Get-EventLog

Get-EventLog [-AsString] [-ComputerName <string[]>] [-List] [<CommonParameters>]

Get-EventLog [-LogName] <string> [[-InstanceId] <Int64[]>] [-After <DateTime>] [-AsBaseObject] [-Before <DateTime>] [-ComputerName <string[]>] [-EntryType <string[]>] [-Index <Int32[]>] [-Message <string>] [-Newest <int>] [-Source <string[]>] [-UserName <string[]>] [<CommonParameters>]

C:\PS>get-eventlog -list

Descripción
-----------
Este comando muestra información sobre los registros de eventos del equipo.

C:\PS>get-eventlog -newest 5 -logname application

Descripción
-----------
Este comando muestra las cinco entradas más recientes del registro de eventos de la aplicación.

C:\PS>$events = get-eventlog -logname system -newest 1000

C:\PS> $events | group-object -property source -noelement | sort-object -property count -descending

Count Name
----- ----
   75 Service Control Manager
   12 Print
    6 UmrdpService
    2 DnsApi
    2 DCOM
    1 Dhcp
    1 TermDD
    1 volsnap

Descripción
-----------
En este ejemplo se muestra la forma de buscar todos los orígenes que se representan en las 1000 entradas más recientes del registro de eventos del sistema.

El primer comando obtiene las 1000 entradas más recientes del registro de eventos del sistema y las almacena en la variable $events. 

El segundo comando usa un operador de canalización (|) para enviar los eventos almacenados en $events al cmdlet Group-Object, que agrupa las entradas por el valor de la propiedad Source. El comando utiliza un segundo operador de canalización para enviar los eventos agrupados al cmdlet Sort-Object, que los ordena de forma descendente, de modo que el origen que aparece con más frecuencia se muestra en primer lugar.

Source es una propiedad de las entradas del registro de eventos. Para ver todas las propiedades de una entrada del registro de eventos, canalice los eventos al cmdlet Get-Member.

C:\PS>get-eventlog -logname System -EntryType Error

Descripción
-----------
Este comando obtiene solamente eventos de error del registro de eventos del sistema.

C:\PS>get-eventlog -logname System -instanceID 3221235481 -Source "DCOM"

Descripción
-----------
Este comando obtiene eventos del registro del sistema que tienen un InstanceID de 3221235481 y un valor "DCOM" de Source.

C:\PS>get-eventlog -logname "Windows PowerShell" -computername localhost, Server01, Server02

Descripción
-----------
Este comando obtiene los eventos del registro de eventos de "Windows PowerShell" en tres equipos, Server01, Server02 y el equipo local, conocido como "localhost".

C:\PS>get-eventlog -logname "Windows PowerShell" -message "*failed*"

Descripción
-----------
Este comando obtiene todos los eventos del registro de eventos de Windows PowerShell que tienen un valor de mensaje que incluye la palabra "failed".

C:\PS>$a = get-eventlog -log System -newest 1

C:\PS> $a | format-list -property *

EventID            : 7036
MachineName        : Server01
Data               : {}
Index              : 10238
Category           : (0)
CategoryNumber     : 0
EntryType          : Information
Message            : The description for Event ID
Source             : Service Control Manager
ReplacementStrings : {WinHTTP Web Proxy Auto-Disco
InstanceId         : 1073748860
TimeGenerated      : 4/11/2008 9:56:05 PM
TimeWritten        : 4/11/2008 9:56:05 PM
UserName           :
Site               :
Container          :

Descripción
-----------
En este ejemplo se muestra la forma de mostrar todos los valores de propiedad de un evento. 

El primer comando obtiene el evento más reciente del registro de eventos del sistema y lo guarda en la variable $a. 

El segundo comando usa un operador de canalización (|) para enviar el evento de $a al comando Format-List, que muestra todas (*) las propiedades de evento.

C:\PS>get-eventlog -log application -source outlook | where {$_.eventID -eq 34}

Descripción
-----------
Este comando obtiene eventos del registro de eventos de la aplicación donde el origen es Outlook y el identificador de evento es 34. Aunque Get-EventLog no tiene un parámetro EventID, se puede utilizar el cmdlet Where-Object para seleccionar eventos de acuerdo con el valor de cualquier propiedad de evento.

C:\PS>get-eventlog -log system -username NT* | group-object -property username -noelement | format-table Count, Name -auto

Count Name
----- ----
 6031 NT AUTHORITY\SYSTEM
   42 NT AUTHORITY\LOCAL SERVICE
    4 NT AUTHORITY\NETWORK SERVICE

Descripción
-----------
Este comando devuelve los eventos del registro del sistema agrupados por el valor de su propiedad UserName. El comando Get-EventLog utiliza el parámetro UserName para obtener solamente eventos en que el nombre de usuario empieza por "NT*".

C:\PS>$May31 = get-date 5/31/08

C:\PS> $July1 = get-date 7/01/08

C:\PS> get-eventlog -log "Windows PowerShell" -entrytype Error -after $may31 -before $july1

Descripción
-----------
Este comando obtiene todos los errores del registro de eventos de Windows PowerShell que se produjeron en junio de 2008.