Get-WinEvent

Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

说明
-----------
此命令获取本地计算机上的所有日志。
    
日志按 Get-WinEvent 获取它们的顺序列出。通常首先检索传统日志，然后检索新的 Windows 事件日志。
    
因为通常有一百多个事件日志，所以此参数需要日志名称或名称模式。若要获取所有日志，请使用 *。

C:\PS>get-winevent -listlog Setup | format-list -property *

    
    FileSize                       : 69632
    IsLogFull                      : False
    LastAccessTime                 : 2/14/2008 12:55:12 AM
    LastWriteTime                  : 7/9/2008 3:12:05 AM
    OldestRecordNumber             : 1
    RecordCount                    : 3
    LogName                        : Setup
    LogType                        : Operational
    LogIsolation                   : Application
    IsEnabled                      : True
    IsClassicLog                   : False
    SecurityDescriptor             : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
                                     (A;;0x1;;;S-1-5-32-573)
    LogFilePath                    : %SystemRoot%\System32\Winevt\L
    MaximumSizeInBytes             : 1052672
    LogMode                        : Circular
    OwningProviderName             : Microsoft-Windows-Eventlog
    ProviderNames                  : {Microsoft-Windows-WUSA, Micro
    ProviderLevel                  :
    ProviderKeywords               :
    ProviderBufferSize             : 64
    ProviderMinimumNumberOfBuffers : 0
    ProviderMaximumNumberOfBuffers : 64
    ProviderLatency                : 1000
    ProviderControlGuid            :

说明
-----------
这些命令获取表示本地计算机上的传统系统日志的对象。该对象包括有关日志的有用信息，其中包括日志大小、事件日志提供程序、文件路径以及是否已启用日志。

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

说明
-----------
此命令只获取 Server01 计算机上含有事件的事件日志。许多日志可能是空的。
    
此命令使用 Get-WinEvent 在您使用 ListLog 参数时返回的 EventLogConfiguration 对象的 RecordCount 属性。

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
     {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

说明
-----------
此示例中的命令获取表示 Server01、Server02 和 Server03 计算机上的 Windows PowerShell 事件日志的对象。因为 ComputerName 参数只接受一个值，所以第二个命令使用 Foreach 关键字。
    
第一个命令将计算机名称保存在 $s 变量中。
    
第二个命令使用 Foreach 语句。对于 $s 变量中的每台计算机，它执行脚本块中（大括号内）的命令。首先，此命令打印计算机的名称。然后，它运行 Get-WinEvent 命令来获取表示 Windows PowerShell 日志的对象。

C:\PS>get-winevent -listprovider *

说明
-----------
此命令获取本地计算机上的事件日志提供程序及其写入数据的日志（如果有）。

C:\PS>(get-winevent -listlog Application).providernames

说明
-----------
此命令获取向本地计算机上的应用程序日志写入数据的所有提供程序。

C:\PS>>get-winevent -listprovider *policy*

说明
-----------
此命令获取其名称包含单词“policy”的事件日志提供程序。

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

说明
-----------
此命令列出 Microsoft-Windows-GroupPolicy 事件提供程序生成的事件 ID 以及事件说明。
    
它使用在您使用 ListProvider 参数时 Get-WinEvent 返回的对象的 Events 属性以及 Events 属性中对象的 ID 和 Description 属性。

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195
    
C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
    3 403
    2 103
    
 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
    2 Warning
  193 Information

说明
-----------
此示例演示如何使用 Get-WinEvent 返回的事件对象的属性来了解事件日志中的事件。
    
第一个命令使用 Get-WinEvent cmdlet 来获取 Windows PowerShell 事件日志中的所有事件。然后，它将所有事件保存在 $events 变量中。日志名称用引号引起，因为它包含空格。
    
第二个命令使用对象集合的 Count 属性来查找事件日志中的项数。
    
第三个命令显示日志中出现的每个事件，首先显示出现频率最高的事件。在此示例中，事件 ID 600 是出现频率最高的事件。
    
第四个命令按项目的 LevelDisplayName 属性的值将项目分组来显示日志中错误、警告和信息事件的数量。

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

说明
-----------
此命令获取计算机上的所有事件日志中以及 Microsoft-Windows-Kernel-WHEA 事件日志中名称包括“disk”的错误事件。

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

说明
-----------
此命令从测试目录中的 Windows PowerShell 事件日志文件副本中获取事件。路径用引号引起，因为日志名称包含空格。

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest
    
C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

说明
-----------
这些命令从 Windows 事件跟踪 (ETW) 事件跟踪日志文件中获取前 100 个事件。

第一个命令获取日志中 100 个最旧的事件。它使用 Get-WinEvent cmdlet 来从 Tracelog.etl 文件中获取事件。它使用 MaxEvents 参数将检索的事件数限制为 100 个。因为事件是按它们写入日志的顺序（从旧到新）列出的，所以需要 Oldest 参数。

第二个命令获取日志中 100 个最新的事件。它使用 Get-WinEvent cmdlet 来从 Tracing.etl 文件中获取所有事件。它将
事件传递给 Sort-Object cmdlet，后者按 TimeCreated 属性值对它们进行降序排序。然后，它将已排序的事件发送到 Select-Object cmdlet 以选择最新的 100 个事件。

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

说明
-----------
此示例演示如何从事件跟踪日志文件 (.etl) 和保存到测试目录中的 Windows PowerShell 日志文件 (.evtx) 副本获取事件。

可以在单个命令中组合多种文件类型。因为文件包含相同类型的 .NET Framework 对象（EventLogRecord 对象），所以可以使用相同的属性来筛选它们。

请注意，此命令需要 Oldest 参数，因为它从 .etl 文件读取数据，但 Oldest 参数同时应用于两个文件。

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

说明
-----------
此示例演示用于从事件日志中选择事件的不同筛选方法。所有这些命令都从 Windows PowerShell 事件日志中获取过去 24 小时内发生的事件。

使用筛选方法比使用 Where-Object cmdlet 效率高，因为在检索对象时将应用筛选器，而不是先检索所有对象然后再筛选它们。

因为日期难以用 XML 和 XPath 格式表示，所以为了创建日期的 XML 内容，将使用事件查看器的“筛选当前日志”功能。有关此功能的详细信息，请参阅事件查看器帮助。

C:\PS>$date = (get-date).AddDays(-2)
    
C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

说明
-----------
此示例使用筛选器哈希表来从性能日志中获取事件。
    
第一个命令使用 Get-Date cmdlet 和 AddDays 方法来获取当前日期的两天前的日期。它将该日期保存在 $date 变量中。
    
第二个命令使用具有 FilterHashTable 参数的 Get-WinEvent cmdlet。哈希表中的键定义从性能日志中选择过去两天内发生的且事件 ID 为 100 的事件的筛选器。
    
LogName 键指定事件日志，StartTime 键指定日期，ID 键指定事件 ID。

C:\PS>$starttime = (get-date).adddays(-7)        
    
C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

说明
-----------
此示例使用筛选器哈希表来查找上周发生的 Internet Explorer 应用程序错误。
    
第一个命令获取当前日期的七天前的日期，并将它存储在 $starttime 变量中。
    
第二个命令使用具有 FilterHashTable 参数的 Get-WinEvent cmdlet。哈希表中的键定义从应用程序日志中选择由应用程序错误提供程序编写的且包括短语“iexplore.exe”的事件的筛选器。
    
LogName 键指定事件日志。ProviderName 键指定事件提供程序，StartTime 键指定事件的开始日期，Data 键指定事件消息中的文本。