Get-EventLog

Get-EventLog [-AsString] [-ComputerName <string[]>] [-List] [<CommonParameters>]

Get-EventLog [-LogName] <string> [[-InstanceId] <Int64[]>] [-After <DateTime>] [-AsBaseObject] [-Before <DateTime>] [-ComputerName <string[]>] [-EntryType <string[]>] [-Index <Int32[]>] [-Message <string>] [-Newest <int>] [-Source <string[]>] [-UserName <string[]>] [<CommonParameters>]

C:\PS>get-eventlog -list

説明
-----------
このコマンドを実行すると、コンピューター上のイベント ログに関する情報が表示されます。

C:\PS>get-eventlog -newest 5 -logname application

説明
-----------
このコマンドを実行すると、アプリケーション イベント ログの最新のエントリが 5 件表示されます。

C:\PS>$events = get-eventlog -logname system -newest 1000

C:\PS> $events | group-object -property source -noelement | sort-object -property count -descending

Count Name
----- ----
   75 Service Control Manager
   12 Print
    6 UmrdpService
    2 DnsApi
    2 DCOM
    1 Dhcp
    1 TermDD
    1 volsnap

説明
-----------
この例は、システム イベント ログの最新エントリ 1000 件に示されたすべてのソースを検索する方法を示します。

最初のコマンドを実行すると、システム イベント ログから最新のエントリが 1000 件取得され、$events 変数に格納されます。

2 番目のコマンドは、パイプライン演算子 (|) を使用して、$events に保存されているイベントを Group-Object コマンドレットに送信します。このコマンドレットは、Source プロパティの値によってエントリをグループ化します。このコマンドは、第 2 のパイプライン演算子を使用してグループ化されたイベントを Sort-Object コマンドレットに送信します。このコマンドレットはそれらを降順に並べ替えるので、頻繁に表示されるソースから先に一覧に表示されます。

ソースはイベント ログ エントリのプロパティにすぎません。イベント ログ エントリのすべてのプロパティを表示するには、Get-Member コマンドレットに対してイベントをパイプ処理します。

C:\PS>get-eventlog -logname System -EntryType Error

説明
-----------
このコマンドは、システム イベント ログからエラー イベントのみを取得します。

C:\PS>get-eventlog -logname System -instanceID 3221235481 -Source "DCOM"

説明
-----------
このコマンドは、InstanceID が 3221235481 で Source の値が "DCOM" のイベントをシステム ログから取得します。

C:\PS>get-eventlog -logname "Windows PowerShell" -computername localhost, Server01, Server02

説明
-----------
このコマンドは、Server01、Server02、および "localhost" と呼ばれるローカル コンピューターの 3 台のコンピューター上の "Windows PowerShell" イベント ログからイベントを取得します。

C:\PS>get-eventlog -logname "Windows PowerShell" -message "*failed*"

説明
-----------
このコマンドは、Windows PowerShell イベント ログ内で、メッセージの値に "failed" という単語が含まれるすべてのイベントを取得します。

C:\PS>$a = get-eventlog -log System -newest 1

C:\PS> $a | format-list -property *

EventID            : 7036
MachineName        : Server01
Data               : {}
Index              : 10238
Category           : (0)
CategoryNumber     : 0
EntryType          : Information
Message            : The description for Event ID
Source             : Service Control Manager
ReplacementStrings : {WinHTTP Web Proxy Auto-Disco
InstanceId         : 1073748860
TimeGenerated      : 4/11/2008 9:56:05 PM
TimeWritten        : 4/11/2008 9:56:05 PM
UserName           :
Site               :
Container          :

説明
-----------
この例は、イベントのすべてのプロパティ値を表示する方法を示しています。

最初のコマンドは、システム イベント ログから最新のイベントを取得し、$a 変数に保存します。

2 番目のコマンドは、パイプライン演算子 (|) を使用して $a に格納されるイベントを Format-List コマンドに送信します。これによりイベント プロパティのすべて (*) が表示されます。

C:\PS>get-eventlog -log application -source outlook | where {$_.eventID -eq 34}

説明
-----------
このコマンドは、アプリケーション イベント ログから Source が Outlook でイベント ID が 34 であるイベントを取得します。Get-EventLog には EventID パラメーターはありませんが、Where-Object コマンドレットを使用するとイベント プロパティの値に基づきイベントを選択できます。

C:\PS>get-eventlog -log system -username NT* | group-object -property username -noelement | format-table Count, Name -auto

Count Name
----- ----
 6031 NT AUTHORITY\SYSTEM
   42 NT AUTHORITY\LOCAL SERVICE
    4 NT AUTHORITY\NETWORK SERVICE

説明
-----------
このコマンドは、システム ログのイベントを UserName プロパティの値でグループ化して返します。Get-EventLog コマンドは、UserName パラメーターを使用してユーザー名が "NT*" で始まるイベントのみを取得します。

C:\PS>$May31 = get-date 5/31/08

C:\PS> $July1 = get-date 7/01/08

C:\PS> get-eventlog -log "Windows PowerShell" -entrytype Error -after $may31 -before $july1

説明
-----------
このコマンドは、Windows PowerShell イベント ログから 2008 年 6 月に発生したすべてのエラーを取得します。