阅读数:133 评论数:0

一、概述

英文全称：Unified Write Filter，中文翻译： 统一写入筛选器。

官方解释：

https://learn.microsoft.com/zh-cn/windows-hardware/customize/enterprise/unified-write-filter

它通过截获和重定向对驱动器 (应用安装、设置更改、保存的数据) 的任何写入到虚拟覆盖，虚拟覆盖是一个临时位置，通常在重新启动期间或来宾用户注销时清除。

二、实际使用

1、安装uwf

（1）打开控制面板，找到程序和功能->启用或关闭 Windows 功能。

（2）在Windows 功能窗口中，展开设备锁定节点，选中统一写入筛选器，点击确定，在弹出的窗口中点击应用。

2、配置uwf（需要管理员权限）

# 改用硬盘当作暂存区（默认是 RAM）
$ uwfmgr overlay Set-Type DISK

# 设定暂存区大小为 10240MB
$ uwfmgr overlay set-size 10240

# 设定告警阈值为 5024MB
$ uwfmgr overlay set-warningthreshold 5024

# 设定严重阈值为 8192MB，应该比warning的大
$ uwfmgr overlay set-criticalthreshold 8192

# 设定保护磁盘为 C 盘，可以添加其它盘
$ uwfmgr volume protect C:
# 不保护特定盘
uwfmgr.exe volume unprotect C:

# 设定可以接收 Windows 更新
$ uwfmgr servicing Update-Windows

#要将特定文件或文件夹添加到排除项，请运行以下命令：
Uwfmgr.exe file add-exclusion c:\labs
Uwfmgr.exe file add-exclusion c:\labs\report.docx

#要为注册表项添加排除项：
Uwfmgr.exe registry add-exclusion “HKLM\Software\My_RegKey”

3、启动uwf

# 启动 UWF
$ uwfmgr filter enable
# 关闭 UWF
uwfmgr.exe filter disable

需要重启系统才能生效

4、查看uwf

# 可以看到 UWF 本次会话的状态及下次会话的状态
$ uwfmgr Get-Config

uwf生效后，windows中做的操作在重启后会还原。

三、问题排查

1、查看事件日志 

（1）与覆盖消耗相关的事件由 UWF 内核模式组件发送，记录在 Windows Logs\System 事件日志中。

（2）错误消息记录在Applications and Services Logs\Microsoft\Windows\UnifiedWriteFilter\Admin 事件日志中。

（3）信息性消息记录在Applications and Services Logs\Microsoft\Windows\UnifiedWriteFilter\Operational 事件日志中。