使用檔案與 Windows 登錄檔清查 - AWS Systems Manager

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

使用檔案與 Windows 登錄檔清查

Systems Manager 庫存可讓您搜尋 Windows、Linux 和macOS作業系統上的檔案,並清查。同時,您還能搜尋 Windows 登錄檔並建立庫存。

檔案:您能夠收集與檔案相關的中繼資料資訊,包括檔案名稱、檔案建立時間、上次修改和存取檔案的時間,以及檔案大小等。若要開始收集檔案庫存資料,您必須指定要執行庫存建立作業的檔案路徑、能定義欲建立庫存檔案類型的一個或多個模式,以及是否要以遞迴方式周遊該路徑。Systems Manager 會在符合模式的指定路徑中,為所有檔案的中繼資料建立庫存。檔案庫存資料會採用以下參數輸入。

{ "Path": string, "Pattern": array[string], "Recursive": true, "DirScanLimit" : number // Optional }
  • Path:要建立檔案庫存的目錄路徑。在 Windows 作業系統中,您可以使用 %PROGRAMFILES% 等環境變數,前提是該變數必須對應至單一目錄路徑。舉例來說,如果您使用的 %PATH% 變數對應至多個目錄路徑,庫存便會擲出錯誤訊息。

  • Pattern:用來辨識檔案的模式陣列。

  • Recursive:指出庫存是否應以遞迴方式周遊目錄的布林值。

  • DirScanLimit:選用值,指定要掃描多少個資料夾。只要使用此參數,就能徹底降低對執行個體效能的影響。在預設情況下,庫存最多會掃描 5,000 個目錄。

注意

在所有指定路徑中,庫存最多能收集 500 個檔案的中繼資料。

下方範例會說明如何在執行檔案庫存時指定參數。

  • 在 Linux 和 macOS上, 會收集 /home/ec2-user 資料夾中的 .sh 檔案中繼資料,但不含所有子指導。

    [{"Path":"/home/ec2-user","Pattern":["*.sh", "*.sh"],"Recursive":false}]
  • 在 Windows 作業系統上,讓庫存以遞迴方式在 Program Files 資料夾 (包含子目錄) 中收集所有「.exe」檔案的中繼資料。

    [{"Path":"C:\Program Files","Pattern":["*.exe"],"Recursive":true}]
  • 在 Windows 作業系統上,讓庫存收集特定日誌模式的中繼資料。

    [{"Path":"C:\ProgramData\Amazon","Pattern":["*amazon*.log"],"Recursive":true}]
  • 執行遞迴收集時,限制目錄數量。

    [{"Path":"C:\Users","Pattern":["*.ps1"],"Recursive":true, "DirScanLimit": 1000}]

Windows 登錄檔:您可以收集 Windows 登錄機碼和值。而且,您還能選擇機碼路徑,並以遞迴方式收集所有機碼和值。此外,您也可以收集指定路徑的特定登錄機碼及其值。庫存將收集機碼路徑、名稱、類型與值。

{ "Path": string, "Recursive": true, "ValueNames": array[string] // optional }
  • Path:登錄機碼的路徑。

  • Recursive:指出庫存是否應以遞迴方式周遊登錄檔路徑的布林值。

  • ValueNames:用於執行 Registry 金鑰清查的值名稱陣列。如果使用該參數,則 Systems Manager 僅會為指定路徑的特定數值名稱建立庫存。

注意

在所有指定路徑中,庫存最多能收集 250 個登錄機碼值。

下方範例會說明如何在執行 Windows 登錄檔庫存時指定參數。

  • 以遞迴方式收集指定路徑的所有機碼與值。

    [{"Path":"HKEY_LOCAL_MACHINE\SOFTWARE\Amazon","Recursive": true}]
  • 收集指定路徑的所有機碼與值 (停用遞迴搜尋)。

    [{"Path":"HKEY_LOCAL_MACHINE\SOFTWARE\Intel\PSIS\PSIS_DECODER", "Recursive": false}]
  • 使用 ValueNames 選項來收集特定機碼。

    {"Path":"HKEY_LOCAL_MACHINE\SOFTWARE\Amazon\MachineImage","ValueNames":["AMIName"]}