Erreur lors de l’activation du journal des événements d’analytique ou de débogage : l’opération demandée ne peut pas être effectuée sur un canal direct activé. Le canal doit d’abord être désactivé avant d’effectuer l’opération demandée

Cet article vous aide à corriger une erreur qui se produit lorsque vous activez le journal des événements d’analyse ou de débogage.

Numéro de base de connaissances d’origine : 2488055

Symptômes

Vous pouvez recevoir l’erreur suivante lorsque vous tentez d’activer ou de modifier les propriétés d’une observateur d’événements d’analyse ou de débogage :

Erreur de requête
Une ou plusieurs journaux d’activité dans la requête présentent des erreurs.
L’opération demandée ne peut pas être effectuée sur un canal direct activé. Le canal doit d’abord être désactivé avant d’effectuer l’opération demandée.

Lorsque vous tentez de modifier l’outil Wevtutil, vous pouvez recevoir l’erreur suivante :

Le canal ne parvient pas à s’activer.
Impossible d’enregistrer la configuration ou d’activer le nom> du journal des journaux<.
L’opération demandée ne peut pas être effectuée sur un canal direct activé. Le canal doit d’abord être désactivé avant d’effectuer l’opération demandée.

Vous devez d’abord sélectionner Affichage, Afficher les journaux d’analyse et de débogage dans l’Observateur d’événements pour rendre les journaux d’analyse et de débogage visibles dans l’Observateur d’événements. Par exemple, le journal d’activité WMI (nom complet Microsoft-Windows-WMI-Activity/Trace) se trouve dans les journaux des applications et services\Microsoft\Windows\WMI-Activity\Trace.

Cause

Pour les journaux d’activité d’analyse et de débogage, l’Observateur d’événements n’autorise pas l’interrogation ou l’affichage des événements si le journal est à la fois activé et a des événements de remplacement selon les besoins (les événements les plus anciens en premier) configurés.

Ce n’est pas le cas pour les journaux d’activité administratifs et opérationnels tels que les journaux système, application et sécurité, qui peuvent être consultés lorsque des événements de remplacement en fonction des besoins (les événements les plus anciens en premier) sont configurés.

Les journaux d’analyse et de débogage par défaut sont configurés pour ne pas remplacer les événements (effacer manuellement les journaux d’activité). Pour la journalisation circulaire où les anciens événements sont ignorés lorsque la taille maximale du journal est atteinte, vous activez les événements de remplacement en fonction des besoins (les événements les plus anciens en premier).

La journalisation a lieu même si cette erreur s’affiche. L’erreur signifie uniquement que vous ne pouvez pas afficher les événements en cours de journalisation.

Résolution

Vous pouvez afficher un journal analytique ou de débogage alors qu’il est activé tant que vous ne définissez pas les événements de remplacement si nécessaire dans l’Observateur d’événements, qui dans Wevtutil est configuré à l’aide /retention:false ou /rt:false. Si vous définissez des événements de remplacement si nécessaire (/retention:false) car vous avez besoin d’une journalisation circulaire, vous devez d’abord désactiver ce journal avant de pouvoir afficher les événements. Par exemple, pour utiliser l’outil Wevtutil pour activer le journal WMI-Activity, définissez les événements de remplacement en fonction des besoins et remplacez la taille par 150 Mo (la valeur par défaut est de 1024 Ko), vous pouvez exécuter la commande suivante :

wevtutil set-log "Microsoft-Windows-WMI-Activity/Trace" /enabled:false
wevtutil set-log "Microsoft-Windows-WMI-Activity/Trace" /enabled:true /quiet:true /retention:false /maxsize:153600

Une fois le problème reproduit, désactivez le journal et exportez-le pour révision.

wevtutil set-log "Microsoft-Windows-WMI-Activity/Trace" /enabled:false
wevtutil export-log "Microsoft-Windows-WMI-Activity/Trace" %temp%\%computername%_WMI-Activity.evtx