Get-WinEvent

Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

Description
-----------
Cette commande obtient tous les journaux présents sur l'ordinateur local.
    
Les journaux sont répertoriés dans l'ordre où Get-WinEvent les obtient. Les journaux classiques sont habituellement récupérés en premier, suivis des nouveaux journaux de Windows Eventing.
    
Comme il existe en général plus de cent journaux des événements, ce paramètre requiert un nom de journal ou un modèle de nom. Pour obtenir tous les journaux, utilisez *.

C:\PS>get-winevent -listlog Setup | format-list -property *

    
    FileSize                       : 69632
    IsLogFull                      : False
    LastAccessTime                 : 2/14/2008 12:55:12 AM
    LastWriteTime                  : 7/9/2008 3:12:05 AM
    OldestRecordNumber             : 1
    RecordCount                    : 3
    LogName                        : Setup
    LogType                        : Operational
    LogIsolation                   : Application
    IsEnabled                      : True
    IsClassicLog                   : False
    SecurityDescriptor             : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
                                     (A;;0x1;;;S-1-5-32-573)
    LogFilePath                    : %SystemRoot%\System32\Winevt\L
    MaximumSizeInBytes             : 1052672
    LogMode                        : Circular
    OwningProviderName             : Microsoft-Windows-Eventlog
    ProviderNames                  : {Microsoft-Windows-WUSA, Micro
    ProviderLevel                  :
    ProviderKeywords               :
    ProviderBufferSize             : 64
    ProviderMinimumNumberOfBuffers : 0
    ProviderMaximumNumberOfBuffers : 64
    ProviderLatency                : 1000
    ProviderControlGuid            :

Description
-----------
Ces commandes obtiennent un objet qui représente le journal système classique sur l'ordinateur local. L'objet inclut des informations utiles sur le journal, dont notamment la taille, le fournisseur du journal des événements, le chemin d'accès au fichier et s'il est activé ou non.

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

Description
-----------
Cette commande obtient uniquement les journaux des événements présents sur l'ordinateur Server01 qui contiennent des événements. De nombreux journaux peuvent être vides. 
    
La commande utilise la propriété RecordCount de l'objet EventLogConfiguration que Get-WinEvent retourne lorsque vous utilisez le paramètre ListLog.

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
     {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

Description
-----------
Les commandes présentées dans cet exemple obtiennent les objets représentant les journaux des événements Windows PowerShell sur les ordinateurs Server01, Server02 et Server03. Cette commande utilise le mot clé Foreach parce que le paramètre ComputerName accepte une seule valeur.
    
La première commande enregistre les noms des ordinateurs dans la variable $s.
    
La deuxième commande utilise une instruction Foreach. Pour chacun des ordinateurs indiqués dans la variable $s, elle exécute la commande dans le bloc de script (dans les accolades). En premier lieu, la commande imprime le nom de l'ordinateur. Ensuite, elle exécute une commande Get-WinEvent pour obtenir un objet qui représente le journal Windows PowerShell.

C:\PS>get-winevent -listprovider *

Description
-----------
Cette commande obtient les fournisseurs de journaux des événements sur l'ordinateur local et les journaux dans lesquels ils écrivent, le cas échéant.

C:\PS>(get-winevent -listlog Application).providernames

Description
-----------
Cette commande obtient tous les fournisseurs qui écrivent dans le journal des applications sur l'ordinateur local.

C:\PS>>get-winevent -listprovider *policy*

Description
-----------
Cette commande obtient les fournisseurs de journaux des événements dont le nom inclut le mot « policy ».

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

Description
-----------
Cette commande répertorie les ID d'événements que le fournisseur d'événements Microsoft-Windows-GroupPolicy génère avec la description d'événement.
    
Elle utilise la propriété Events de l'objet que Get-WinEvent retourne lorsque vous utilisez le paramètre ListProvider, ainsi que les propriétés ID et Description de l'objet dans la propriété Events.

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195
    
C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
    3 403
    2 103
    
 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
    2 Warning
  193 Information

Description
-----------
Cet exemple montre comment utiliser les propriétés des objets événements que Get-WinEvent retourne pour en savoir plus sur les événements présents dans un journal des événements.
    
La première commande utilise l'applet de commande Get-WinEvent pour obtenir tous les événements présents dans le journal des événements Windows PowerShell. Ensuite, elle les enregistre dans la variable $events. Le nom du journal figure entre guillemets parce qu'il contient un espace.
    
La deuxième commande utilise la propriété Count des collections d'objets pour déterminer le nombre d'entrées dans le journal des événements. 
    
La troisième commande affiche la fréquence de chaque événement dans le journal, indiquant en premier les événements les plus fréquents. Dans cet exemple, l'ID d'événement 600 est le plus fréquent.
    
La quatrième commande regroupe les éléments par la valeur de leur propriété LevelDisplayName pour indiquer combien d'événements de type erreur (Error), avertissement (Warning) et informations (Information) se trouvent dans le journal.

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

Description
-----------
Cette commande obtient les événements d'erreur dont le nom inclut « disk » de tous les journaux des événements présents sur l'ordinateur et du journal des événements Microsoft-Windows-Kernel-WHEA.

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

Description
-----------
Cette commande obtient les événements en provenance d'une copie du fichier journal des événements Windows PowerShell dans un répertoire de test. Le chemin d'accès est entre guillemets parce que le nom du journal inclut un espace.

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest
    
C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

Description
-----------
Ces commandes obtiennent les 100 premiers événements d'un fichier journal des traces d'événements ETW (Suivi d'événements pour Windows).

La première commande obtient les 100 événements les plus anciens du journal. Elle utilise l'applet de commande Get-WinEvent pour obtenir les événements à partir du fichier Tracelog.etl. Elle utilise le paramètre MaxEvents pour limiter la récupération à 100 événements. Comme les événements sont répertoriés dans l'ordre dans lequel ils sont écrits dans le journal (du plus ancien au plus récent), le paramètre Oldest est requis.

La deuxième commande obtient les 100 événements les plus récents du journal. Elle utilise l'applet de commande Get-WinEvent pour obtenir tous les événements du fichier Tracing.etl. Elle passe
les événements à l'applet de commande Sort-Object, qui les trie dans l'ordre décroissant par la valeur de la propriété TimeCreated. Ensuite, elle envoie les événements triés à l'applet de commande Select-Object pour qu'elle sélectionne les 100 événements les plus récents.

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

Description
-----------
Cet exemple montre comment obtenir les événements d'un fichier journal des traces d'événements (.etl) et d'une copie du fichier journal Windows PowerShell (.evtx) qui a été enregistrée dans un répertoire de test.

Vous pouvez combiner plusieurs types de fichiers dans une même commande. Étant donné que les fichiers contiennent le même type d'objet .NET Framework (objet EventLogRecord), vous pouvez utiliser les mêmes propriétés pour les filtrer.

Notez que la commande requiert le paramètre Oldest car elle lit à partir d'un fichier .etl, mais le paramètre Oldest s'applique aux deux fichiers.

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

Description
-----------
Cet exemple montre des méthodes de filtrage différentes pour sélectionner des événements à partir d'un journal des événements. Toutes ces commandes obtiennent les événements qui se sont produits au cours des dernières 24 heures à partir du journal des événements Windows PowerShell.

Les méthodes de filtrage sont plus efficaces que l'utilisation de l'applet de commande Where-Object parce que les filtres sont appliqués pendant que les objets sont récupérés, et non pas après.

Comme il est difficile de formuler des dates dans les formats XML et XPath, la fonctionnalité Filtrer le journal actuel de l'Observateur d'événements est utilisée pour créer le contenu XML pour la date. Pour plus d'informations sur cette fonctionnalité, consultez l'aide de l'Observateur d'événements.

C:\PS>$date = (get-date).AddDays(-2)
    
C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

Description
-----------
Cet exemple utilise une table de hachage de filtre pour obtenir des événements à partir du journal de performance. 
    
La première commande utilise l'applet de commande Get-Date et la méthode AddDays pour obtenir la date qui est deux jours avant la date actuelle. Elle enregistre la date dans la variable $date.
    
La deuxième commande utilise l'applet de commande Get-WinEvent avec le paramètre FilterHashTable. Les clés de la table de hachage définissent un filtre qui sélectionne les événements du journal de performance qui se sont produits au cours des deux derniers jours et qui ont un ID d'événement 100. 
    
La clé LogName spécifie le journal des événements, la clé StartTime spécifie la date et la clé ID spécifie l'ID d'événement.

C:\PS>$starttime = (get-date).adddays(-7)        
    
C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

Description
-----------
Cet exemple utilise une table de hachage de filtre pour rechercher les erreurs d'application Internet Explorer qui se sont produites au cours de la dernière semaine.
    
La première commande obtient la date antérieure de sept jours à la date actuelle et la stocke dans la variable $starttime.
    
La deuxième commande utilise l'applet de commande Get-WinEvent avec le paramètre FilterHashTable. Les clés dans la table de hachage définissent un filtre qui sélectionne les événements du journal des applications qui ont été écrits par le fournisseur d'erreurs d'application et qui incluent l'expression « iexplore.exe ».
    
La clé LogName spécifie le journal des événements. La clé ProviderName spécifie le fournisseur d'événements, la clé StartTime spécifie la date de début des événements et la clé Data spécifie le texte du message d'événement.