WMI 脚本入门：第一部分_wbemtest.exe查询表中字段值为

发布日期： 09/03/2004 | 更新日期： 09/03/2004

本页内容

Microsoft®Windows®Management Instrumentation (WMI) 大概是我们已知的 Microsoft 保存最好的秘密。尽管如此，但毫无疑问，WMI 是 Microsoft 主要的针对 Windows 的管理支持技术。这对您来说意味着什么呢？那么，如果您管理 Windows 服务器和工作站，或者如果您创建 Windows 管理应用程序，您就需要了解 WMI。本文是教授您 WMI，更确切地说，是教您如何使用 WMI 脚本库来创建大批 Windows 系统管理脚本的系列文章中的第一篇。

在开始之前，我们应该用一点时间来感谢 Andrew Clinick，他让我们有机会来传承 Scripting Clinic。可以说，当 Andrew 在其最近的专栏中说他计划移交更多内容的时候，他并不是在开玩笑！事实上，Andrew 正在转移到另一个项目，因此他客气地请我们从他停止的地方继续。除了开始时由于 Andrew 为Scripting Clinic建立了很高的质量水准而感到有点勉强之外，我们很高兴接手这一工作。

那么，我们是谁呢？我们是 Scripting Guys，是编写 System Administration Scripting Guide 一书的小组，这本书作为 Microsoft® Windows Server 2003 资源工具箱附带的一部分。在专栏的大头照中，左面是 Dean，右面是 Greg。有传言说 Ethan 和 Bob 由于去做每周一次的肉毒杆菌除皱而错过了拍照。所以，如果以后在网上看到他们的照片时，发现他们俩看起来非常英俊，我们在这儿要先告诉您，Ethan 和 Bob 真的是我们见过的最笨得令人讨厌的家伙！记得要注意啊。

什么是 WMI？

WMI最初于 1998 年作为一个附加组件与 Windows NT 4.0 Service Pack 4 一起发行，是内置在 Windows 2000、Windows XP 和 Windows Server 2003 系列操作系统中核心的管理支持技术。基于由 Distributed Management Task Force (DMTF) 所监督的业界标准，WMI 是一种规范和基础结构，通过它可以访问、配置、管理和监视所有的 — 几乎所有的 Windows 资源。

要掌握 WMI 的强大功能和范围，需要考虑以前（或者现在）如何管理并监视 Windows 工作站和服务器。您可能用过或仍在使用众多的图形化管理工具来管理 Windows 资源 — 例如磁盘、事件日志、文件、文件夹、文件系统、网络组件、操作系统设置、性能数据、打印机、进程、注册表设置、安全性、服务、共享、用户、组等等。

尽管图形化工具提供了一种功能管理解决方案，它们所共有的东西是什么呢？一种答案是，在 WMI 之前，所有的 Windows 图形化管理工具都依赖于 Win32 应用程序编程接口（Application Programming Interfaces，APIs）来访问和管理 Windows 资源。为什么？因为在 WMI 之前，能够以编程方式访问 Windows 资源的惟一方法就是通过 Win32 API。这种情况使 Windows 系统管理员无法通过一种简便的方法利用常见的脚本语言来自动化常用的系统管理任务，因为大多数脚本语言都不能直接调用 Win32 API。通过提供一致的模型和框架，WMI 改变了这种情况 — 通过模型和框架，所有的 Windows 资源均被描述并公开给外界。最好的一点是，系统管理员可以使用 WMI 脚本库创建系统管理脚本，从而管理任何通过 WMI 公开的 Windows 资源！

使用 Windows Script Host 和 Microsoft Visual Basic Scripting Edition (VBScript)，或任何支持 COM 自动化的脚本语言（例如，ActiveState Corporation 的 ActivePerl），可以编写脚本来管理和自动化企业系统、应用程序和网络的下列方面：

快速启动到 WMI 脚本

为了让您对 WMI 脚本是什么有一些概念，让我们来看看一个表面看来不怎么重要的任务 — 检索安装在基于 Windows 的远程计算机中的物理内存的总量。在 WMI 之前，如果没有另外的第三方工具，是不能通过一个脚本来轻松完成这个任务的。实际上，在 WMI 之前，使用包括操作系统工具的工具确定安装在计算机中内存数量的惟一方法是通过系统属性对话框。今天，如果目标计算机上安装了 WMI，并且有计算机的管理员访问权限，您就可以使用一个 WMI 脚本来检索在远程 Windows 计算机上安装的物理内存量，如清单 1 中所示的一样简单。

清单 1：使用 WMI 和 VBScript 检索总物理内存

strComputer = "atl-dc-01"

Set wbemServices = Getobject("winmgmts://" & strComputer)
Set wbemObjectSet = wbemServices.InstancesOf("Win32_LogicalMemoryConfiguration")

For Each wbemObject In wbemObjectSet
    WScript.Echo "Total Physical Memory (kb): " & wbemObject.TotalPhysicalMemory
Next

要运行清单 1 中的示例脚本，将其复制并粘贴到您最常用的文本编辑器中（notepad.exe 也可以），将分配给 strComputer 变量的值更改为域中一个有效的启用 WMI 的计算机，保存脚本（扩展名为 .vbs），并如图 1 所示运行脚本。

有点不可思议，无须任何录入，您应该会看到目标计算机的物理内存量回显到控制台。

现在，在你说“天哪！真的用六行脚本来检索一台计算机中的内存数量？”之前，让我们先礼貌地插几句话，因为至今尚不明显的是，您可以使用与在清单 1 中所演示的相同的基本步骤，从任何通过 WMI 公开的 Windows 资源检索配置和状态信息。

假设您想要检索安装在一台远程计算机上的所有服务的名称、状态和启动类型。清单 2 中的示例脚本完全使用清单 1 中使用过的相同的基本步骤来完成。

清单 2：使用WMI 和 VBScript 检索服务信息

strComputer = "atl-dc-01"

Set wbemServices = Getobject("winmgmts://" & strComputer)
Set wbemObjectSet = wbemServices.InstancesOf("Win32_Service")

For Each wbemObject In wbemObjectSet
    WScript.Echo "Display Name:  " & wbemObject.DisplayName & vbCrLf & _
                 "   State:      " & wbemObject.State       & vbCrLf & _
                 "   Start Mode: " & wbemObject.StartMode
Next

运行清单 2 生成如图 2 中所示的输出。

假设您对服务不感兴趣，但是需要从 Windows 事件日志检索记录。再次使用清单 1 中的脚本模板，您可以很容易地读取 Windows 事件日志，如清单 3 中所演示。在您运行清单 3 之前我们要指出的是，如果您的事件日志包含数千个记录，示例脚本可能需要用很长的时间运行。

清单 3：读取 Windows 事件日志记录

strComputer = "atl-dc-01"

Set wbemServices = Getobject("winmgmts://" & strComputer)
Set wbemObjectSet = wbemServices.InstancesOf("Win32_NTLogEvent")

For Each wbemObject In wbemObjectSet
    WScript.Echo "Log File:        " & wbemObject.LogFile        & vbCrLf & _
                 "Record Number:   " & wbemObject.RecordNumber   & vbCrLf & _
                 "Type:            " & wbemObject.Type           & vbCrLf & _
                 "Time Generated:  " & wbemObject.TimeGenerated  & vbCrLf & _
                 "Source:          " & wbemObject.SourceName     & vbCrLf & _
                 "Category:        " & wbemObject.Category       & vbCrLf & _
                 "Category String: " & wbemObject.CategoryString & vbCrLf & _
                 "Event:           " & wbemObject.EventCode      & vbCrLf & _
                 "User:            " & wbemObject.User           & vbCrLf & _
                 "Computer:        " & wbemObject.ComputerName   & vbCrLf & _
                 "Message:         " & wbemObject.Message        & vbCrLf
Next

如果我们仔细检查清单 1、2 和 3，我们会得出关于这三个脚本的两个非常重要的观察结果。第一个观察结果是，所有三个脚本都执行相同的三个步骤：脚本连接到 WMI，检索一个 WMI 托管资源，并回显资源的几个属性。第二个重要的观察结果是，在每个脚本中，惟一的更改是标识目标资源的类名（即分别为 Win32_LogicalMemoryConfiguration、Win32_Service 和 Win32_NTLogEvent），以及资源的相应属性。

脚本中使用的三个步骤，对于任何用于检索 WMI 托管资源信息的 WMI 脚本来说是共同的。让我们稍详细一些地看一下每个步骤。

步骤 1：连接到 WMI 服务

在任何 WMI 脚本中，第一个步骤都是建立一个到目标计算机上的 Windows 管理服务的连接。连接到在本地或远程计算机上的 WMI 与调用 VBScript 的 Getobject 函数并将 WMI 脚本库的名字对象的名称（即“winmgmts:”，后跟目标计算机的名称）传递到 Getobject 一样简单。

用这种方法连接到 WMI，返回一个对 SWbemServices 对象的引用，我们使用清单 1、2、3 中的名为 wbemServices 的变量来引用该对象。SWbemServices 是在 WMI 脚本库中定义的一打左右的对象中的一个。WMI 脚本库提供一组用于访问 WMI 基础结构的通用对象脚本。一旦有一个对 SWbemServices 对象的引用，您就可以调用任何提供了 SWbemServices 的方法；InstancesOf 就是此种方法中的一个。

步骤 2：检索 WMI 托管资源的实例

普遍认为，第二个步骤主要取决于要执行的任务。在检索 WMI 托管资源的信息中，步骤 2 与调用 SWbemServices 对象的 InstancesOf 方法一样简单。正如方法名所示，InstancesOf 返回由资源的类名标识的托管资源的所有实例。InstancesOf 以一个 SWbemObjectSet 集合的形式返回所需的资源，通过使用名为 wbemObjectSet 的变量我们在清单 1、2、3 中引用它。SWbemObjectSet 是 WMI 脚本库中定义的另一个脚本对象。

步骤 3：显示 WMI 托管资源的属性

最后一个步骤是枚举 SWbemObjectSet 集合的内容。SWbemObjectSet 中的每个项都是一个 SWbemObject（WMI 脚本库中的另外一个对象） — 表示所需资源的一个单个实例。使用 SWbemObject 来访问托管资源类定义中定义的方法和属性。

那么，如果从 WMI 检索信息的脚本编写步骤都是相同的，Win32_LogicalMemoryConfiguration、Win32_Service 和 Win32_NTLogEvent 类是什么呢？此外，它们来自哪里？哪些其他的类是可用的？还有，如何使用它们？这些问题的答案分散在构成 WMI 体系结构的各组件中。让我们来看一下。

WMI 体系结构

WMI 体系结构由三个主层组成，如图 3 所示：

我们将从最低层开始，因为资源是驻留在那里的。

托管资源

托管资源是任意逻辑或物理组件，通过使用 WMI 进行公开和管理。可以使用 WMI 管理的 Windows 资源包括：计算机系统、磁盘、外围设备、事件日志、文件、文件夹、文件系统、网络组件、操作系统子系统、性能计数器、打印机、进程、注册表设置、安全性、服务、共享、SAM 用户和组、Active Directory、Windows 安装程序、Windows 驱动程序模式 (WDM) 设备驱动程序，以及 SNMP 管理信息基 (MIB) 数据等。WMI 托管资源通过一个提供程序与 WMI 通讯。当开始编写脚本来与 WMI 托管资源交互时，您经常会看到一个术语实例，它被用于引用在运行中的脚本中的托管资源的虚拟表示形式。

WMI 基础结构

中间层是 WMI 基础结构。WMI 由三个主要组件构成：公共信息模型对象管理器（Common Information Model Object Manager，CIMOM）、公共信息模型（Common Information Model，CIM）储存库，以及提供程序。这三个 WMI 组件共同提供通过其定义、公开、访问和检索配置和管理数据的基础结构。虽然小，但是对编写脚本来说绝对不可或缺的第四个组件是 WMI 脚本库。

WMI 提供程序

WMI 提供程序在 WMI 和托管资源之间扮演着中间方的角色。提供程序代表使用者应用程序和脚本从 WMI 托管资源请求信息，并发送指令到 WMI 托管资源。例如，清单 1 和清单 2 使用内置 Win32 提供程序来检索内存和服务相关信息。清单 3 使用内置的事件日志提供程序来从 Windows 事件日志检索记录。

通过将托管资源公开给基于 WMI 标准的、统一访问模型的 WMI 基础结构，提供程序隐藏托管资源独有的实现详细信息。WMI 提供程序使用托管资源本机 API 与其相应的托管资源通讯，使用 WMI 编程接口与 CIMOM 通讯。例如，内置的事件日志提供程序调用 Win32 事件日志 API 来访问事件日志。

基于 WMI 的可扩展体系结构，软件开发人员可以开发并集成附加提供程序来公开其产品特有的管理函数。监视 Exchange 连接器状态的 Exchange Server 2000 提供程序就是一个这样的示例。同样，Application Center、Operations Manager、Systems Management Server、Internet Information Server 和 SQL Server 都包含 WMI 提供程序。

提供程序通常作为驻留在 %SystemRoot%/system32/wbem 目录中的动态链接库 (DLL) 实现。WMI 包括很多针对Windows 2000、Windows XP 以及 Windows Server 2003 系列操作系统的内置提供程序。内置提供程序（也被称为标准提供程序），从已知的操作系统源（如 Win32 子系统、事件日志、性能计数器、注册表等）提供数据和管理函数。表 1 中列出一些包含在 Windows 2000、Windows XP 和 Windows Server 2003 系列操作系统中的 WMI 提供程序。

Windows XP 和 Windows Server 2003 包含很多附加的标准提供程序。如需标准提供程序的完整列表，参见 WMI Software Developers Kit (SDK) 文档中的 WMI 提供程序参考。

CIMOM

CIMOM（读作 see-mom）处理使用者和提供程序之间的交互。这一术语是来自于基于 Web 的企业管理软件和由 Distributed Management Task Force 维护的公共信息模型规范。

您可以将 CIMOM 想象为 WMI 信息代理。所有的 WMI 请求和数据都经过 CIMOM。Windows Management Instrumentation 服务 (winmgmt.exe)，在 Windows XP 和 Windows Server 系列操作系统上提供了 CIMOM 角色，在通用服务主机进程 (svchost.exe) 的控制下运行。

注在运行 Windows 2000 或 Windows NT 4.0 Service Pack 4 的计算机上，WMI 服务作为一个单独的服务进程运行。在运行 Windows Millennium Edition (Me)、Windows 98 或 Windows 95 OSR 2.5 的计算机上，WMI 作为一个标准可执行进程运行。

除了提供公共接口（使用者通过它访问 WMI）之外，CIMOM 还向 WMI 基础结构提供下列核心服务：

管理应用程序、管理工具和脚本调入 CIMOM 以挖掘数据、订阅事件或执行一些其他的与管理相关的任务。CIMOM 获得必需的提供程序和类信息以满足来自 CIM 的使用者的请求。CIMOM 使用从 CIM 获得的信息，将使用者的请求传递到合适的提供程序。

CIM 储存库

WMI 的基本思想是 — 可以用一个架构统一表示来自不同源的配置和管理信息。CIM 就是这个架构，还调用了模型化托管环境和定义每个由 WMI 公开的数据块的对象储存库或类存储。该架构基于 DMTF 公共信息模型标准。

与建立在类概念基础上的 Active Directory 的架构非常相似，CIM 由类 组成。类是一个 WMI 托管资源的一个蓝图。然而，不同于 Active Directory 类表示创建并存储在目录中的对象，CIM 类通常表示动态资源。就是说，资源的实例并不存储在 CIM 中，而是通过基于使用者请求的提供程序动态检索。其原因很简单，大多数 WMI 托管资源的操作状态更改很频繁，因而必须按需读取以确保检索的是最新的信息。

注在 CIM 的上下文中，储存库这一术语有些被误解。尽管 CIM 是一个储存库，而且能够存储静态数据，但其主要角色是存储托管资源的蓝图。

与 Active Directory 类相似之处还有就是，CIM 类是分级组织的，每一级的子类从父类继承。DMTF 维护一组核心和公共基类，系统和应用程序软件开发人员（如 Microsoft 的那些）从这些类派生和创建系统（或应用程序）特定的扩展类。

类被分组到命名空间 中，命名空间是表示一个特定的管理区域的类逻辑组。例如，命名空间 root/cimv2 包括大部分表示通常与计算机和操作系统相关联的资源的类。在前面的脚本中使用的类（Win32_LogicalMemoryConfiguration、Win32_Service 和Win32_NTLogEvent）驻留在命名空间 root/cimv2，它们只是在 CIM 中定义的数百个类中的三个。

CIM 类由属性和方法构成。属性描述 WMI 托管资源的配置和状态，方法是在 WMI 托管资源上执行操作的可执行函数。

注 不要将由 CIM 定义的方法和属性与由 WMI 脚本库中的自动化对象提供的方法和属性相混淆。

从物理校对看，CIM 驻留在 %SystemRoot%/system32/wbem/Repository/FS/ 目录中，由下列 4 个文件组成：

注在 Microsoft Windows 2000 和 Windows NT 4.0 Service Pack 4 中，CIM 存储在 %SystemRoot%/system32/wbem/Respository/cim.rep 中。在 Windows Millennium Edition (Me)、Windows 98 和 Windows 95 OSR 2.5 操作系统中，CIM 存储在 %windir%/system/wbem/Respository/cim.rep 中。

虽然 CIM 基于面向对象的设计原则，但是您无须成为信息建模或架构设计的专家，就可以有效地使用 WMI 并编写基于 WMI 的脚本。重要的是您了解 CIM 的基础结构和组织，并了解如何浏览和解释它的内容。

WMI 脚本库

WMI 脚本库提供自动化对象集，脚本语言（如 VBScript、Jscript 及 ActiveState 的 ActivePerl）利用它访问 WMI 基础结构。

WMI 脚本库中的自动化对象为 WMI 基础结构提供一个一致且统一的脚本模型。如前面所示，一旦您了解如何使用 WMI 脚本库检索一个托管资源类型，您就可以轻松使用相同的步骤来检索其它的 WMI 托管资源。例如，您可以使用前面列出的 3 个脚本中的任何一个，并很容易地修改这个脚本来检索在远程计算机上运行的进程 (Win32_Process) 信息、处理器 (Win32_Processor) 信息、操作系统 (Win32_OperatingSystem) 信息，或者由 WMI 公开的数百个托管资源中的任何一个。

WMI 脚本库在一个名为 wbemdisp.dll 的单个 DLL 中实现，该 DLL 物理驻留于 %SystemRoot%/system32/wbem 目录中。WMI 脚本库还包括一个名为 wbemdisp.tlb 的类型库。您可以使用 WMI 脚本类型库来从基于 XML 的 Windows 脚本文件（扩展名为 .wsf 的 WSH 脚本）引用 WML 常数。

WMI 使用者

使用者是顶层。使用者是脚本、企业管理应用程序、基于 Web 的应用程序，或其他管理工具，它们通过 WMI 基础结构访问并控制可用信息。

注很多管理应用程序担当 WMI 使用者和 WMI 提供程序的双重角色。有数种 Microsoft 管理产品都属于这种情况，如 Application Center、Operations Manager 以及 Systems Management Server。

浏览 CIM

我们已经讨论了相当一部分的内容，但是还留有一个细节没有谈到，那就是如何确定哪些资源是通过 WMI 公开的。幸运的是，您可以使用多种不同工具来浏览 CIM 架构并检查 WMI 托管资源的类定义。

您应该查看的一些附加资源包括：

WMI 测试器 (wbemtest.exe) 演练

现在，您对可用于浏览和查看 CIM 的工具已经有了一些认识，让我们使用 WMI 测试器 (wbemtest.exe) 来检查 Win32_Process 类定义并修改清单 2，以便从在您的本地计算机上运行的进程检索一些属性。

就到这里吧

诚然，我们只是触及了 WMI 脚本撰写的表层。十分坦诚地说，这是有意的。WMI 提供了如此之多的脚本编写的可能性，因此很容易造成“只见树木，不见森林”的结果。不过不要担心，随着本系列内容的展开，我们将填补所有的缺口。此时要提炼出的重要内容是：WMI 是 Windows 中单独的、最重要的管理支持技术，您无需成为开发人员或者脚本编写权威就可以开始编写基于 WMI 的脚本。继续修改您新创建的脚本以检索另外的进程属性，或再进一步 — 检索其他托管资源。在我们下个月见面之前，您可能发现自己有了一个满是自定义的系统管理脚本的工具箱。让我们知道您做得到底怎么样。

清单 4：WMI 测试器演练的答案

strComputer = "."   ' Dot (.) equals local computer in WMI

Set wbemServices = Getobject("winmgmts://" & strComputer)
Set wbemObjectSet = wbemServices.InstancesOf("Win32_Process")

For Each wbemObject In wbemObjectSet
    WScript.Echo "Name:          " & wbemObject.Name      & vbCrLf & _
                 "   Handle:     " & wbemObject.Handle    & vbCrLf & _
                 "   Process ID: " & wbemObject.ProcessID
Next

Scripting Clinic

Greg Stemp 是美国国内公认的脚本编写权威之一，并且被大家广泛誉为世界级……哈哈！嗯，他们 的履历表中怎么都当过足球教练？真的吗？他被解雇 了？哦，很好！Greg Stemp 工作在……哦，来吧，难道我连这都不能说吗？好吧！Greg Stemp 从 Microsoft 领薪水，在 Microsoft 他拥有并不显赫的首席作家（System Administration Scripting Guide）的头衔。

Bob Wells 漫无目的地四处游走，向每个听他说话的人大赞脚本编写的好处。有传言说，Bob 的两只达克思猎犬对脚本编写比大多数人类知道的都多。业余时间，Bob 向 System Administration Scripting Guide 投稿。

Ethan Wilansky 把他的很多工作时间花在了写作和咨询方面。他狂热于脚本编写、瑜伽、园艺和他的家庭（不一定按此顺序）。他目前正致力于一种创建能倒垃圾和洗餐盘的脚本的方法。