理員主控台啟動的 CMPivot 已經融合。 當您從管理員主控台啟動 CMPivot 時，它會使用與 CMPivot 獨立版本相同的基礎技術來為您提供案例同位。

• 改進 CMPivot 中的鍵盤瀏覽。

• 您可以從個別裝置或裝置節點執行多個裝置，而不需要選取裝置集合。 這項改進功能可讓人員 （例如擔任服務人員角色的人員） 更輕鬆地針對預先建立的集合之外的特定裝置建立 CMPivot 查詢。

  • 在裝置集合中選取個別裝置或多個選取的裝置，或選取 [ 啟動 CMPivot]。

• 在查詢清單檢視中返回裝置時，您可以在一或多個裝置上選取 [ 裝置樞紐分析 ]，然後只在這些裝置上樞紐分析並查詢，以進一步深入了解。 這項變更可讓您深入了解，而不需查詢原始集合中的較大裝置集。 Device Pivot 取代了 Pivot to。

  • 在現有的 CMPivot 作業中，從輸出中選取個別裝置或多重選取裝置。 以滑鼠右鍵按一下，然後使用 [裝置樞紐] 選項進行樞紐分析。 此動作會啟動一個單獨的 CMPivot 執行個體，其範圍只限於您選取的裝置。 這可讓您更輕鬆地樞紐分析，只查詢所需的裝置，而不需要為它們建立集合。

• 當您針對個別裝置執行 CMPivot 時，裝置名稱會列在視窗頂端。 對於多個裝置，選取的裝置數目會列在視窗頂端。

• 已移除 [查詢摘要] 索引標籤中的 [建立集合 ] 選項，因為 CMPivot 不再需要查詢集合。 執行 裝置樞紐分析 ，以開啟範圍只限於您要查詢之裝置的新 CMPivot 執行個體。 [建立集錦] 仍可在主功能表上使用。

版本 2002 的 CMPivot 變更

我們讓瀏覽 CMPivot 實體變得更容易。 從 Configuration Manager 版本 2002 開始，您可以搜尋 CMPivot 實體。 還添加了新圖標，以輕鬆區分實體和實體對象類型。

1910 版的 CMPivot 變更

從 1910 版開始，CMPivot 已大幅最佳化，以減少伺服器上的網路流量和負載。 此外，還新增了一些實體和實體增強功能，以協助疑難排解和搜尋。 1910 版中的 CMPivot 發生了以下變更：

• 對 CMPivot 引擎的最佳化
• 其他實體和實體增強功能：
  • WinEvent) (Windows 事件記錄檔
  • 檔案內容 (FileContent)
  • 程序載入的 Dll (ProcessModule)
  • Microsoft Entra資訊 (AADStatus)
  • EPStatus) (Endpoint Protection 狀態
• 使用 CMPivot 獨立系統進行本機裝置查詢評估
• CMPivot 的其他增強功能

對 CMPivot 引擎的最佳化

為了減少網路流量和伺服器負載，CMPivot 在 1910 年進行了最佳化。 許多查詢作業現在會直接在用戶端上執行，而不是在伺服器上執行。 這項變更也表示某些 CMPivot 作業會從第一個查詢傳回最少的資料。 如果您決定深入了解資料以取得詳細資訊，則可能會執行新的查詢以從用戶端擷取其他資料。 例如，先前當您執行「摘要計數」查詢時，會將大型資料集傳回伺服器。 雖然傳回大型資料集可立即向下切入，但很多時候只需要摘要計數。 在 1910 年，當您選擇深入了解特定用戶端時，會出現另一個資料集合以傳回您要求的其他資料。 此變更可為針對大量用戶端的查詢帶來更好的效能和延展性。

範例

CMPivot 最佳化大幅減少執行 CMPivot 查詢所需的網路和伺服器 CPU 負載。 透過這些優化，我們現在可以即時篩選千兆字節的客戶端資料。 下列查詢說明這些最佳化：

• 在企業中所有用戶端上搜尋所有事件記錄檔以尋找驗證失敗。

  EventLog('Security')
  | where  EventID == 4673
  | summarize count() by Device
  | order by count_ desc
  

• 依雜湊搜尋檔案。

  Device
  | join kind=leftouter ( File('%windir%\\system32\\*.exe')
  | where SHA256Hash == 'A92056D772260B39A876D01552496B2F8B4610A0B1E084952FE1176784E2CE77')
  | project Device, MalwareFound = iif( isnull(FileName), 'No', 'Yes')
  

WinEvent (<logname>，[<timespan>])

此實體可用來從事件記錄檔和事件追蹤記錄檔取得事件。 實體會從 Windows 事件記錄檔技術所產生的事件記錄檔取得資料。 實體也會在記錄檔中取得由 Windows 事件追蹤 (ETW) 所產生的事件。 WinEvent 預設會查看過去 24 小時內發生的事件。 不過，您可以藉由包含時間範圍來覆寫 24 小時預設值。

WinEvent('Microsoft-Windows-HelloForBusiness/Operational', 1d)
| where LevelDisplayName =='Error'
| summarize count() by Device

FileContent (<filename>)

FileContent 是用來取得文字檔的內容。

FileContent('c:\\windows\\SMSCFG.ini')
| where Content startswith  'SMS Unique Identifier='
| project Device, SMSId= substring(Content,22)

ProcessModule (<processname>)

此實體可用來列舉指定程序載入) 的模組 (DLL。 ProcessModule 在搜捕隱藏在合法進程中的惡意程式碼時非常有用。

ProcessModule('powershell')
| summarize count() by ModuleName
| order by count_ desc

AadStatus

此實體可用來從裝置取得目前的 Microsoft Entra 身分識別資訊。

AadStatus
| project Device, IsAADJoined=iif( isnull(DeviceId),'No','Yes')
| summarize DeviceCount=count() by IsAADJoined
| render piechart

EPStatus

EPStatus 可用來取得電腦上安裝的反惡意程式碼軟體的狀態。

EPStatus
| project Device, QuickScanAge=datetime_diff('day',now(),QuickScanEndTime)
| summarize DeviceCount=count() by QuickScanAge
| order by QuickScanAge
| render barchart

使用 CMPivot 獨立系統進行本機裝置查詢評估

在 Configuration Manager 主控台之外使用 CMPivot 時，您可以只查詢本機裝置，而不需要 Configuration Manager 基礎結構。 您現在可以利用 CMPivot Azure Log Analytics 查詢快速檢視本機裝置上的 WMI 資訊。 這也可以在較大的環境中執行 CMPivot 查詢之前，先對其進行驗證和精簡。 CMPivot 獨立版僅提供英文版。 如需有關 CMPivot 獨立版的詳細資訊，請參閱 CMPivot 獨立版。

本機裝置查詢評估的已知問題

• 如果您在 [此電腦 ] 上查詢您無權存取的 WMI 實體，例如鎖定的 WMI 類別，可能會在 CMPivot 中看到當機。 使用具有提升權限的帳戶執行 CMPivot 來查詢這些實體。
• 如果您在「 這部電腦」上查詢非 WMI 實體，就會看到無 效的命名空間 或不明確的例外狀況。
• 從 [開始] 功能表捷徑獨立執行 CMPivot，而不是直接從可執行檔的路徑執行。

其他增強功能

• 您可以使用 new like 運算子執行規則運算式類型查詢。 例如：

  //Find BIOS manufacture that contains any word like Micro, such as Microsoft
  Bios
  | where Manufacturer like '%Micro%'
  

• 我們已更新 CcmLog () 和 EventLog () 實體，預設為僅查看過去 24 小時內的訊息。 您可以藉由傳遞選用的時間範圍來覆寫此行為。 例如，下列查詢會查看過去 1 小時的事件：

  CcmLog('Scripts',1h)
  

• [ 檔案 () ] 實體已經更新，可收集隱藏檔案和系統檔案的相關資訊，並包含 MD5 雜湊。 雖然 MD5 雜湊不如 SHA256 雜湊準確，但它往往是大多數惡意軟體公告中常見的雜湊。

• 您可以在查詢中新增註解。 共用查詢時，此行為很有用。 例如：

  //Get the top ten devices sorted by user
  Device
  | top 10 by UserName
  

• CMPivot 會自動連線至最後一個網站。 啟動 CMPivot 後，如有必要，您可以連線到新網站。

• 從 [匯出 ] 功能表中，選取 [查詢連結至剪貼簿] 的新選項。 此動作會複製可與其他人共用的剪貼簿連結。 例如：

  cmpivot:Ly8gU2FtcGxlIHF1ZXJ5DQpPcGVyYXRpbmdTeXN0ZW0NCnwgc3VtbWFyaXplIGNvdW50KCkgYnkgQ2FwdGlvbg0KfCBvcmRlciBieSBjb3VudF8gYXNjDQp8IHJlbmRlciBiYXJjaGFydA==

  此連結會使用下列查詢開啟 CMPivot 獨立版本：

  // Sample query
  OperatingSystem
  | summarize count() by Caption
  | order by count_ asc
  | render barchart
  

  提示

  若要讓此連結運作，請 獨立安裝 CMPivot。

• 在查詢結果中，如果裝置已註冊適用於端點的 Microsoft Defender，請以滑鼠右鍵按一下裝置以啟動 Microsoft Defender 資訊安全中心入口網站。

1910 版中 CMPivot 的已知問題

• 達到限制時，可能不會顯示最大結果橫幅。
  • 每個用戶端每次查詢限制為 128 KB 的資料。
  • 如果查詢結果超過 128 KB，結果可能會被截斷。

版本 1906 的 CMPivot 變更

從 1906 版開始，CMPivot 中新增了以下項目：

• 聯結、其他運算子和彙總器
• 新增 CMPivot 權限至安全性系統管理員角色
• CMPivot 獨立版本

在 CMPivot 中新增聯結、其他運算子及彙總器

您現在擁有其他算術運算子、彙總工具，以及新增查詢聯結的能力，例如搭配使用登錄和檔案。 已新增下列項目：

資料表運算子

CMPivot 中已存在轉譯運算子。 已新增對多個數列和 with 陳述式的支援。 如需詳細資訊，請參閱 範例 章節和 Kusto 的 聯結運算子 文章。

聯結的限制

1. 連接欄一律在 [裝置 ] 欄位上隱含完成。
2. 每個查詢最多可以使用 5 個聯結。
3. 您最多可以使用 64 個組合型資料欄位。

純量運算子

彙總函數

純量函數

範例

• 顯示裝置、製造商、型號和作業系統版本：

  ComputerSystem
  | project Device, Manufacturer, Model
  | join (OperatingSystem | project Device, OSVersion=Caption)
  

• 顯示裝置的開機時間圖表：

  SystemBootData
  | where Device == 'MyDevice'
  | project SystemStartTime, BootDuration, OSStart=EventLogStart, GPDuration, UpdateDuration
  | order by SystemStartTime desc
  | render barchart with (kind=stacked, title='Boot times for MyDevice', ytitle='Time (ms)')
  

  

新增 CMPivot 權限至安全性系統管理員角色

從版本 1906 開始，下列權限已新增至 Configuration Manager 的內建安全性系統管理員角色：

• 讀取 簡訊指令碼
• 在集合上執行 CMPivot
• 讀取庫存 報告

CMPivot 獨立版本

您可以使用 CMPivot 做為獨立應用程式。 CMPivot 獨立版僅提供英文版。 在 Configuration Manager 主控台外部執行 CMPivot，以檢視環境中裝置的即時狀態。 這項變更可讓您在裝置上使用 CMPivot，而不需要先安裝主機。

您可以與其他角色共用 CMPivot 的強大功能，例如未在其電腦上安裝主機的技術支援人員或安全性系統管理員。 這些其他角色可以使用 CMPivot 來查詢 Configuration Manager 以及他們傳統上使用的其他工具。 透過共享這些豐富的管理數據，您可以共同努力主動解決跨角色的業務問題。

獨立安裝 CMPivot

1. 設定執行 CMPivot 所需的權限。 如需詳細資訊，請參閱 必要條件。 如果權限適合使用者，您也可以使用 [安全性系統管理員] 角色 。

2. 在下列路徑中尋找 CMPivot 應用程式安裝程式： <site install path>\tools\CMPivot\CMPivot.msi。 您可以從該路徑執行它，或將它複製到另一個位置。

3. 當您執行 CMPivot 獨立應用程式時，系統會要求您連線到網站。 指定管理中心或主要網站伺服器的完整網域名稱或電腦名稱。

   • 每次開啟 CMPivot 獨立版本時，系統都會提示您連線至網站伺服器。

4. 瀏覽至您要執行 CMPivot 的集合，然後執行查詢。

   

版本 1902 的 CMPivot 變更

從 Configuration Manager 版本 1902開始，您可以從系統管理中心網站執行 CMPivot， (階層中的 CAS) 。 主要網站仍會處理與用戶端的通訊。 從管理中心站台執行 CMPivot 時，它會透過高速郵件訂閱通道與主要站台通訊。 此通訊不依賴站台之間的標準 SQL Server 複寫。

當 SQL Server 或 SMS 提供者不在同一部電腦上，或在SQL Server Always On可用性群組設定的情況下，在 CAS 上執行 CMPivot 將需要額外的權限。 有了這些遠端設定，您就有了 CMPivot 的「雙躍點案例」。

若要讓 CMPivot 在這樣的「雙躍點案例」中在 CAS 上運作，您可以定義限制委派。 若要瞭解此設定的安全性影響，請參閱 Kerberos 限制委派 文章。 Kerberos 必須處理電腦之間的所有躍點。 如果您有多個遠端設定，例如是否與 CAS 共置的 SQL Server 或 SMS 提供者，或多個受信任樹系，您可能需要一組權限設定。 以下是您可能需要採取的步驟：

CAS 有遠端 SQL Server

1. 移至每個主要網站的 SQL Server。

   1. 將 CAS 遠端SQL Server和 CAS 網站伺服器新增至Configmgr_DviewAccess群組。

2. 前往 [Active Directory 使用者和電腦]。

   1. 針對每個主要網站伺服器，以滑鼠右鍵按一下，然後選取 [內容]。
      1. 在委派索引標籤中，選擇第三個選項「 僅委派給指定服務的信任此電腦」。
      2. 選擇 [ 僅使用 Kerberos]。
      3. 使用連接埠和執行個體新增 CAS 的 SQL Server 服務。
      4. 確保這些變更符合您公司的安全策略！
   2. 針對 CAS 網站，以滑鼠右鍵按一下並選取 [內容]。
      1. 在委派索引標籤中，選擇第三個選項「 僅委派給指定服務的信任此電腦」。
      2. 選擇 [ 僅使用 Kerberos]。
      3. 使用連接埠和執行個體新增每個主要網站的 SQL Server 服務。
      4. 確保這些變更符合您公司的安全策略！

   

CAS 有遠端提供者

1. 移至每個主要網站的 SQL Server。
   1. 將 CAS 提供者電腦帳戶和 CAS 網站伺服器新增至 Configmgr_DviewAccess 群組。
2. 前往 [Active Directory 使用者和電腦]。
   1. 選取 CAS 提供者電腦，以滑鼠右鍵按一下，然後選取 [內容]。
      1. 在委派索引標籤中，選擇第三個選項「 僅委派給指定服務的信任此電腦」。
      2. 選擇 [ 僅使用 Kerberos]。
      3. 使用連接埠和執行個體新增每個主要網站的 SQL Server 服務。
      4. 確保這些變更符合您公司的安全策略！
   2. 選取 CAS 網站伺服器，以滑鼠右鍵按一下，然後選取 [內容]。
      1. 在委派索引標籤中，選擇第三個選項「 僅委派給指定服務的信任此電腦」。
      2. 選擇 [ 僅使用 Kerberos]。
      3. 使用連接埠和執行個體新增每個主要網站的 SQL Server 服務。
      4. 確保這些變更符合您公司的安全策略！
3. 重新啟動 CAS 遠端提供者電腦。

SQL Server Always On可用性群組

1. 移至每個主要網站的 SQL Server。
   1. 將 CAS 網站伺服器新增至 Configmgr_DviewAccess 群組。
2. 前往 [Active Directory 使用者和電腦]。
   1. 針對每個主要網站伺服器，以滑鼠右鍵按一下，然後選取 [內容]。
      1. 在委派索引標籤中，選擇第三個選項「 僅委派給指定服務的信任此電腦」。
      2. 選擇 [ 僅使用 Kerberos]。
      3. 為具有連接埠和執行個體的 SQL Server 節點新增 CAS 的 SQL Server 服務帳戶。
      4. 確保這些變更符合您公司的安全策略！
   2. 選取 CAS 網站伺服器，以滑鼠右鍵按一下，然後選取 [內容]。
      1. 在委派索引標籤中，選擇第三個選項「 僅委派給指定服務的信任此電腦」。
      2. 選擇 [ 僅使用 Kerberos]。
      3. 使用連接埠和執行個體新增每個主要網站的 SQL Server 服務。
      4. 確保這些變更符合您公司的安全策略！
3. 請確定已針對 CAS 接聽程式名稱和每個主要接聽程式名稱 發佈 SPN 。
4. 重新啟動主要 SQL Server 節點。
5. 重新啟動 CAS 網站伺服器和 CAS SQL Server 節點。

版本 1810 的 CMPivot 變更

CMPivot 包含從 Configuration Manager 版本 1810 開始的下列改良功能：

• CMPivot 公用程式和效能
• 純量函數
• 轉譯視覺效果
• 硬體清查
• 純量運算子
• 查詢摘要
• 稽核狀態訊息

CMPivot 公用程式和效能

• CMPivot 將傳回最多 100,000 個儲存格，而不是 20,000 個資料列。

  • 如果實體有 5 個屬性，也就是 5 個欄，則最多會顯示 20,000 列。
  • 對於具有 10 個屬性的實體，最多會顯示 10,000 列。
  • 顯示的資料總數會小於或等於 100,000 個儲存格。

• 在 [查詢摘要] 索引標籤上，選取失敗或離線裝置的計數，然後選取 [ 建立集合] 選項。 此選項可讓您輕鬆地以補救部署為目標這些裝置。

  • 此選項已在版本 2006 中移除，因為 CMPivot 不再需要查詢集合。

• 按一下資料夾圖示以儲存 我的最愛 查詢。

• 更新至 1810 版本的用戶端會透過快速通訊通道將小於 80 KB 的輸出傳回至網站。

  • 此變更提高了檢視指令碼或查詢輸出的效能。
  • 如果指令碼或查詢輸出大於 80 KB，用戶端會透過狀態訊息傳送資料。
  • 如果用戶端未更新至 1810 用戶端版本，則會繼續使用狀態訊息。

• 當您啟動 CMPivot 時，可能會看到下列錯誤： 因為指令碼版本不相容，您目前無法使用 CMPivot。此問題可能是因為階層正在升級網站。請等到升級完成之後再試。

  • 如果您看到這則訊息，可能表示：
    • 安全性範圍未正確設定。
    • 升級過程中出現問題。
    • 基礎 CMPivot 指令碼不相容。

純量函數

CMPivot 支援下列純量函數：

• ago () ：從目前的 UTC 時鐘時間中減去指定的時間跨度
• datetime_diff () ： 計算兩個日期時間值之間的行事曆差異
• now () ：傳回目前的 UTC 時鐘時間
• bin () ： 將值向下捨位為指定 bin 大小的整數倍

範例

• datetime(2015-12-31 23:59:59.9)：特定日期時間常值
• now()：目前時間
• ago(1d)：目前時間減去一天

轉譯視覺效果

CMPivot 現在包含 KQL 轉譯運算子的基本支援。 這項支援包括下列類型：

• 橫條圖：第一欄為 X 軸，可以是文字、日期時間或數字。 第二欄必須為數值，並顯示為水平條。
• 直條圖：與橫條圖類似，使用垂直條帶而非水平條帶。
• 圓形圖：第一欄是色彩軸，第二欄是數字。
• timechart：折線圖。 第一欄是 X 軸，且應為日期時間。 第二欄是 y 軸。

範例：橫條圖

下列查詢會將最近使用的應用程式呈現為橫條圖：

CCMRecentlyUsedApplications
| summarize dcount( Device ) by ProductName
| top 10 by dcount_
| render barchart

範例..時間圖表

若要呈現時程表，請使用新的 bin () 運算子來按時間將事件分組。 下列查詢顯示裝置在過去七天內啟動的時間：

OperatingSystem
| where LastBootUpTime <= ago(7d)
| summarize count() by bin(LastBootUpTime,1d)
| render timechart

範例..圓形圖

下列查詢會以圓形圖顯示所有作業系統版本：

OperatingSystem
| summarize count() by Caption
| render piechart

硬體清查

使用 CMPivot 查詢任何硬體清查類別。 這些類別包含您對硬體清查所做的任何自訂延伸。 CMPivot 會立即傳回儲存在網站資料庫中的上次硬體清查掃描的快取結果。 同時，如有必要，它會使用來自任何在線客戶端的實時數據更新結果。

結果資料表或圖表中資料的色彩飽和度指出資料是即時或快取。 例如，深藍色是來自線上用戶端的即時資料。 淺藍色是快取資料。

範例

LogicalDisk
| summarize sum( FreeSpace ) by Device
| order by sum_ desc
| render columnchart

限制

• 不支援下列硬體清查實體：
  • 陣列屬性，例如 IP 位址
  • Real32/Real64
  • 內嵌物件屬性
• 庫存實體名稱必須以字元開頭
• 您無法藉由建立相同名稱的清查實體來覆寫內建實體

純量運算子

CMPivot 包含下列純量運算子：

查詢摘要

選取 CMPivot 視窗底部的 [ 查詢摘要 ] 索引標籤。 此狀態可協助您識別離線的用戶端，或對可能發生的錯誤進行疑難排解。 選取 [計數] 欄中的值，以開啟具有該狀態的特定裝置清單。

例如，選取發生失敗狀態的裝置計數。 請參閱特定的錯誤訊息，並匯出這些裝置的清單。 如果錯誤是無法辨識特定 Cmdlet，請從匯出的裝置清單建立集合，以部署 Windows PowerShell 更新。

CMPivot 稽核狀態訊息

從版本 1810 開始，當您執行 CMPivot 時，會建立具有 MessageID 40805 的稽核狀態訊息。 您可以移至 [監視系統狀態>狀態訊息查詢] > 來檢視狀態訊息。 您可以執行 特定使用者的所有稽核狀態訊息、 特定網站的所有稽核狀態訊息，或建立自己的狀態訊息查詢。

訊息使用下列格式：

MessageId 40805： 使用者<使用者名稱>在集合 <Collection-ID> 上使用雜湊 <Script-Hash> 執行指令碼 <Script-Guid>。

• 7DC6B6F1-E7F6-43C1-96E0-E1D16BC25C14 是 CMPivot 的 Script-Guid。
• 可以在用戶端的scripts.log檔案中看到 Script-Hash。
• 您也可以看到儲存在用戶端指令碼存放區中的雜湊。 用戶端的檔名是 <Script-Guid>_<Script-Hash>。
  • 範例檔案名稱：C：\Windows\CCM\ScriptStore\7DC6B6F1-E7F6-43C1-96E0-E1D16BC25C14_abc1d23e45678901fabc123d456ce789fa1b2cd3e456789123fab4c56789d0123.ps

後續步驟

疑難排解 CMPivot