Get-WinEvent

Reference

Modul:: Microsoft.PowerShell.Diagnostics

Získá události z protokolů událostí a soubory protokolu trasování událostí na místních a vzdálených počítačích.

Syntaxe

Get-WinEvent
   [[-LogName] <string[]>]
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-FilterXPath <string>]
   [-Force]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-ListLog] <string[]>
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-Force]
   [<CommonParameters>]

Get-WinEvent
   [-ListProvider] <string[]>
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [<CommonParameters>]

Get-WinEvent
   [-ProviderName] <string[]>
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-FilterXPath <string>]
   [-Force]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-Path] <string[]>
   [-MaxEvents <long>]
   [-Credential <pscredential>]
   [-FilterXPath <string>]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-FilterXml] <xml>
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-FilterHashtable] <hashtable[]>
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-Force]
   [-Oldest]
   [<CommonParameters>]

Description

Rutina získává události z protokolů událostí, včetně klasických protokolů, jako jsou systému a protokoly application. Rutina získává data z protokolů událostí generovaných technologií protokolu událostí systému Windows zavedených v systému Windows Vista. A události v souborech protokolu vygenerované trasováním událostí trasování událostí pro Windows (ETW). Ve výchozím nastavení Get-WinEvent vrací informace o událostech v pořadí od nejnovějšího po nejstarší.

Get-WinEvent uvádí protokoly událostí a zprostředkovatele protokolu událostí. Pokud chcete příkaz přerušit, stiskněte klávesu CTRL+C. Události můžete získat z vybraných protokolů nebo z protokolů generovaných vybranými poskytovateli událostí. A v jednom příkazu můžete kombinovat události z více zdrojů. Get-WinEvent umožňuje filtrovat události pomocí dotazů XPath, strukturovaných dotazů XML a dotazů na tabulky hash.

Pokud powershell nepoužíváte jako správce, můžou se zobrazit chybové zprávy, které nemůžete načíst informace o protokolu.

Příklady

Příklad 1: Získání všech protokolů z místního počítače

Tento příkaz získá všechny protokoly událostí v místním počítači. Protokoly jsou uvedené v pořadí, v jakém je Get-WinEvent získá. Klasické protokoly se načtou jako první, za kterými následují nové protokoly událostí systému Windows. Protokol Record Count může mít hodnotu null, což je prázdné nebo nula.

Get-WinEvent -ListLog *

LogMode   MaximumSizeInBytes RecordCount LogName
-------   ------------------ ----------- -------
Circular            15532032       14500 Application
Circular             1052672         117 Azure Information Protection
Circular             1052672        3015 CxAudioSvcLog
Circular            20971520             ForwardedEvents
Circular            20971520           0 HardwareEvents

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr ListLog používá zástupný znak hvězdičky (*) k zobrazení informací o jednotlivých protokolech.

Příklad 2: Získání klasického protokolu instalace

Tento příkaz získá EventLogConfiguration objekt, který představuje klasický instalační protokol. Objekt obsahuje informace o protokolu, například o velikosti souboru, poskytovateli, cestě k souboru a o tom, jestli je protokol povolený.

Get-WinEvent -ListLog Setup | Format-List -Property *

FileSize                       : 69632
IsLogFull                      : False
LastAccessTime                 : 3/13/2019 09:41:46
LastWriteTime                  : 3/13/2019 09:41:46
OldestRecordNumber             : 1
RecordCount                    : 23
LogName                        : Setup
LogType                        : Operational
LogIsolation                   : Application
IsEnabled                      : True
IsClassicLog                   : False
SecurityDescriptor             : O:BAG:SYD: ...
LogFilePath                    : %SystemRoot%\System32\Winevt\Logs\Setup.evtx
MaximumSizeInBytes             : 1052672
LogMode                        : Circular
OwningProviderName             : Microsoft-Windows-Eventlog
ProviderNames                  : {Microsoft-Windows-WUSA, Microsoft-Windows-ActionQueue...
ProviderLevel                  :
ProviderKeywords               :
ProviderBufferSize             : 64
ProviderMinimumNumberOfBuffers : 0
ProviderMaximumNumberOfBuffers : 64
ProviderLatency                : 1000
ProviderControlGuid            :

Rutina Get-WinEvent používá parametr ListLog k určení protokolu Setup. Objekt se odešle do kanálu do rutiny Format-List. k zobrazení každé vlastnosti používá parametr vlastnost hvězdičkou ().

Příklad 3: Získání protokolů událostí ze serveru

Tento příkaz získá pouze protokoly událostí v místním počítači, které obsahují události. Protokol Record Count může mít hodnotu null nebo nula. Příklad používá proměnnou $_. Další informace najdete v tématu about_Automatic_Variables.

Get-WinEvent -ListLog * -ComputerName localhost | Where-Object { $_.RecordCount }

LogMode   MaximumSizeInBytes RecordCount LogName
-------   ------------------ ----------- -------
Circular            15532032       14546 Application
Circular             1052672         117 Azure Information Protection
Circular             1052672        2990 CxAudioSvcLog
Circular             1052672           9 MSFTVPN Setup
Circular             1052672         282 OAlerts

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr ListLog používá zástupný znak hvězdičky (*) k zobrazení informací o jednotlivých protokolech. Parametr ComputerName určuje, že se mají protokoly získat z místního počítače, localhost. Objekty se odesílají do Where-Object rutiny. Where-Object používá $_.RecordCount k vrácení pouze protokolů, které obsahují data. $_ je proměnná, která představuje aktuální objekt v kanálu. RecordCount je vlastnost objektu s nenulovou hodnotou.

Příklad 4: Získání protokolů událostí z více serverů

Tento příklad získá objekty, které představují aplikační protokoly událostí na třech počítačích: Server01, Server02 a Server03. Používá se klíčové slovo ForEach, protože parametr ComputerName přijímá pouze jednu hodnotu. Další informace naleznete v tématu about_Foreach.

$S = 'Server01', 'Server02', 'Server03'
ForEach ($Server in $S) {
  Get-WinEvent -ListLog Application -ComputerName $Server |
    Select-Object LogMode, MaximumSizeInBytes, RecordCount, LogName,
      @{name='ComputerName'; expression={$Server}} |
    Format-Table -AutoSize
}

LogMode MaximumSizeInBytes RecordCount LogName     ComputerName
 ------- ------------------ ----------- -------     ------------
Circular           15532032       14577 Application Server01
Circular           15532032        9689 Application Server02
Circular           15532032        5309 Application Server03

Proměnná $S ukládá názvy tří serverů: Server01, Server02a Server03. Příkaz ForEach používá smyčku ke zpracování každého serveru ($Server in $S). Blok skriptu ve složených závorkách ({ }) spustí příkaz Get-WinEvent. Parametr ListLog určuje protokol aplikace . Parametr ComputerName používá proměnnou $Server k získání informací protokolu z každého serveru.

Objekty se odesílají do Select-Object rutiny. Select-Object získá vlastnosti LogMode, MaximumSizeInBytes, RecordCount, LogNamea použije počítaný výraz k zobrazení ComputerName pomocí proměnné $Server. Objekty se odesílají do rutiny Format-Table, aby se zobrazil výstup v konzole PowerShellu. Automatické nastavení naformátuje výstup tak, aby odpovídal obrazovce.

Příklad 5: Získání zprostředkovatelů protokolu událostí a názvů protokolů

Tento příkaz získá zprostředkovatele protokolu událostí a protokoly, do kterých zapisují.

Get-WinEvent -ListProvider *

Name     : .NET Runtime
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Name     : .NET Runtime Optimization Service
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr ListProvider používá zástupný znak hvězdičky (*) k zobrazení informací o každém poskytovateli. Ve výstupu je název zprostředkovatel a LogLinks je protokol, do kterého zprostředkovatel zapisuje.

Příklad 6: Získání všech zprostředkovatelů protokolu událostí, kteří zapisuje do konkrétního protokolu

Tento příkaz získá všechny zprostředkovatele, kteří zapisuje do protokolu application.

(Get-WinEvent -ListLog Application).ProviderNames

.NET Runtime
.NET Runtime Optimization Service
Application
Application Error
Application Hang
Application Management

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr listlogu používá k získání objektů pro tento protokol application. ProviderNames je vlastnost objektu a zobrazí zprostředkovatele, kteří zapisují do protokolu aplikace.

Příklad 7: Získání názvů zprostředkovatelů protokolu událostí, které obsahují konkrétní řetězec

Tento příkaz získá zprostředkovatele protokolu událostí s názvy, které obsahují konkrétní řetězec v názvu zprostředkovatele.

Get-WinEvent -ListProvider *Policy*

Name     : Group Policy Applications
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Name     : Group Policy Client
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Name     : Group Policy Data Sources
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr ListProvider používá zástupný znak hvězdičky () k vyhledání zásad kdekoli v názvu poskytovatele.

Příklad 8: Získání ID událostí, které zprostředkovatel události generuje

Tento příkaz vypíše ID událostí, které Microsoft-Windows-GroupPolicy zprostředkovatel událostí generuje spolu s popisem události.

(Get-WinEvent -ListProvider Microsoft-Windows-GroupPolicy).Events | Format-Table Id, Description

Id  Description
  --  -----------
1500  The Group Policy settings for the computer were processed successfully...
1501  The Group Policy settings for the user were processed successfully...
4115  Group Policy Service started.
4116  Started the Group Policy service initialization phase.
4117  Group Policy Session started.

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr ListProvider určuje zprostředkovatele Microsoft-Windows-GroupPolicy. Výraz je zabalen v závorkách a používá Events vlastnost získat objekty. Objekty se odesílají do Format-Table rutiny. Format-Table zobrazí id a Popis objektů událostí.

Příklad 9: Získání informací protokolu z vlastností objektu události

Tento příklad ukazuje, jak získat informace o obsahu protokolu pomocí vlastností objektu události. Objekty událostí jsou uloženy v proměnné a potom seskupené a počítány podle id události a level.

PS> $Event = Get-WinEvent -LogName 'Windows PowerShell'

PS> $Event.Count
195

PS> $Event | Group-Object -Property Id -NoElement | Sort-Object -Property Count -Descending

Count  Name
-----  ----
  147  600
   22  400
   21  601
    3  403
    2  103

PS> $Event | Group-Object -Property LevelDisplayName -NoElement

Count  Name
-----  ----
    2  Warning
  193  Information

Rutina Get-WinEvent používá parametr LogName k určení protokolu událostí Windows PowerShellu. Objekty událostí jsou uloženy v proměnné $Event.

$Event.Count používá vlastnost $Event proměnné k zobrazení celkového počtu protokolovaných událostí.

Proměnná $Event se odešle do kanálu do rutiny Group-Object. Group-Object pomocí parametru Vlastnost určuje vlastnost ID a spočítá objekty podle ID. Parametr NoElement odebere z výstupu objektu další vlastnosti. Seskupené objekty se odesílají do kanálu do rutiny Sort-Object. pomocí parametru vlastnost seřadí objekty podle Count. Parametr Descending zobrazuje výstup podle počtu od nejvyššího po nejnižší. Ve výstupu sloupec Count obsahuje celkový počet každé události. Sloupec Název obsahuje seskupené id.

Proměnná $Event se odešle do kanálu do rutiny Group-Object. používá parametr vlastnost k určení vlastnosti LevelDisplayName a spočítá objekty podle LevelDisplayName. Objekty jsou seskupeny podle úrovní, jako jsou upozornění a Informace. Parametr NoElement odebere z výstupu další vlastnosti. Ve výstupu sloupec Count obsahuje celkový počet každé události. Sloupec Název obsahuje seskupený LevelDisplayName.

Příklad 10: Získání chybových událostí, které mají v názvu zadaný řetězec

V tomto příkladu se používá řetězec s oddělovačem názvů protokolů. Výstup se seskupí podle úrovně, jako je chyba nebo upozornění a název protokolu.

Get-WinEvent -LogName  *PowerShell*, Microsoft-Windows-Kernel-WHEA* | Group-Object -Property LevelDisplayName, LogName -NoElement | Format-Table -AutoSize

Count  Name
-----  ----
    1  Error, PowerShellCore/Operational
   26  Information, Microsoft-Windows-Kernel-WHEA/Operational
  488  Information, Microsoft-Windows-PowerShell/Operational
   77  Information, PowerShellCore/Operational
 9835  Information, Windows PowerShell
   19  Verbose, PowerShellCore/Operational
  444  Warning, Microsoft-Windows-PowerShell/Operational
  512  Warning, PowerShellCore/Operational

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr LogName používá řetězec oddělený čárkami se zástupným znakem hvězdičky (*) k zadání názvů protokolů. Objekty se odesílají do Group-Object rutiny. používá parametr vlastnost k seskupení objektů podle LevelDisplayName a LogName. Parametr NoElement odebere z výstupu další vlastnosti. Seskupené objekty se odesílají do kanálu do rutiny Format-Table. Format-Table k formátování sloupců používá parametr Automatické nastavení velikosti. Sloupec Count obsahuje celkový počet každé události. Sloupec Název obsahuje seskupený LevelDisplayName a LogName.

Příklad 11: Získání událostí z archivovaného protokolu událostí

Get-WinEvent může získat informace o událostech z uložených souborů protokolu. Tato ukázka používá archivovaný protokol PowerShellu uložený v místním počítači.

Get-WinEvent -Path 'C:\Test\Windows PowerShell.evtx'

ProviderName: PowerShell

TimeCreated              Id LevelDisplayName  Message
-----------              -- ----------------  -------
3/15/2019 13:54:13      403 Information       Engine state is changed from Available to Stopped...
3/15/2019 13:54:13      400 Information       Engine state is changed from None to Available...
3/15/2019 13:54:13      600 Information       Provider "Variable" is Started...
3/15/2019 13:54:13      600 Information       Provider "Function" is Started...
3/15/2019 13:54:13      600 Information       Provider "FileSystem" is Started...

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr Cesta určuje název adresáře a souboru.

Příklad 12: Získání určitého počtu událostí z archivovaného protokolu událostí

Tyto příkazy z archivovaného protokolu událostí získají určitý počet událostí. Get-WinEvent obsahuje parametry, které můžou získat maximální počet událostí nebo nejstarší události. Tato ukázka používá archivovaný protokol PowerShellu uložený v C:\Test\PowerShellCore Operational.evtx.

PS> Get-WinEvent -Path 'C:\Test\PowerShellCore Operational.evtx' -MaxEvents 100

   ProviderName: PowerShellCore

TimeCreated                 Id   LevelDisplayName  Message
-----------                 --   ----------------  -------
3/15/2019 09:54:54        4104   Warning           Creating Scriptblock text (1 of 1):...
3/15/2019 09:37:13       40962   Information       PowerShell console is ready for user input
3/15/2019 07:56:24        4104   Warning           Creating Scriptblock text (1 of 1):...
...
3/7/2019 10:53:22        40961   Information       PowerShell console is starting up
3/7/2019 10:53:22         8197   Verbose           Runspace state changed to Opening
3/7/2019 10:53:22         8195   Verbose           Opening RunspacePool

Rutina Get-WinEvent získá informace protokolu z počítače. Parametr Cesta určuje název adresáře a souboru. Parametr MaxEvents určuje, že se zobrazí 100 záznamů od nejnovějších po nejstarší.

Příklad 13: Trasování událostí pro Windows

Trasování událostí pro Windows (ETW) zapisuje události do protokolu při výskytu událostí. Události se ukládají v pořadí od nejstaršího po nejnovější. Archivovaný soubor ETW je uložen jako .etl, například TraceLog.etl. Události jsou uvedeny v pořadí, v jakém jsou zapsány do protokolu, takže Nejstarší parametr je povinný.

PS> Get-WinEvent -Path 'C:\Tracing\TraceLog.etl' -Oldest | Sort-Object -Property TimeCreated -Descending | Select-Object -First 100

Rutina Get-WinEvent získá informace protokolu z archivovaného souboru. Parametr Cesta určuje název adresáře a souboru. Parametr Nejstarší slouží k výstupu událostí v pořadí, v jakém se zapisují, od nejstaršího k nejnovějšímu. Objekty se odesílají do Sort-Object rutiny Sort-Object seřadí objekty sestupně podle hodnoty vlastnosti TimeCreated. Objekty se odesílají do rutiny Select-Object, která zobrazuje 100 nejnovějších událostí.

Příklad 14: Získání událostí z protokolu trasování událostí

Tento příklad ukazuje, jak získat události ze souboru protokolu trasování událostí (.etl) a archivovaného souboru protokolu Windows PowerShellu (.evtx). V jednom příkazu můžete zkombinovat více typů souborů. Vzhledem k tomu, že soubory obsahují stejný typ .NET Framework objektu, EventLogRecord, můžete je filtrovat se stejnými vlastnostmi. Příkaz vyžaduje parametr Nejstarší, protože čte ze souboru .etl, ale parametr Nejstarší platí pro každý soubor.

PS> Get-WinEvent -Path 'C:\Tracing\TraceLog.etl', 'C:\Test\Windows PowerShell.evtx' -Oldest | Where-Object { $_.Id -eq '403' }

Rutina Get-WinEvent získá informace protokolu z archivovaných souborů. Parametr Path používá seznam oddělený čárkami k určení jednotlivých adresářů souborů a názvu souboru. Parametr Nejstarší slouží k výstupu událostí v pořadí, v jakém se zapisují, od nejstaršího k nejnovějšímu. Objekty se odesílají do Where-Object rutiny. používá blok skriptu k vyhledání událostí s id 403. Proměnná $_ představuje aktuální objekt v kanálu a id je vlastnost ID události.

Příklad 15: Filtrování výsledků protokolu událostí

Tento příklad ukazuje různé metody filtrování a výběru událostí z protokolu událostí. Všechny tyto příkazy z protokolu událostí Windows Power Shellu získají události, ke kterým došlo za posledních 24 hodin. Metody filtru jsou efektivnější než použití rutiny Where-Object. Filtry se použijí při načítání objektů. Where-Object načte všechny objekty a pak použije filtry na všechny objekty.

# Using the Where-Object cmdlet:
PS> $Yesterday = (Get-Date) - (New-TimeSpan -Day 1)
PS> Get-WinEvent -LogName 'Windows PowerShell' | Where-Object { $_.TimeCreated -ge $Yesterday }

# Using the FilterHashtable parameter:
PS> $Yesterday = (Get-Date) - (New-TimeSpan -Day 1)
PS> Get-WinEvent -FilterHashtable @{ LogName='Windows PowerShell'; Level=3; StartTime=$Yesterday }

# Using the FilterXML parameter:
PS> Get-WinEvent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime)<= 86400000]]]</Select></Query></QueryList>"

# Using the FilterXPath parameter:
PS> Get-WinEvent -LogName 'Windows PowerShell' -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

Příklad 16: Použití filterHashtable k získání událostí z protokolu aplikace

Tento příklad používá parametr FilterHashtable k získání událostí z protokolu Application. Tabulka hash používá páry klíč/hodnota. Další informace o parametru FilterHashtable naleznete v tématu Vytváření dotazů Get-WinEvent pomocíFilterHashtable . Další informace o tabulkách hash najdete v tématu about_Hash_Tables.

$Date = (Get-Date).AddDays(-2)
Get-WinEvent -FilterHashtable @{ LogName='Application'; StartTime=$Date; Id='1003' }

Rutina Get-Date používá metodu AddDays k získání data, které je dva dny před aktuálním datem. Objekt data je uložen v proměnné $Date.

Rutina Get-WinEvent získá informace protokolu. K filtrování výstupu se používá parametr FilterHashtable. Klíč LogName určuje hodnotu jako protokol Application. Klíč StartTime používá hodnotu uloženou v proměnné $Date. Klíč ID používá hodnotu ID události 1003.

Příklad 17: Použití filterHashtable k získání chyb aplikace

Tento příklad používá parametr FilterHashtable k vyhledání chyb aplikace Internet Explorer, ke kterým došlo v posledním týdnu.

$StartTime = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashtable @{ Logname='Application'; ProviderName='Application Error'; Data='iexplore.exe'; StartTime=$StartTime }

Rutina Get-Date používá metodu AddDays k získání data, které je sedm dní před aktuálním datem. Objekt data je uložen v proměnné $StartTime.

Rutina Get-WinEvent získá informace protokolu. K filtrování výstupu se používá parametr FilterHashtable. Klíč LogName určuje hodnotu jako protokol Application. Klíč ProviderName používá hodnotu Application Error, což je zdrojováudálosti . Klíč dat používá hodnotu iexplore.exe Klíč StartTime používá hodnotu uloženou v proměnné .

Parametry

-ComputerName

Určuje název počítače, který tato rutina získává události z protokolů událostí. Zadejte název NetBIOS, IP adresu nebo plně kvalifikovaný název domény (FQDN) počítače. Výchozí hodnota je místní počítač, localhost. Tento parametr přijímá současně pouze jeden název počítače.

Pokud chcete získat protokoly událostí ze vzdálených počítačů, nakonfigurujte port brány firewall pro službu protokolu událostí tak, aby umožňoval vzdálený přístup.

Tato rutina nespoléhá na vzdálené komunikace PowerShellu. Parametr ComputerName můžete použít i v případě, že váš počítač není nakonfigurovaný pro spouštění vzdálených příkazů.

Typ:	String
Aliasy:	Cn
Position:	Named
Default value:	Local computer
Vyžadováno:	False
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-Credential

Určuje uživatelský účet, který má oprávnění k provedení této akce. Výchozí hodnota je aktuální uživatel.

Zadejte uživatelské jméno, například User01 nebo Domain01\User01. Nebo zadejte objekt PSCredential, například objekt vygenerovaný rutinou Get-Credential. Pokud zadáte uživatelské jméno, zobrazí se výzva k zadání hesla. Pokud zadáte jenom název parametru, zobrazí se výzva k zadání uživatelského jména i hesla.

Typ:	PSCredential
Position:	Named
Default value:	Current user
Vyžadováno:	False
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-FilterHashtable

Určuje dotaz ve formátu tabulky hash pro výběr událostí z jednoho nebo více protokolů událostí. Dotaz obsahuje tabulku hash s jednou nebo více páry klíč/hodnota.

Dotazy na tabulky hash mají následující pravidla:

Klíče a hodnoty nerozlišují malá a velká písmena.
Zástupné znaky jsou platné pouze v hodnotách přidružených k LogName a ProviderName klíče.
Každý klíč může být uveden pouze jednou v každé tabulce hash.
Hodnota Path přebírá cesty k .etl, .evta souborům protokolu .evtx.
Ve stejném dotazu je možné použít klíče LogName, Patha Provider Name.
Klíč UserID může použít platný identifikátor zabezpečení (SID) nebo název účtu domény, který lze použít k vytvoření platného objektu System.Security.Principal.NTAccount.
Hodnota Data přebírá data událostí v nepojmenovaném poli. Například události v klasických protokolech událostí.
<named-data> klíč představuje pojmenované datové pole události.

Pokud Get-WinEvent nemůže interpretovat dvojici klíč/hodnota, interpretuje klíč jako název rozlišující malá a velká písmena pro data události v události.

Platné páry Get-WinEventklíč/hodnota jsou následující:

LogName=<String[]>
ProviderName=<String[]>
cesta=<String[]>
klíčových slov
ID=<Int32[]>
úrovně
= <DateTime> StartTime
= <DateTime> endtime
ID uživatele=<SID>
dat
<named-data>=<String[]>

Typ:	Hashtable[]
Position:	0
Default value:	None
Vyžadováno:	True
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-FilterXml

Určuje strukturovaný dotaz XML, který tato rutina vybere události z jednoho nebo více protokolů událostí.

Pokud chcete vygenerovat platný dotaz XML, použijte Vytvořit vlastní zobrazení a Filtrovat aktuální funkce protokolu v Prohlížeči událostí systému Windows. Pomocí položek v dialogovém okně vytvořte dotaz a potom kliknutím na kartu XML zobrazte dotaz ve formátu XML. Kód XML můžete z karty XML zkopírovat do hodnoty FilterXml parametru. Další informace o funkcích Prohlížeče událostí naleznete v nápovědě k prohlížeči událostí.

Pomocí dotazu XML vytvořte složitý dotaz, který obsahuje několik příkazů XPath. Formát XML také umožňuje použít Potlačit XML element, který vylučuje události z dotazu. Další informace o schématu XML pro dotazy protokolu událostí naleznete v tématu Schématu dotazů a část Dotazy událostí XML výběr událostí v knihovně MSDN.

Typ:	XmlDocument
Position:	0
Default value:	None
Vyžadováno:	True
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-FilterXPath

Určuje dotaz XPath, který tato rutina vybere události z jednoho nebo více protokolů.

Další informace o jazyce XPath naleznete v tématu referenční XPath a oddíl Filtry výběru výběr událostí v knihovně MSDN.

Typ:	String
Position:	Named
Default value:	None
Vyžadováno:	False
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-Force

Získá kromě dalších protokolů událostí také protokoly ladění a analýzy. Parametr Force se vyžaduje k získání ladicího nebo analytického protokolu, pokud hodnota parametru name obsahuje zástupné znaky.

Rutina Get-WinEvent tyto protokoly ve výchozím nastavení vylučuje, pokud nezadáte úplný název ladicího nebo analytického protokolu.

Typ:	SwitchParameter
Position:	Named
Default value:	None
Vyžadováno:	False
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-ListLog

Určuje protokoly událostí. Do seznamu odděleného čárkami zadejte názvy protokolů událostí. Jsou povoleny zástupné cardy. Pokud chcete získat všechny protokoly, použijte zástupný znak hvězdičky (*).

Typ:	String[]
Position:	0
Default value:	None
Vyžadováno:	True
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	True

-ListProvider

Určuje zprostředkovatele protokolu událostí, které tato rutina získá. Zprostředkovatel protokolu událostí je program nebo služba, která zapisuje události do protokolu událostí.

Zadejte názvy poskytovatelů do seznamu odděleného čárkami. Jsou povoleny zástupné cardy. Pokud chcete získat poskytovatele všech protokolů událostí v počítači, použijte zástupný znak hvězdičky (*).

Typ:	String[]
Position:	0
Default value:	None
Vyžadováno:	True
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	True

-LogName

Určuje protokoly událostí, ze které tato rutina získává události. Do seznamu odděleného čárkami zadejte názvy protokolů událostí. Jsou povoleny zástupné cardy. Názvy protokolů můžete také hlásit rutině Get-WinEvent.

Typ:	String[]
Position:	0
Default value:	None
Vyžadováno:	False
Přijmout vstup kanálu:	True
Přijmout zástupné znaky:	True

-MaxEvents

Určuje maximální počet vrácených událostí. Zadejte celé číslo, například 100. Výchozí hodnota je vrátit všechny události v protokolech nebo souborech.

Typ:	Int64
Position:	Named
Default value:	None
Vyžadováno:	False
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-Oldest

Označuje, že tato rutina získá události v nejstarším pořadí. Ve výchozím nastavení se události vrací v nejnovějším pořadí.

Tento parametr je nutný k získání událostí z .etl a .evt souborů a z protokolů ladění a analýzy. Vtěchtoch

Typ:	SwitchParameter
Position:	Named
Default value:	None
Vyžadováno:	False
Přijmout vstup kanálu:	False
Přijmout zástupné znaky:	False

-Path

Určuje cestu k souborům protokolu událostí, ze které tato rutina získává události. Zadejte cesty k souborům protokolu v seznamu odděleném čárkami nebo pomocí zástupných znaků vytvořte vzory cesty k souboru.

Get-WinEvent podporuje soubory s příponou názvů souborů .evt, .evtxa .etl. Do stejného příkazu můžete zahrnout události z různých souborů a typů souborů.

Typ:	String[]
Aliasy:	PSPath
Position:	0
Default value:	None
Vyžadováno:	True
Přijmout vstup kanálu:	True
Přijmout zástupné znaky:	True

-ProviderName

Určuje jako pole řetězců zprostředkovatele protokolu událostí, ze kterých tato rutina získává události. Zadejte názvy zprostředkovatelů do seznamu odděleného čárkami nebo pomocí zástupných znaků vytvořte vzory názvů zprostředkovatelů.

Zprostředkovatel protokolu událostí je program nebo služba, která zapisuje události do protokolu událostí. Nejedná se o poskytovatele PowerShellu.

Typ:	String[]
Position:	0
Default value:	None
Vyžadováno:	True
Přijmout vstup kanálu:	True
Přijmout zástupné znaky:	True

Vstupy

System.String, System.Xml.XmlDocument, System.Collections.Hashtable

Můžete vytvořit kanál LogName (řetězec), dotaz FilterXML nebo dotaz FilterHashtable do Get-WinEvent.

Výstupy

System.Diagnostics.Eventing.Reader.EventLogConfiguration, System.Diagnostics.Eventing.Reader.EventLogRecord, System.Diagnostics.Eventing.Reader.ProviderMetadata

S parametrem ListLog vrátí Get-WinEventSystem.Diagnostics.Eventing.Reader.EventLogConfiguration objekty.

S parametrem ListProvider vrátí Get-WinEventSystem.Diagnostics.Eventing.Reader.ProviderMetadata objekty.

Se všemi ostatními parametry vrátí Get-WinEventSystem.Diagnostics.Eventing.Reader.EventLogRecord objekty.

Poznámky

Get-WinEvent běží ve Windows Vista, Windows Serveru 2008 R2 a novějších verzích Windows.

Get-WinEvent je navržena tak, aby nahradila rutinu Get-EventLog na počítačích se systémem Windows Vista a novějšími verzemi Systému Windows. Get-EventLog získá události pouze v klasických protokolech událostí. Get-EventLog se zachovají ve verzích před PowerShellem 6 kvůli zpětné kompatibilitě.

Rutiny Get-WinEvent a Get-EventLog nejsou podporovány v prostředí windows před instalací (Windows PE).

Sdílet prostřednictvím

Get-WinEvent

Syntaxe

Description

Příklady

Příklad 1: Získání všech protokolů z místního počítače

Příklad 2: Získání klasického protokolu instalace

Příklad 3: Získání protokolů událostí ze serveru

Příklad 4: Získání protokolů událostí z více serverů

Příklad 5: Získání zprostředkovatelů protokolu událostí a názvů protokolů

Příklad 6: Získání všech zprostředkovatelů protokolu událostí, kteří zapisuje do konkrétního protokolu

Příklad 7: Získání názvů zprostředkovatelů protokolu událostí, které obsahují konkrétní řetězec

Příklad 8: Získání ID událostí, které zprostředkovatel události generuje

Příklad 9: Získání informací protokolu z vlastností objektu události

Příklad 10: Získání chybových událostí, které mají v názvu zadaný řetězec

Příklad 11: Získání událostí z archivovaného protokolu událostí

Příklad 12: Získání určitého počtu událostí z archivovaného protokolu událostí

Příklad 13: Trasování událostí pro Windows

Příklad 14: Získání událostí z protokolu trasování událostí

Příklad 15: Filtrování výsledků protokolu událostí

Příklad 16: Použití filterHashtable k získání událostí z protokolu aplikace

Příklad 17: Použití filterHashtable k získání chyb aplikace

Parametry

-ComputerName

-Credential

-FilterHashtable

-FilterXml

-FilterXPath

-Force

-ListLog

-ListProvider

-LogName

-MaxEvents

-Oldest

-Path

-ProviderName

Vstupy

Výstupy

Poznámky

Další materiály

Sdílet prostřednictvím

Get-WinEvent

Syntaxe

Description

Příklady

Příklad 1: Získání všech protokolů z místního počítače

Příklad 2: Získání klasického protokolu instalace

Příklad 3: Získání protokolů událostí ze serveru

Příklad 4: Získání protokolů událostí z více serverů

Příklad 5: Získání zprostředkovatelů protokolu událostí a názvů protokolů

Příklad 6: Získání všech zprostředkovatelů protokolu událostí, kteří zapisuje do konkrétního protokolu

Příklad 7: Získání názvů zprostředkovatelů protokolu událostí, které obsahují konkrétní řetězec

Příklad 8: Získání ID událostí, které zprostředkovatel události generuje

Příklad 9: Získání informací protokolu z vlastností objektu události

Příklad 10: Získání chybových událostí, které mají v názvu zadaný řetězec

Příklad 11: Získání událostí z archivovaného protokolu událostí

Příklad 12: Získání určitého počtu událostí z archivovaného protokolu událostí

Příklad 13: Trasování událostí pro Windows

Příklad 14: Získání událostí z protokolu trasování událostí

Příklad 15: Filtrování výsledků protokolu událostí

Příklad 16: Použití filterHashtable k získání událostí z protokolu aplikace

Příklad 17: Použití filterHashtable k získání chyb aplikace

Parametry

-ComputerName

-Credential

-FilterHashtable

-FilterXml

-FilterXPath

-Force

-ListLog

-ListProvider

-LogName

-MaxEvents

-Oldest

-Path

-ProviderName

Vstupy

Výstupy

Poznámky

Související odkazy

Další materiály