Get-WinEvent

Get-WinEvent [-LogName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-Path] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ProviderName] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [-FilterXPath <string>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent -FilterHashTable <Hashtable[]> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

Get-WinEvent [-ListLog] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent [-ListProvider] <string[]> [-ComputerName <string>] [-Credential <PSCredential>] [<CommonParameters>]

Get-WinEvent -FilterXml <XmlDocument> [-ComputerName <string>] [-Credential <PSCredential>] [-Force <switch>] [-MaxEvents <int64>] [-Oldest] [<CommonParameters>]

C:\PS>get-winevent -listlog  *

説明
-----------
このコマンドは、ローカル コンピューター上のすべてのログを取得します。
    
ログは、Get-WinEvent が取得する順序で一覧表示されます。通常、従来のログが最初に取得され、その後に新しい Windows Eventing ログが取得されます。
    
一般に 100 を超えるイベント ログが存在するため、このパラメーターにはログ名または名前パターンが必要です。すべてのログを取得するには、* を使用します。

C:\PS>get-winevent -listlog Setup | format-list -property *

    
    FileSize                       : 69632
    IsLogFull                      : False
    LastAccessTime                 : 2/14/2008 12:55:12 AM
    LastWriteTime                  : 7/9/2008 3:12:05 AM
    OldestRecordNumber             : 1
    RecordCount                    : 3
    LogName                        : Setup
    LogType                        : Operational
    LogIsolation                   : Application
    IsEnabled                      : True
    IsClassicLog                   : False
    SecurityDescriptor             : O:BAG:SYD:(A;;0xf0007;;;SY)(A;
                                     (A;;0x1;;;S-1-5-32-573)
    LogFilePath                    : %SystemRoot%\System32\Winevt\L
    MaximumSizeInBytes             : 1052672
    LogMode                        : Circular
    OwningProviderName             : Microsoft-Windows-Eventlog
    ProviderNames                  : {Microsoft-Windows-WUSA, Micro
    ProviderLevel                  :
    ProviderKeywords               :
    ProviderBufferSize             : 64
    ProviderMinimumNumberOfBuffers : 0
    ProviderMaximumNumberOfBuffers : 64
    ProviderLatency                : 1000
    ProviderControlGuid            :

説明
-----------
これらのコマンドは、ローカル コンピューター上の従来のシステム ログを表すオブジェクトを取得します。このオブジェクトには、ログのサイズ、イベント ログ プロバイダー、ファイル パス、ログが有効かどうかなど、有用なログ情報が含まれています。

C:\PS>get-winevent -listlog * -computername Server01| where {$_.recordcount}

説明
-----------
このコマンドは、イベントが存在する Server01 コンピューター上のイベント ログのみを取得します。ログの多くが空である可能性があります。
    
ListLog パラメーターを使用する場合は、Get-WinEvent が返す EventLogConfiguration オブジェクトの RecordCount プロパティが使用されます。

C:\PS>$s = "Server01", "Server02", "Server03"

C:\PS> foreach ($server in $s) 
     {$server; get-winevent -listlog "Windows PowerShell" -computername $server}

説明
-----------
この例のコマンドは、Server01、Server02、および Server03 コンピューター上の Windows PowerShell イベント ログを表すオブジェクトを取得します。ComputerName パラメーターに指定できる値は 1 つだけであるため、このコマンドは Foreach キーワードを使用します。
    
最初のコマンドは、コンピューターの名前を $s 変数に保存します。
    
2 番目のコマンドは、Foreach ステートメントを使用します。このコマンドは、$s 変数に保存されている各コンピューターに対して、スクリプト ブロック内 (中かっこ内) のコマンドを実行します。このコマンドは、最初にコンピューターの名前を出力し、次に Get-WinEvent コマンドを実行して、Windows PowerShell ログを表すオブジェクトを取得します。

C:\PS>get-winevent -listprovider *

説明
-----------
このコマンドは、ローカル コンピューター上のイベント ログ プロバイダーとその書き込み先のログ (存在する場合) を取得します。

C:\PS>(get-winevent -listlog Application).providernames

説明
-----------
このコマンドは、ローカル コンピューター上のアプリケーション ログを書き込み先とするすべてのプロバイダーを取得します。

C:\PS>>get-winevent -listprovider *policy*

説明
-----------
このコマンドは、名前に "policy" という単語を含むイベント ログ プロバイダーを取得します。

C:\PS>(get-winevent -listprovider microsoft-windows-grouppolicy).events | format-table id, description -auto

説明
-----------
このコマンドは、Microsoft-Windows-GroupPolicy イベント プロバイダーにより生成されたイベント ID をイベントの説明と共に一覧表示します。
    
ListProvider パラメーターを使用する場合は、Get-WinEvent が返すオブジェクトの Events プロパティが使用され、Events プロパティに含まれるオブジェクトの ID および Description プロパティが使用されます。

C:\PS>$events = get-winevent -logname "Windows PowerShell"

C:\PS> $events.count
195
    
C:\PS> $events | group-object id -noelement | sort-object count -desc
Count Name
----- ----
  147 600
   22 400
   21 601
    3 403
    2 103
    
 C:\PS> $events | group-object leveldisplayname -noelement
Count Name
----- ----
    2 Warning
  193 Information

説明
-----------
この例では、Get-WinEvent が返すイベント オブジェクトのプロパティを使用して、イベント ログのイベントを調べる方法を示します。
    
最初のコマンドは、Get-WinEvent コマンドレットを使用して、Windows PowerShell イベント ログのすべてのイベントを取得します。次に、それらのイベントを $events 変数に保存します。ログ名にスペースが含まれるため、ログ名を引用符で囲みます。
    
2 番目のコマンドは、オブジェクト コレクションの Count プロパティを使用して、イベント ログに含まれるエントリの数を調べます。
    
3 番目のコマンドは、ログに含まれる各イベントの出現回数を表示します。このとき、頻度の高いイベントから順に表示されます。この例では、ID 600 のイベントが最も頻度の高いイベントです。
    
4 番目のコマンドは、LevelDisplayName プロパティの値ごとに項目をグループ化し、ログに含まれる Error、Warning、および Information イベントの数を表示します。

C:\PS>get-winevent -logname *disk*, Microsoft-Windows-Kernel-WHEA

説明
-----------
このコマンドは、名前に "disk" が含まれるエラー イベントを、コンピューター上にあるすべてのイベント ログ、および Microsoft-Windows-Kernel-WHEA イベント ログから取得します。

C:\PS>get-winevent -path 'c:\ps-test\Windows PowerShell.evtx'

説明
-----------
このコマンドは、テスト ディレクトリにある Windows PowerShell イベント ログ ファイルのコピーからイベントを取得します。ログ名にスペースが含まれるため、パスを引用符で囲みます。

C:\PS>get-winevent -path 'c:\tracing\tracelog.etl' -maxevents 100 -oldest
    
C:\PS> get-winevent -path 'c:\tracing\tracelog.etl' -oldest | sort-object -property timecreated -desc | select-object -first 100

説明
-----------
これらのコマンドは、ETW (Event Tracing for Windows) イベント トレース ログ ファイルから最初の 100 個のイベントを取得します。

最初のコマンドは、ログのイベントを古い順に 100 個取得します。このコマンドは、Get-WinEvent コマンドレットを使用して、Tracelog.etl ファイルからイベントを取得します。MaxEvents パラメーターを使用して、取得するイベントの数を 100 個に制限しています。イベントはログに書き込まれた順序で (古い順に) 一覧表示されるため、Oldest パラメーターが必要です。

2 番目のコマンドは、ログのイベントを新しい順に 100 個取得します。このコマンドは、まず Get-WinEvent コマンドレットを使用して、Tracelog.etl ファイルからすべてのイベントを取得します。次に、それらのイベントを Sort-Object コマンドレットに渡し、TimeCreated プロパティ値の降順にイベントを並べ替えます。その後、並べ替えたイベントを Select-Object コマンドレットに送信して、イベントを新しいものから順に 100 個選択します。

C:\PS>get-winevent -path "c:\tracing\tracelog.etl", "c:\Logs\Windows PowerShell.evtx" -oldest | where {$_.id -eq "103"}

説明
-----------
この例では、テスト ディレクトリに保存されているイベント トレース ログ ファイル (.etl) と Windows PowerShell ログ ファイル (.evtx) のコピーからイベントを取得する方法を示します。

複数のファイルの種類を単一のコマンドで結合できます。これらのファイルには、同じ種類の .NET Framework オブジェクト (EventLogRecord オブジェクト) が含まれるため、同じプロパティを使用してファイルをフィルター処理できます。

このコマンドでは .etl ファイルから読み取りを行うため、Oldest パラメーターが必要ですが、Oldest パラメーターは両方のファイルに適用されます。

C:\PS># Use the Where-Object cmdlet
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -logname "Windows PowerShell" | where {$_.timecreated -ge $yesterday}


# Uses FilterHashTable
C:\PS> $yesterday = (get-date) - (new-timespan -day 1)
C:\PS> get-winevent -FilterHashTable @{LogName='Windows PowerShell'; Level=3; StartTime=$yesterday}


# Use FilterXML
C:\PS> get-winevent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]</Select></Query></QueryList>"


# Use FilterXPath
C:\PS> get-winevent -LogName "Windows Powershell" -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

説明
-----------
この例では、イベント ログからイベントを選択するさまざまなフィルター処理方法を示します。これらのコマンドはすべて、過去 24 時間以内に発生したイベントを Windows PowerShell イベント ログから取得します。

フィルターは、Where-Object コマンドレットを使用するよりも効率が良い方法です。これは、すべてのオブジェクトを取得した後にオブジェクトをフィルター処理するのではなく、オブジェクトを取得する際にフィルターが適用されるためです。

XML 形式と XPath 形式では日付の定義が難しいため、日付の XML コンテンツを作成する場合はイベント ビューアーの現在のログをフィルター機能を使用します。この機能の詳細については、イベント ビューアーのヘルプを参照してください。

C:\PS>$date = (get-date).AddDays(-2)
    
C:\PS> $events = get-winevent -FilterHashTable @{ logname = "Microsoft-Windows-Diagnostics-Performance/Operational"; StartTime = $date; ID = 100 }

説明
-----------
この例では、フィルター ハッシュ テーブルを使用して、パフォーマンス ログからイベントを取得します。
    
最初のコマンドは、Get-Date コマンドレットと AddDays メソッドを使用して、現在の日付の 2 日前の日付を取得します。日付は $date 変数に保存します。
    
2 番目のコマンドは、Get-WinEvent コマンドレットを FilterHashTable パラメーターと共に使用しています。ハッシュ テーブル内のキーを使用して、過去 2 日以内に発生し、イベント ID が 100 であるイベントをパフォーマンス ログから選択するフィルターを定義します。
    
LogName キーにはイベント ログを、StartTime キーには日付を、ID キーにはイベント ID をそれぞれ指定します。

C:\PS>$starttime = (get-date).adddays(-7)        
    
C:\PS> $ie-error = Get-WinEvent -FilterHashtable @{logname="application"; providername="Application Error"; data="iexplore.exe"; starttime=$starttime}

説明
-----------
この例では、フィルター ハッシュ テーブルを使用して、過去 1 週間以内に発生した Internet Explorer アプリケーション エラーを検索します。
    
最初のコマンドは、現在の日付の 7 日前の日付を取得し、$starttime 変数に保存します。
    
2 番目のコマンドは、Get-WinEvent コマンドレットを FilterHashTable パラメーターと共に使用しています。ハッシュ テーブル内のキーを使用して、Application Error プロバイダーにより書き込まれ、"iexplore.exe" という語句を含むイベントをアプリケーション ログから選択するフィルターを定義します。
    
LogName キーにはイベント ログを指定します。ProviderName キーにはイベント プロバイダーを、StartTime キーにはイベントの開始日を、Data キーにはイベント メッセージのテキストをそれぞれ指定します。