Get-EventLog

Get-EventLog [-AsString] [-ComputerName <string[]>] [-List] [<CommonParameters>]

Get-EventLog [-LogName] <string> [[-InstanceId] <Int64[]>] [-After <DateTime>] [-AsBaseObject] [-Before <DateTime>] [-ComputerName <string[]>] [-EntryType <string[]>] [-Index <Int32[]>] [-Message <string>] [-Newest <int>] [-Source <string[]>] [-UserName <string[]>] [<CommonParameters>]

C:\PS>get-eventlog -list

Descrição
-----------
Esse comando exibe informações sobre os logs de eventos do computador.

C:\PS>get-eventlog -newest 5 -logname application

Descrição
-----------
Esse comando exibe as cinco entradas mais recentes no log de eventos Application.

C:\PS>$events = get-eventlog -logname system -newest 1000

C:\PS> $events | group-object -property source -noelement | sort-object -property count -descending

Count Name
----- ----
   75 Service Control Manager
   12 Print
    6 UmrdpService
    2 DnsApi
    2 DCOM
    1 Dhcp
    1 TermDD
    1 volsnap

Descrição
-----------
Este exemplo mostra como localizar todas as origens representadas nas 1000 entradas mais recentes no log de eventos System.

O primeiro comando obtém as 1000 entradas mais recentes do log de eventos System e as armazena na variável $events. 

O segundo comando usa o operador de pipeline (|) para enviar os eventos em $events para o cmdlet Group-Object, que agrupa as entradas pelo valor da propriedade Source. O comando usa um segundo operador de pipeline para enviar os eventos agrupados para o cmdlet Sort-Object, que os classifica em ordem decrescente, para que seja listada primeiro a origem mais frequente.

Source é apenas uma das propriedades das entradas de logs de eventos. Para ver todas as propriedades de uma entrada de log de eventos, envie os eventos por pipe para o cmdlet Get-Member.

C:\PS>get-eventlog -logname System -EntryType Error

Descrição
-----------
Esse comando obtém apenas os eventos de erro do log de eventos System.

C:\PS>get-eventlog -logname System -instanceID 3221235481 -Source "DCOM"

Descrição
-----------
Esse comando obtém eventos do log System cuja InstanceID é igual a 3221235481 e o valor de Source é "DCOM".

C:\PS>get-eventlog -logname "Windows PowerShell" -computername localhost, Server01, Server02

Descrição
-----------
Esse comando obtém os eventos do log de eventos "Windows PowerShell" em três computadores, Server01, Server02 e o computador local, conhecido como "localhost".

C:\PS>get-eventlog -logname "Windows PowerShell" -message "*failed*"

Descrição
-----------
Esse comando obtém todos os eventos no log de eventos Windows PowerShell que têm um valor de mensagem que inclui a palavra "failed".

C:\PS>$a = get-eventlog -log System -newest 1

C:\PS> $a | format-list -property *

EventID            : 7036
MachineName        : Server01
Data               : {}
Index              : 10238
Category           : (0)
CategoryNumber     : 0
EntryType          : Information
Message            : The description for Event ID
Source             : Service Control Manager
ReplacementStrings : {WinHTTP Web Proxy Auto-Disco
InstanceId         : 1073748860
TimeGenerated      : 4/11/2008 9:56:05 PM
TimeWritten        : 4/11/2008 9:56:05 PM
UserName           :
Site               :
Container          :

Descrição
-----------
Este exemplo mostra como exibir todos os valores de propriedades de um evento. 

O primeiro comando obtém o evento mais recente do log de eventos System e o salva na variável $a. 

O segundo comando usa um operador de pipeline (|) para enviar o evento em $a para o comando Format-List, que exibe todas (*) as propriedades do evento.

C:\PS>get-eventlog -log application -source outlook | where {$_.eventID -eq 34}

Descrição
-----------
Esse comando obtém os eventos no log de eventos Application, no qual a origem é o Outlook e a ID do evento é 34. Embora Get-EventLog não tenha um parâmetro EventID, você pode usar o cmdlet Where-Object para selecionar eventos com base no valor de qualquer propriedade de evento.

C:\PS>get-eventlog -log system -username NT* | group-object -property username -noelement | format-table Count, Name -auto

Count Name
----- ----
 6031 NT AUTHORITY\SYSTEM
   42 NT AUTHORITY\LOCAL SERVICE
    4 NT AUTHORITY\NETWORK SERVICE

Descrição
-----------
Esse comando retorna os eventos no log do sistema agrupados pelo valor da propriedade UserName. O comando Get-EventLog usa o parâmetro UserName para obter somente os eventos nos quais o nome do usuário começa com "NT*".

C:\PS>$May31 = get-date 5/31/08

C:\PS> $July1 = get-date 7/01/08

C:\PS> get-eventlog -log "Windows PowerShell" -entrytype Error -after $may31 -before $july1

Descrição
-----------
Esse comando obtém todos os erros no log de eventos Windows PowerShell que ocorreram em junho de 2008.