Get-EventLog

Get-EventLog [-AsString] [-ComputerName <string[]>] [-List] [<CommonParameters>]

Get-EventLog [-LogName] <string> [[-InstanceId] <Int64[]>] [-After <DateTime>] [-AsBaseObject] [-Before <DateTime>] [-ComputerName <string[]>] [-EntryType <string[]>] [-Index <Int32[]>] [-Message <string>] [-Newest <int>] [-Source <string[]>] [-UserName <string[]>] [<CommonParameters>]

C:\PS>get-eventlog -list

Descrizione
-----------
Con questo comando vengono visualizzate informazioni relative ai registri eventi nel computer.

C:\PS>get-eventlog -newest 5 -logname application

Descrizione
-----------
Con questo comando vengono visualizzate le cinque voci più recenti nel registro eventi dell'applicazione.

C:\PS>$events = get-eventlog -logname system -newest 1000

C:\PS> $events | group-object -property source -noelement | sort-object -property count -descending

Count Name
----- ----
   75 Service Control Manager
   12 Print
    6 UmrdpService
    2 DnsApi
    2 DCOM
    1 Dhcp
    1 TermDD
    1 volsnap

Descrizione
-----------
In questo esempio viene illustrato come trovare tutte le origini rappresentate nelle 1000 voci più recenti de registro eventi di sistema.

Con il primo comando si ottengono le 1000 voci più recenti nel registro eventi di sistema, le quali vengono archiviate nella variabile $events. 

Nel secondo comando viene utilizzato un operatore pipeline (|) per inviare gli eventi in $events al cmdlet Group-Object che raggruppa le voci per il valore della proprietà Source. Nel comando è utilizzato un secondo operatore pipeline per inviare gli eventi raggruppati al cmdlet Sort-Object che li ordina in ordine decrescente in modo che l'origine che appare più frequentemente sia elencata per prima.

Source è solo una proprietà delle voci del registro eventi. Per visualizzate tutte le altre proprietà di una voce del registro eventi, indirizzare gli eventi al cmdlet Get-Member.

C:\PS>get-eventlog -logname System -EntryType Error

Descrizione
-----------
Con questo comando vengono ottenuti solo gli eventi di errore del registro eventi di sistema.

C:\PS>get-eventlog -logname System -instanceID 3221235481 -Source "DCOM"

Descrizione
-----------
Con questo comando vengono ottenuti gli eventi del registro di sistema che presentano InstanceID di 3221235481 e un valore Source di "DCOM."

C:\PS>get-eventlog -logname "Windows PowerShell" -computername localhost, Server01, Server02

Descrizione
-----------
Con questo comando vengono ottenuti gli eventi del registro eventi "Windows PowerShell" su tre computer, Server01, Server02 e il computer locale, denominato "localhost".

C:\PS>get-eventlog -logname "Windows PowerShell" -message "*failed*"

Descrizione
-----------
Con questo comando vengono ottenuti tutti gli eventi del registro eventi Windows PowerShell che presentano un valore di messaggio che include la parola "failed".

C:\PS>$a = get-eventlog -log System -newest 1

C:\PS> $a | format-list -property *

EventID            : 7036
MachineName        : Server01
Data               : {}
Index              : 10238
Category           : (0)
CategoryNumber     : 0
EntryType          : Information
Message            : The description for Event ID
Source             : Service Control Manager
ReplacementStrings : {WinHTTP Web Proxy Auto-Disco
InstanceId         : 1073748860
TimeGenerated      : 4/11/2008 9:56:05 PM
TimeWritten        : 4/11/2008 9:56:05 PM
UserName           :
Site               :
Container          :

Descrizione
-----------
In questo esempio viene illustrato come visualizzare tutti i valori delle proprietà di un evento. 

Con il primo comando viene ottenuto l'evento più recente del registro eventi di sistema e viene salvato nella variabile $a. 

Nel il secondo comando viene utilizzato un operatore pipeline (|) per inviare l'evento in $a al comando Format-List che visualizza tutte (*) le proprietà dell'evento.

C:\PS>get-eventlog -log application -source outlook | where {$_.eventID -eq 34}

Descrizione
-----------
Con questo comando vengono ottenuti gli eventi del registro eventi dell'applicazione dove l'origine è Outlook e l'ID evento è 34. Anche se Get-EventLog non presenta un parametro EventID, è possibile utilizzare il cmdlet Where-Object per selezionare gli eventi in base al valore di qualsiasi proprietà degli eventi.

C:\PS>get-eventlog -log system -username NT* | group-object -property username -noelement | format-table Count, Name -auto

Count Name
----- ----
 6031 NT AUTHORITY\SYSTEM
   42 NT AUTHORITY\LOCAL SERVICE
    4 NT AUTHORITY\NETWORK SERVICE

Descrizione
-----------
Con questo comando vengono restituiti gli venti del registro di sistema raggruppati per il valore della proprietà UserName. Nel comando Get-EventLog viene utilizzato il parametro UserName per ottenere solo gli eventi nei quali il nome utente inizia con "NT*".

C:\PS>$May31 = get-date 5/31/08

C:\PS> $July1 = get-date 7/01/08

C:\PS> get-eventlog -log "Windows PowerShell" -entrytype Error -after $may31 -before $july1

Descrizione
-----------
Con questo comando vengono ottenuti tutti gli errori del registro eventi Windows PowerShell che si sono verificati nel giugno 2008.