Get-EventLog

Get-EventLog [-AsString] [-ComputerName <string[]>] [-List] [<CommonParameters>]

Get-EventLog [-LogName] <string> [[-InstanceId] <Int64[]>] [-After <DateTime>] [-AsBaseObject] [-Before <DateTime>] [-ComputerName <string[]>] [-EntryType <string[]>] [-Index <Int32[]>] [-Message <string>] [-Newest <int>] [-Source <string[]>] [-UserName <string[]>] [<CommonParameters>]

C:\PS>get-eventlog -list

설명
-----------
이 명령은 컴퓨터의 이벤트 로그 정보를 표시합니다.

C:\PS>get-eventlog -newest 5 -logname application

설명
-----------
이 명령은 응용 프로그램 이벤트 로그의 가장 최근 5개 항목을 표시합니다.

C:\PS>$events = get-eventlog -logname system -newest 1000

C:\PS> $events | group-object -property source -noelement | sort-object -property count -descending

Count Name
----- ----
   75 Service Control Manager
   12 Print
    6 UmrdpService
    2 DnsApi
    2 DCOM
    1 Dhcp
    1 TermDD
    1 volsnap

설명
-----------
이 예에서는 시스템 이벤트 로그의 가장 최근 1000개 항목에 나타난 모든 원본을 찾는 방법을 보여 줍니다.

첫 번째 명령은 시스템 이벤트 로그에서 가장 최근 1000개 항목을 가져와서 $events 변수에 저장합니다. 

두 번째 명령은 파이프라인 연산자(|)를 사용하여 $events의 이벤트를 Group-Object cmdlet으로 보냅니다. 그러면 이 cmdlet은 Source 속성 값을 기준으로 항목을 그룹화합니다. 또한 두 번째 파이프라인 연산자를 사용하여 그룹화된 이벤트를 Sort-Object cmdlet으로 보내고 그러면 이 cmdlet은 가장 자주 나타나는 원본이 앞에 나열되도록 이벤트를 내림차순으로 정렬합니다.

원본은 이벤트 로그 항목의 여러 속성 중 하나입니다. 이벤트 로그 항목의 모든 속성을 보려면 이벤트를 Get-Member cmdlet으로 파이프합니다.

C:\PS>get-eventlog -logname System -EntryType Error

설명
-----------
이 명령은 시스템 이벤트 로그에서 오류 이벤트만 가져옵니다.

C:\PS>get-eventlog -logname System -instanceID 3221235481 -Source "DCOM"

설명
-----------
이 명령은 시스템 로그에서 InstanceID가 3221235481이고 Source 값이 "DCOM"인 이벤트를 가져옵니다.

C:\PS>get-eventlog -logname "Windows PowerShell" -computername localhost, Server01, Server02

설명
-----------
이 명령은 Server01, Server02 및 "localhost"라는 로컬 컴퓨터의 "Windows PowerShell" 이벤트 로그에서 이벤트를 가져옵니다.

C:\PS>get-eventlog -logname "Windows PowerShell" -message "*failed*"

설명
-----------
이 명령은 Windows PowerShell 이벤트 로그에서 메시지 값에 "failed"라는 단어가 포함된 모든 이벤트를 가져옵니다.

C:\PS>$a = get-eventlog -log System -newest 1

C:\PS> $a | format-list -property *

EventID            : 7036
MachineName        : Server01
Data               : {}
Index              : 10238
Category           : (0)
CategoryNumber     : 0
EntryType          : Information
Message            : The description for Event ID
Source             : Service Control Manager
ReplacementStrings : {WinHTTP Web Proxy Auto-Disco
InstanceId         : 1073748860
TimeGenerated      : 4/11/2008 9:56:05 PM
TimeWritten        : 4/11/2008 9:56:05 PM
UserName           :
Site               :
Container          :

설명
-----------
이 예에서는 이벤트의 모든 속성 값을 표시하는 방법을 보여 줍니다. 

첫 번째 명령은 시스템 이벤트 로그에서 가장 최근 이벤트를 가져와서 $a 변수에 저장합니다. 

두 번째 명령은 파이프라인 연산자(|)를 사용하여 $a의 이벤트를 Format-List 명령으로 보내고 그러면 이 명령은 이벤트의 모든(*) 속성을 표시합니다.

C:\PS>get-eventlog -log application -source outlook | where {$_.eventID -eq 34}

설명
-----------
이 명령은 응용 프로그램 이벤트 로그에서 원본이 Outlook이고 이벤트 ID가 34인 이벤트를 가져옵니다. Get-EventLog에 EventID 매개 변수가 없는 경우에도 Where-Object cmdlet을 사용하여 이벤트 속성 값을 기준으로 이벤트를 선택할 수 있습니다.

C:\PS>get-eventlog -log system -username NT* | group-object -property username -noelement | format-table Count, Name -auto

Count Name
----- ----
 6031 NT AUTHORITY\SYSTEM
   42 NT AUTHORITY\LOCAL SERVICE
    4 NT AUTHORITY\NETWORK SERVICE

설명
-----------
이 명령은 시스템 이벤트 로그의 이벤트를 해당 UserName 속성 값을 기준으로 그룹화하여 반환합니다. Get-EventLog 명령은 UserName 매개 변수를 사용하여 사용자 이름이 "NT*"로 시작하는 이벤트만 가져옵니다.

C:\PS>$May31 = get-date 5/31/08

C:\PS> $July1 = get-date 7/01/08

C:\PS> get-eventlog -log "Windows PowerShell" -entrytype Error -after $may31 -before $july1

설명
-----------
이 명령은 Windows PowerShell 이벤트 로그에서 2008년 6월에 발생한 모든 오류를 가져옵니다.