Apparaatquery

Met Apparaatquery kunt u snel op aanvraag informatie verkrijgen over de status van uw Windows-apparaten. Wanneer u een query op een geselecteerd apparaat invoert, wordt een query in realtime uitgevoerd. De geretourneerde gegevens kunnen vervolgens worden gebruikt om te reageren op beveiligingsrisico's, problemen met het apparaat op te lossen of zakelijke beslissingen te nemen.

Voordat u begint

• Controleer of uw omgeving voldoet aan alle vereisten.

Aanvullende vereisten voor apparaatquery's:

Vereisten voor apparaatconfiguratie

Apparaatquery ondersteunt Windows-apparaten die:

• Beheerd door Intune en gemarkeerd als bedrijfseigendom.
• Microsoft Entra gekoppeld
• Toegevoegd aan Microsoft Entra (AADJ)

Apparaatquery's worden uitgevoerd in realtime: wanneer u een apparaat bevraagt, stuurt Intune een verzoek naar het apparaat en wordt er onmiddellijk antwoord verwacht. WNS is het transportmechanisme: Windows Push Notification Services wordt gebruikt om het apparaat op de hoogte te stellen en de queryresultaten te retourneren. Verplichte afhankelijkheid: WNS maakt integraal onderdeel uit van deze communicatie en daarom kunt u deze niet uitschakelen of omzeilen. Als WNS is geblokkeerd of niet beschikbaar is, mislukt de apparaatquery.

Rolvereisten

Gebruik voor het gebruik van Apparaatquery een account met ten minste één van de volgende rollen:

• Helpdeskmedewerker
• Aangepaste rol die het volgende omvat:
  • De machtiging Beheerde apparaten/Query
  • Machtigingen die inzicht bieden in en toegang bieden tot beheerde apparaten in Intune (bijvoorbeeld Organisatie/Lezen, Beheerde apparaten/Lezen)

Apparaatquery gebruiken

1. Selecteer in het Microsoft Intune-beheercentrum de optieApparaatvensters>.
2. Selecteer een apparaat en selecteer vervolgens Apparaatquery onder de sectie Monitor .

De ondersteunde eigenschappen waarop u een query kunt uitvoeren, worden vermeld in de sectie Ondersteunde eigenschappen . Als u een query wilt uitvoeren, voert u een KQL-query (Kusto-querytaal) in en selecteert u Uitvoeren. Resultaten worden weergegeven op het tabblad Resultaten .

Zie Overzicht van de Kusto-querytaal voor meer informatie over de Kusto-querytaal.

Tip

Gebruik Copilot in Intune om KQL-query's te genereren voor apparaatquery's met behulp van aanvragen in natuurlijke taal. Zie Query met Copilot in apparaatquery voor meer informatie.

Aanbevolen procedures:

• Bedenk hoe apparaatquery's kunnen worden gebruikt om uw L1/L2-technici te helpen ondersteuningstickets sneller op te lossen, terwijl de verstoring voor gebruikers tot een minimum wordt beperkt.
• Bekijk ondersteuningsprocessen en taken waarvoor normaal gesproken een externe beheersessie op het apparaat van de eindgebruiker is vereist. Controleer of deze kunnen worden voltooid met behulp van een query voor één apparaat, bijvoorbeeld het controleren van een actieve service, het controleren van een registersleutelwaarde voor een toepassingsconfiguratie, het controleren van een toepassingsversie of het rapporteren over de belangrijkste processen per CPU-verbruik.
• Maak opgeslagen query's voor terugkerende onderzoeken in je ITSM-Knowledge Base, zodat L1/L2-engineers er snel toegang toe hebben.
• Werk processen bij om externe acties te gebruiken voor snelle probleemoplossing. Start een apparaat opnieuw op of voer een herstelscript uit om een bekend probleem op te lossen.

Acties op externe apparaten

Gebruik de Intune externe apparaatacties in Query voor één apparaat om uw apparaten op afstand te beheren. Vanuit de interface voor apparaatquery's kunt u nu apparaatacties uitvoeren op basis van queryresultaten voor snellere en efficiëntere probleemoplossing.

De beschikbare apparaatacties zijn afhankelijk van het apparaatplatform en de configuratie hiervan. Niet alle acties zijn beschikbaar voor alle apparaten. Zie Externe apparaatacties in Microsoft Intune voor een volledige lijst van wat er op uw apparaten kan worden gedaan.

Ondersteunde operators

Apparaatquery ondersteunt slechts een subset van de operators die worden ondersteund in de Kusto-querytaal (KQL). De volgende operatoren worden momenteel ondersteund:

• Tabeloperatoren
• Scalaire operatoren
• Aggregatiefuncties
• Scalaire functies

Tabeloperatoren

U kunt tabeloperatoren gebruiken om gegevensstromen te filteren, samen te vatten en te transformeren. Momenteel worden de volgende operatoren ondersteund:

Tabeloperatoren	Beschrijving
count	Geeft als resultaat een tabel met één record die het aantal records bevat
distinct	Produceert een tabel met de afzonderlijke combinatie van de opgegeven kolommen van de invoertabel
join	Voeg de rijen van twee tabellen samen om een nieuwe tabel te vormen door de rij voor hetzelfde apparaat overeen te laten komen
order by	Sorteer de rijen van de invoertabel op volgorde op basis van een of meer kolommen
project	Selecteer de kolommen die u wilt opnemen, wijzig de naam of zet ze neer en voeg nieuwe berekende kolommen in
take	Maximaal het opgegeven aantal rijen retourneren
top	Geeft als resultaat de eerste n records gesorteerd op de opgegeven kolommen
where	Filtert een tabel op de subset met rijen die voldoen aan een predicaat

Scalaire operatoren

De volgende tabel bevat een overzicht van operators:

Operatoren	Beschrijving	Voorbeeld
==	Gelijk	1 == 1, 'aBc' == 'AbC'
!=	Niet gelijk	1 != 2, 'abc' != 'abcd'
<	Minder	1 < 2, 'abc' < 'DEF'
>	Groter	2 > 1, 'xyz' > 'XYZ'
<=	Kleiner of gelijk	1 <= 2, 'abc' <= 'abc'
>=	Groter of gelijk	2 >= 1, 'abc' >= 'ABC'
+	Toevoegen	2 + 1, now() + 1d
-	Aftrekken	2 - 1, now() - 1h
*	Vermenigvuldigen	2 * 2
/	Delen	2 / 1
%	Modulo	2 % 1
like	Left Hand Side (LHS) bevat een match voor Right Hand Side (RHS)	'abc' like '%B%'
contains	RHS komt voor als een subreeks van LHS	'abc' contains 'b'
!contains	RHS komt niet voor bij LHS	'team' !contains 'i'
startswith	RHS is een eerste subreeks van LHS	'team' startswith 'tea'
!startswith	RHS is geen initiële subreeks van LHS	'abc' !startswith 'bc'
endswith	RHS is een afsluitende deelreeks van LHS	'abc' endswith 'bc'
!endswith	RHS is geen afsluitende subreeks van LHS	'abc' !endswith 'a'
and	Waar dan en slechts dan als RHS en LHS waar zijn	(1 == 1) and (2 == 2)
or	Waar dan en slechts dan als RHS of LHS waar is	(1 == 1) or (1 == 2)

Aggregatiefuncties

Aggregatiefuncties kunnen samen met de summarize tabeloperator worden gebruikt om samengevatte waarden te berekenen. Momenteel worden de volgende aggregatiefuncties ondersteund:

Functie	Beschrijving
avg()	geeft als resultaat het gemiddelde van de waarden in de groep
count()	Retourneert het aantal records per samenvattingsgroep
countif()	Geeft als resultaat het aantal rijen waarvoor predicaat waar is
dcount()	geeft als resultaat het aantal unieke waarden in de groep
max()	geeft als resultaat de maximumwaarde voor de gehele groep
maxif()	Vanaf versie 2107 kunt u de operator voor summarize tabellen gebruikenmaxif. Retourneert de maximumwaarde voor de groep waarvoor predicaat resulteert in true.
min()	geeft als resultaat de minimumwaarde voor de gehele groep
minif()	Vanaf versie 2107 kunt u de operator voor summarize tabellen gebruikenminif. Retourneert de minimumwaarde voor de groep waarvoor predicaat resulteert in true.
percentile()	Retourneert een schatting voor het opgegeven percentiel van de dichtstbijzijnde rang van de populatie, gedefinieerd door Expr
sum()	geeft als resultaat de som van de waarden in de groep
sumif()	geeft als resultaat de som van Expr waarvoor predicaat waar oplevert

Scalaire functies

Scalaire functies kunnen worden gebruikt in expressies. Momenteel worden de volgende scalaire functies ondersteund:

Functie	Beschrijving
ago()	Hiermee trekt u de opgegeven tijdspanne af van de huidige UTC-kloktijd
bin()	rondt waarden naar beneden af op een veelvoud van een gegeven datum/tijd-veelvoud van een bepaalde bin-grootte
case()	Evalueert een lijst met predicaten en retourneert het eerste resultaat waarvan aan het predicaat is voldaan
datetime_add()	Berekent een nieuwe datetime op basis van een opgegeven datepart vermenigvuldigd met een opgegeven bedrag, opgeteld bij een opgegeven datetime
datetime_diff()	Hiermee wordt het verschil tussen twee datum- en tijdwaarden berekend
iif()	Evalueert het eerste argument en retourneert de waarde van het tweede of derde argument, afhankelijk van of het predicaat waar (tweede) of onwaar (derde) is geëvalueerd
indexof()	De functie rapporteert de op nul gebaseerde index van het eerste exemplaar van een opgegeven tekenreeks in de invoertekenreeks
isnotnull()	Evalueert het enige argument en retourneert een Booleaanse waarde die aangeeft of het argument een niet-null-waarde oplevert
isnull()	Evalueert het enige argument en retourneert een Booleaanse waarde die aangeeft of het argument een null-waarde oplevert
now()	Geeft als resultaat de huidige UTC-kloktijd
strcat()	Hiermee worden 1 tot 64 argumenten samengevoegd
strlen()	Geeft als resultaat de lengte van de tekenreeks in tekens
substring()	haalt een subtekenreeks op uit een brontekenreeks vanaf een index tot het einde van de tekenreeks
tostring()	converteert invoer naar een tekenreeksweergave

Ondersteunde eigenschappen

Device Query ondersteunt de volgende entiteiten. Zie het Intune-gegevensplatformschema voor meer informatie over welke eigenschappen voor elke entiteit worden ondersteund.

• BiosInfo
• Certificate
• Cpu
• DiskDrive
• EncryptableVolume
• FileInfo
• LocalGroup
• LocalUserAccount
• LogicalDrive
• MemoryInfo
• OsVersion
• Process
• SystemEnclosure
• SystemInfo
• Tpm
• WindowsAppCrashEvent
• WindowsDriver
• WindowsEvent
• WindowsQfe
• WindowsRegistry
• WindowsService

Bekende beperkingen

• De resultaattekenreeks van een query is beperkt tot 128 kB-tekens. Als het resultaat van de query langer is dan 128 kb-tekens, wordt het resultaat afgekapt. In een foutbericht wordt aangegeven hoeveel rijen worden afgekapt.
• U kunt slechts 15 query's per minuut verzenden. Als er een fout optreedt waarbij de limiet is overschreden , wacht u een minuut en probeert u het opnieuw.
• Query-invoer heeft een maximale lengte van 2048 tekens. Als u een query te lange fout krijgt, verfijnt u de query zodat deze minder tekens bevat en probeert u het opnieuw.
• De scalaire functie now() biedt geen ondersteuning voor de offset-parameter.
• De !like provider wordt niet ondersteund.
• In het invoervenster worden automatisch dubbele aanhalingstekens aanbevolen wanneer de volgende operatoren alleen enkele aanhalingstekens ondersteunen:
  • contains
  • !contains
  • startswith
  • !startswith
  • endswith
• De entiteit WindowsRegistry kan de registersleutel voor root niet retourneren.
• De entiteit WindowsRegistry kan geen 64-bits gedeelde registersleutels retourneren.
• De entiteit WindowsRegistry kan binaire waardegegevens niet retourneren.
• Als er meerdere netwerkkaarten beschikbaar zijn op de computer, wordt alleen het eerste geconfigureerde domein geretourneerd.
• Als TPM 2.0 aanwezig is op het apparaat, dan wordt geactiveerd en ingeschakeld altijd als WAAR geretourneerd.
• Als een bestand op dat moment op de computer in gebruik is, geeft een FileInfo-query een fout als resultaat.
• Als de eindgebruiker beheerderstoegang tot het apparaat heeft, kan deze mogelijk clientgegevens wijzigen die in de queryresultaten worden geretourneerd. Bijvoorbeeld de versie van het besturingssysteem en het register.