Запросы WMI в powershell «Неверный запрос»

Краткий ответ... ваша способность фильтровать свойство зависит от того, какой это класс WMI и какие типы свойств.

Подробный ответ... Чтобы получить дополнительные сведения о классе WMI в PowerShell, используйте командлет Get-CimClass. Свойства могут иметь различные типы значений в зависимости от данных, которые они возвращают (т.е. String, Integers, Boolean). В вашем примере вы пытаетесь запросить свойство «Фильтр», которое является ссылочным типом. Ссылочный тип не имеет буквального значения, это просто ссылка на экземпляр из другого класса. Вы можете указать ссылочное свойство, потому что оно показывает полный или частичный путь к другому классу (как вы видели в вашем примере, на «__EventFilter» ссылались. Вы также можете получить информацию о типе свойства из этой команды powershell:

Get-CimClass -Namespace "root\Subscription" -Class __FilterToConsumerBinding | Select-Object -ExpandProperty CimClassProperties | Where-Object {$_.Name -eq 'Filter'}

Свойства ссылочного типа отображаются в классах WMI, у которых квалификатор класса "Association" имеет значение true. Квалификаторы класса — это свойства самого класса, определяющие его поведение. Вы можете увидеть все квалификаторы класса, используя эту команду.

Get-CimClass -Namespace "root\Subscription" -Class __FilterToConsumerBinding | Select-Object -ExpandProperty CimClassQualifiers

К сожалению, поскольку WQL является языком запросов, вы не можете фильтровать экземпляры класса на основе свойств со ссылочным типом, используя предложение WHERE. Вы можете использовать только простые типы, такие как строка, целое число или свойство встроенного объекта (хотя встроенные объекты встречаются крайне редко).

Поскольку класс __EventFilter является тем, на что ссылается свойство «Фильтр», и этот класс имеет простые типы свойств, мы можем начать с него. Вы можете запросить __EventFilter по свойству Name, которое является строковым типом, без каких-либо проблем.

Существуют некоторые расширенные методы запросов (ASSOCIATORS OF и REFERENCES OF), которые могут помочь вам получить экземпляр из __FilterToConsumerBinding с запросами на основе ссылок, но это многоэтапный процесс. Я бы порекомендовал проверить Microsoft Doc на нем Microsoft Doc WQL, но вот базовая двухшаговая команда PowerShell, которая сначала получит имя экземпляра, на который ссылаются, а затем любые экземпляры, которые на него ссылаются.

$InstanceName = (Get-WmiObject -Namespace "ROOT\subscription" -Query "SELECT * FROM __EventFilter WHERE Name LIKE '%SCM%'").Name
Get-WmiObject -Namespace "ROOT\subscription" -Query "REFERENCES OF {__EventFilter.Name='$InstanceName'}"

Поскольку REFERENCES OF будет выполнять поиск по всему пространству имен, вы можете сузить результаты до определенного класса, добавив предложение WHERE и назвав ResultClass в качестве целевого класса. Пересмотренная вторая строка вашей команды теперь будет

Get-WmiObject -Namespace "ROOT\subscription" -Query "REFERENCES OF {__EventFilter.Name='$InstanceName'} WHERE ResultClass = __FilterToConsumerBinding"

Это должно вернуть экземпляр, который вы ищете, только из __FilterToConsumerBinding. (*Обратите внимание, что имя класса не заключено в кавычки. Использование двойных или одинарных кавычек приведет к ошибке недопустимого запроса.

Чтобы ответить на ваш вопрос о классе __EventConsumer, это вызывает еще одну концепцию WMI, называемую абстрактными классами. Я не буду вдаваться в подробности, но абстрактный класс по сути является базовым классом (отправной точкой для других классов), который могут наследовать другие классы. Однако, в отличие от стандартных базовых классов, абстрактные классы не могут иметь собственных экземпляров. Вы можете узнать, является ли класс абстрактным, получив квалификаторы класса __EventConsumer. Вы заметите, что если вы запустите приведенную ниже команду, вы увидите, что она имеет квалификатор класса "abstract".

Get-CimClass -Namespace "root\Subscription" -Class __EventConsumer | Select-Object -ExpandProperty CimClassQualifiers

Поскольку абстрактный класс сам не может содержать никаких экземпляров, если вы перечислите его, он вернет экземпляры для всех классов, которые используют его в качестве базового класса. В вашем примере __EventConsumer фактически дает экземпляр из NTEventLogEventConsumer. Поскольку перечисление абстрактного класса возвращает несколько разных классов, не всегда будет обещание одних и тех же свойств для фильтрации, поэтому фильтрация не разрешена, если только вы не фильтруете свойство, содержащееся в базовом классе. Чтобы узнать, что такое базовый класс класса WMI, вы можете использовать эту команду и увидеть, что базовым классом для NTEventLogEventConsumer является __EventConsumer.

Get-CimClass -Namespace "root\Subscription" -Class NTEventLogEventConsumer | Select-Object -ExpandProperty CimSuperClassName

Обычно вы можете перечислить все экземпляры абстрактного класса, используя запрос SELECT * FROM __EventConsumer. Это покажет все экземпляры, но как только вы добавите предложение WHERE со свойством, не включенным в базовый класс, вы либо получите неверный запрос, либо экземпляры не будут возвращены. По этой причине вы можете напрямую запрашивать NTEventLogEventConsumer, но не __EventConsumer.

Надеюсь это поможет.