2The gray Cardinal: опробовать сие сможете?

У меня PowerShell не установлен, к сожалению.

Любопытно, но как-то страшно делать сотни подписок на события...

Угу . Идея [первая - alexii] не выдержала испытания на прочность. На тех же вышеизложенных условиях, служба, реализующая WMI, отъедает 30-40% процессорного времени, сам WMI ещё 10%... Потом догадался обрубить антивирус и файерволл. Потом увеличил предикат WITHIN с 1 до 5, 10 — стало полегче. Однако уже ясно, что в реальных условиях, на серверах, где условия будут куда как серьёзнее, сей метод не годится. Позже попробую не вязать всё к одному SWbemSink'у, а каждый CIM_DirectoryContainsFile попробую прилепить к отдельному SWbemSink, но, думаю, результат будет тот же.

P.S. Свеженькое. Для отдельно взятой папки на PS: Мониторинг папки: подскажите как реализовать?. Думаю, для нашего случая, результат будет тот же.

2The gray Cardinal: опробовать сие сможете?

Как идея?

Любопытно, но как-то страшно делать сотни подписок на события...

Специально для проверки создал раздел. Скопировал ~4-уровневую структуру папок (~100), файлов ~3000. Сделал обработку на __InstanceOperationEvent для экземпляров класса CIM_DataFile ежесекундно с использованием предиката Like для свойства .Path. Работает нормально с небольшими задержками. Специальных замеров не проводил, но при увеличении количества папок/файлов задержки многократно возрастают; вплоть до того, что с некоторого момента  работа скрипта, при использовании подобного механизма, становится бессмысленной из-за возросших задержек. Хотя и продолжает работать. Таким образом, использование предиката Like для обработки подпапок имеет достаточные ограничения.

Зимой, когда было больше времени, я писал скрипт, но, как обычно, не вылизал его до конца. Пожалуй, я вкратце опишу свою идею.

Подписываемся на события файлов в папке (через класс CIM_DirectoryContainsFile, а не CIM_DataFile) асинхронным (!) запросом, что-то вроде**:

objSWbemService.ExecNotificationQueryAsync objSWbemSink_CIM_DirectoryContainsFile, _
    "SELECT * FROM __InstanceOperationEvent WITHIN 1 WHERE " &_
        "TargetInstance ISA 'CIM_DirectoryContainsFile' AND " &_
        "TargetInstance.GroupComponent='Win32_Directory.Name=""" & strFolder & """'"

В принципе, можно создать и постоянный подписчик, но это нецелесообразно.

Затем, через обычный механизм рекурсии objFSO.GetFolder().SubFolders… обходим все вложенные папки и делаем для них ту же операцию (мы ведь можем к одному объекту objSWbemSink_ привязать несколько запросов). Собственно, и всё.

Почти всё. Если структура папок у нас неизменна. Однако, это, как правило, не так. Подпапки (внутри той папки, за которой мы следим) могут создаваться и удаляться. И за этим нужно также следить. То есть, нужно подписываться на события экземпляров класса Win32_Directory и следить. И поменять механизм подписки, описанный выше (уже нельзя привязывать к одному objSWbemSink_ несколько запросов, поскольку отменять их по отдельности невозможно, а только все сразу командой .Cancel). И при создании вложенной папки — добавлять подписку **, при удалении — отменять слежение за этой подпапкой.

На «…подписываться на события экземпляров класса Win32_Directory и следить» я и «заморозил» работу до зимы . Как идея?

Скрипт запускает процесс wmiprvse.exe, который постоянно сканирует файлы в этой папке (проверил filemon-ом). Причем в цикле. Файлов там много. Какой вообще механизм? Он что, сохраняет первоначальный список файлов и периодически сравнивает его.
Кто-нибудь знает, как работает __InstanceCreationEvent?

strDrive = "C:"
strDir = "\\Temp\\"
strComputer = "."
'===================================================================
Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\CIMv2") 
Set objEvents = objWMIService.ExecNotificationQuery _
("SELECT * FROM __InstanceOperationEvent WITHIN 5 WHERE " & _
    "TargetInstance ISA 'CIM_DataFile'" & _
    " AND TargetInstance.Drive = '" & strDrive & "'" & _
    " AND TargetInstance.FileSize > 0" & _
    " AND TargetInstance.Path Like '" & strDir & "%'")
Do While(True)
    Set objReceivedEvent = objEvents.NextEvent
    strMess = objReceivedEvent.TargetInstance.FileName & ", " & objReceivedEvent.TargetInstance.Name & vbCrLf
    WScript.Echo strMess
Loop

Этот скрипт вообще ни на что не реагирует. Покрушил все файлы в C:\Temp\ - ноль эмоций, скрипт ничего не выводит .

strDir = "\\test\\"
strComputer = "."
Dim Body
    Function SendPost(strSMTP_Server, strTo, strFrom, strSubject, strBody)
    Set iMsg = CreateObject("CDO.Message")
    Set iConf = CreateObject("CDO.Configuration")
    Set Flds = iConf.Fields
    Flds.Item("http://schemas.microsoft.com/cdo/configuration/sendusing") = 2
    Flds.Item("http://schemas.microsoft.com/cdo/configuration/smtpserver") = strSMTP_Server
    Flds.Item("http://schemas.microsoft.com/cdo/configuration/smtpconnectiontimeout") = 10
    Flds.Update
    iMsg.Configuration = iConf
    iMsg.To = strTo
    iMsg.From = strFrom
    iMsg.Subject = strSubject
    iMsg.TextBody = strBody
    iMsg.Send
End Function
Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\CIMv2") 
Set objEvents = objWMIService.ExecNotificationQuery _
("SELECT * FROM __InstanceOperationEvent WITHIN 5 WHERE " & _
    "TargetInstance ISA 'CIM_DataFile'" & _
    " AND TargetInstance.Drive = 'd:'" & _
    " AND TargetInstance.FileSize > 0" & _
    " AND TargetInstance.Path Like '" & strDir & "%'")
Do While(True)
    Set objReceivedEvent = objEvents.NextEvent
'    If objReceivedEvent.TargetInstance.Extension="mp3" then //Если нужно можно установить слежение за конкретный расширением.
'        MsgBox "Пользователь сохранил файл с расширением  " & objReceivedEvent.TargetInstance.Extension
'    End if
    Body = "File modifed: " & objReceivedEvent.TargetInstance.FileName & "  " & objReceivedEvent.TargetInstance.Name & vbCrLf & vbCrLf
    Call SendPost("SMTP", "TO", "FROM", "File modifed", body)
Loop

Вот этот следит)

Скрипт следит за созданием и внесением изменений в дерриктории, а также в сабдеррикториях, не реагирует на создание пустых документов, оповещает почтовой рассылкой.

На изменения в подкаталогах этот скрипт не реагирует.

strDir = "\\share\Admins docs\\"
strComputer = "."
Dim Body
    Function SendPost(strSMTP_Server, strTo, strFrom, strSubject, strBody)
    Set iMsg = CreateObject("CDO.Message")
    Set iConf = CreateObject("CDO.Configuration")
    Set Flds = iConf.Fields
    Flds.Item("http://schemas.microsoft.com/cdo/configuration/sendusing") = 2
    Flds.Item("http://schemas.microsoft.com/cdo/configuration/smtpserver") = strSMTP_Server
    Flds.Item("http://schemas.microsoft.com/cdo/configuration/smtpconnectiontimeout") = 10
    Flds.Update
    iMsg.Configuration = iConf
    iMsg.To = strTo
    iMsg.From = strFrom
    iMsg.Subject = strSubject
    iMsg.TextBody = strBody
    iMsg.Send
End Function
Set objWMIService = GetObject("winmgmts:\\" & strComputer & "\root\CIMv2") 
Set objEvents = objWMIService.ExecNotificationQuery _
("SELECT * FROM __InstanceOperationEvent WITHIN 5 WHERE " & _
    "TargetInstance ISA 'CIM_DataFile'" & _
    " AND TargetInstance.Drive = 'e:'" & _
            " AND TargetInstance.FileSize > 0" & _
    " AND TargetInstance.Path = '" & strDir & "'")
Do While(True)
    Set objReceivedEvent = objEvents.NextEvent
'    If objReceivedEvent.TargetInstance.Extension="mp3" then //Если нужно можно установить слежение за конкретный расширением.
'        MsgBox "Пользователь сохранил файл с расширением  " & objReceivedEvent.TargetInstance.Extension
'    End if
    Body = "File modifed: " & objReceivedEvent.TargetInstance.FileName & "  " & objReceivedEvent.TargetInstance.Name
        Call SendPost("SMTP", "TO", "FROM", "File modifed", body)
Loop

Скрипт следит за созданием и внесением изменений в дерриктории, а также в сабдеррикториях, не реагирует на создание пустых документов, оповещает почтовой рассылкой.

Так же можно отслеживать по расширению.

Просто если использовать WMI то скрипт выходит гораздо гибче чем варриант с массивом, к примеру к этому я без проблем прикрутил запрет на создание файлов различных типов, дабавив всего пару строк.