永久 WMI 事件使用者不会被触发，临时会

Question

我正在尝试创建一个永久 WMI 事件订阅，以便在连接 USB 驱动器时运行脚本。

这是我创建过滤器、消费者和绑定的方法：

$computer = "xxx"
$filterNS = "root\cimv2"
$wmiNS = "root\subscription"
$query = "Select * from __InstanceCreationEvent within 5 where targetinstance isa 'win32_logicaldisk'"

$filterName = "TestFilter"

$filterPath = Set-WmiInstance -Class __EventFilter `
 -ComputerName $computer -Namespace $wmiNS -Arguments `
  @{name=$filterName; EventNameSpace=$filterNS; QueryLanguage="WQL";
    Query=$query}

$consumerPath = Set-WmiInstance -Class CommandLineEventConsumer `
 -ComputerName $computer -Namespace $wmiNS `
 -Arguments @{
 name="TestConsumer"; 
 ExecutablePath= "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe";
 CommandLineTemplate = "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe -executionpolicy bypass -file D:\\reassignDriveletter.ps1"
 }

Set-WmiInstance -Class __FilterToConsumerBinding -ComputerName $computer `
  -Namespace $wmiNS -arguments @{Filter=$filterPath; Consumer=$consumerPath} |
  out-null

一切都创建时没有错误，我可以在 WMI 事件查看器中看到过滤器、消费者和绑定，但如果我连接 USB 驱动器，则没有任何反应（脚本的第一行写了一个日志条目，这就是我所知道的）。

出于测试目的，我创建了一个正常的事件订阅，如下所示：

$job = Register-WmiEvent -Query "Select * from __InstanceCreationEvent within 5 where targetinstance isa 'win32_logicaldisk'" -SourceIdentifier usb -Timeout 1000 -Action $scriptblock

效果很好。

我是否遗漏了一些明显的东西？如有任何帮助，我将不胜感激。

问候

更新：刚刚在未加入域的 Win7 计算机上进行了测试，相同的代码可以正常工作。 （我的工作站是Win8.1加入域的记录）。我将在目标系统上进行测试并报告。

Answer 1

好的，经过几天的反复试验，我最终适应/使用了另一种方法 here。

这将在每次连接 USB 时启动存储在 D:\scripts 中的脚本，并且它是永久性的。

$filter = ([wmiclass]"\\.\root\subscription:__EventFilter").CreateInstance()

$filter.QueryLanguage = "WQL"
$filter.Query = "Select * from __InstanceCreationEvent within 5 where targetinstance isa 'win32_logicaldisk'"
$filter.Name = "USBFilter"
$filter.EventNamespace = 'root\cimv2'

$result = $filter.Put()
$filterPath = $result.Path

$consumer = ([wmiclass]"\\.\root\subscription:CommandLineEventConsumer").CreateInstance()
$consumer.Name = 'USBConsumer'
$consumer.CommandLineTemplate = "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe –ExecutionPolicy Bypass -file D:\scripts\reassignDriveletter.ps1"
$consumer.ExecutablePath = "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe"
$consumer.WorkingDirectory = "D:\scripts"
$result = $consumer.Put()
$consumerPath = $result.Path

$bind = ([wmiclass]"\\.\root\subscription:__FilterToConsumerBinding").CreateInstance()

$bind.Filter = $filterPath
$bind.Consumer = $consumerPath
$result = $bind.Put()
$bindPath = $result.Path

要删除这些永久事件，请执行以下操作：

([wmi]$filterPath).Delete()
([wmi]$consumerPath).Delete()
([wmi]$bindPath).Delete()

每次插入 USB 驱动器时，我的测试脚本都会创建一个文件夹，因此我可以对其进行测试并且它可以正常工作。

我正在运行 Windows 8.1 顺便说一句。