我想使用Windows PowerShell检索有关事件提供程序的信息?我正在使用PowerShell 4.0版运行Windows 8.1,我注意到System.Diagnostics.Eventing
namespace中有一些.NET类提供了围绕Windows事件的一些功能。
我可以通过调用默认构造函数来创建EventProvider
实例,但这不允许我获取有关系统上安装的事件提供程序的任何信息。
$EventProvider = New-Object -TypeName System.Diagnostics.Eventing.EventProvider -ArgumentList ([System.Guid]'{00000000-0000-0000-0000-000000000000}');
如何使用Windows PowerShell获取有关安装在系统上的Windows事件跟踪(ETW)提供程序以及与Windows事件日志交互的更多信息?
我已经知道我可以使用命令logman.exe query providers
作为described here来检索ETW提供程序列表,并查询Windows事件日志,但这不是PowerShell友好的。
答案 0 :(得分:7)
还有另一个名为System.Diagnostics.Eventing.Reader
的.NET命名空间,它包含许多.NET类,允许您检索有关Windows事件跟踪(ETW)提供程序和使用Windows操作系统注册的事件日志的信息。其中大多数类型都是在.NET Global Assembly Cache (GAC)中的System.Core.dll
.NET程序集中定义的。
例如,您可以执行以下操作(以及更多):
ETW的核心功能之一是获取在给定系统上安装的ETW提供程序列表。您可以使用System.Diagnostics.Eventing.Reader
命名空间中的.NET Framework类型轻松检索此信息。恰好是一个名为EventLogSession
的.NET类,在这个类上是一个名为GlobalSession
的静态属性,它自动检索到本地计算机上的事件日志服务的会话/连接。如有必要,您也可以使用EventLogSession
类中的一个构造函数连接到远程计算机。
一旦检索到EventLogSession
类的实例,就可以调用GetProviderNames()
方法来检索一组String
个对象,这些对象代表已安装的ETW提供程序的名称。计算机。
以下是从本地计算机检索提供程序名称的示例:
$EventSession = [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession;
$EventProviderNames = $EventSession.GetProviderNames();
$EventProviderNames;
以下是使用alternate constructor从远程计算机检索ETW提供程序名称的示例:
$EventSession = New-Object -TypeName System.Diagnostics.Eventing.Reader.EventLogSession -ArgumentList server01.contoso.com;
$EventProviderNames = $EventSession.GetProviderNames();
$EventProviderNames;
您可以使用EventLogSession
类的其他构造函数来指定远程计算机的备用凭据。 EventLogSession
类的alternate constructor需要以下参数:
SecureString
)System.Diagnostics.Eventing.Reader.SessionAuthentication
类型以下是如何实现这一目标的示例:
$ComputerName = 'server01.contoso.com';
$Credential = Get-Credential;
$ArgumentList = $ComputerName, $Credential.UserName.Split('\')[0], $Credential.UserName.Split('\')[1], $Credential.Password, [System.Diagnostics.Eventing.Reader.SessionAuthentication]::Default;
$EventSession = New-Object -TypeName System.Diagnostics.Eventing.Reader.EventLogSession -ArgumentList $ArgumentList;
一旦发现计算机上安装了所有ETW提供程序,您可能还希望浏览计算机上可用的ETW日志的完整列表。 EventLogSession
类还有一个名为GetLogNames()
的方法,它返回一组String
个对象,这些对象代表目标系统上可用的ETW日志。与GetProviderNames()
方法类似,您可以在本地或远程计算机上调用GetLogNames()
。
以下是从本地计算机检索ETW日志名称的示例:
$EventSession = [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession;
$EventLogNames = $EventSession.GetLogNames();
$EventLogNames;
以下是从远程计算机检索ETW日志名称的示例:
$EventSession = New-Object -TypeName System.Diagnostics.Eventing.Reader.EventLogSession -ArgumentList server01.contoso.com;
$EventLogNames = $EventSession.GetLogNames();
$EventLogNames;
除了检索ETW提供程序名称之外,您可能还希望检索有关它们的更多详细信息。您可以使用ProviderMetadata
.NET类中的System.Diagnostics.Eventing.Reader
类来执行此操作。 ProviderMetadata
课程提供的信息包括:
与ETW提供程序和ETW日志名称类似,您可以从本地或远程系统检索提供程序元数据。在后一种情况下,您必须在尝试实例化EventLogSession
类之前建立ProviderMetadata
实例。
以下是从本地系统检索ETW提供程序元数据的示例:
# Get the EventLogSession object
$EventSession = [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession;
# Get the ETW provider names
$EventProviderNames = $EventSession.GetProviderNames();
# Create an empty array to hold the ProviderMetadata instances
$ProviderMetadataList = @();
# For each ETW provider name ...
foreach ($EventProvider in $EventProviderNames) {
# Add each ProviderMetadata instance to the array
$ProviderMetadataList += New-Object -TypeName System.Diagnostics.Eventing.Reader.ProviderMetadata -ArgumentList $EventProvider;
}
# Explore the 16th item from the ProviderMetadata array
$ProviderMetadataList[15];
要从远程系统检索ETW提供程序元数据,请在实例化EventLogSession
类之前构建ProviderMetadata
对象,并在实例化ProviderMetadata
时确保传入以下参数到constructor:
EventLogSession
实例CultureInfo
对象...
$ComputerName = 'server01.contoso.com';
$Credential = Get-Credential;
$SessionArgumentList = $ComputerName, $Credential.UserName.Split('\')[0], $Credential.UserName.Split('\')[1], $Credential.Password, [System.Diagnostics.Eventing.Reader.SessionAuthentication]::Kerberos;
$EventSession = New-Object -TypeName System.Diagnostics.Eventing.Reader.EventLogSession -ArgumentList $SessionArgumentList;
$EventProviderNames = $EventSession.GetProviderNames();
# Create an empty array to hold the ProviderMetadata instances
$ProviderMetadataList = @();
foreach ($EventProvider in $EventProviderNames) {
# Build the Arguments for the ProviderMetadata constructor
$ProviderMetadataArgumentList = $EventProvider, $EventSession, [CultureInfo]::CurrentCulture;
# Add each ProviderMetadata instance to the array
$ProviderMetadataList += New-Object -TypeName System.Diagnostics.Eventing.Reader.ProviderMetadata -ArgumentList $ProviderMetadataArgumentList;
}
# Explore the 111th item from the array
$ProviderMetadataList[110];
注意:当您通过经过身份验证的连接实例化ProviderMetadata
个对象时,可能会遇到一些异常:
New-Object:异常调用" .ctor"用" 3"参数:"试图 执行未经授权的操作。"
由于您提到您还希望从ETW事件日志中读取事件,因此对System.Diagnostics.Eventing.Reader
.NET命名空间中的类型也很容易。 EventLogReader
类包含一个名为ReadEvent()
的方法,该方法会在EventLogReader
实例化时指定的事件日志中不断读取下一个事件。
以下是从系统事件日志中读取事件的简单示例:
# Instantiate the EventLogReader .NET class
$EventLogReader = New-Object -TypeName System.Diagnostics.Eventing.Reader.EventLogReader -ArgumentList 'System';
# Read the first 5 events from the event log
1..5 | % { $EventLogReader.ReadEvent(); };
与先前检索的提供程序元数据类似,您可以检索有关特定ETW事件日志配置的信息。为此,您实例化EventLogConfiguration
class,传入ETW事件日志的名称。将返回有关事件日志的各种信息,包括:
以下是如何检索此信息的示例:
$EventSession = [System.Diagnostics.Eventing.Reader.EventLogSession]::GlobalSession;
$EventLogNames = $EventSession.GetLogNames();
$EventLogConfigurationList = @();
foreach ($EventLogName in $EventLogNames) {
$EventLogConfigurationList += New-Object -TypeName System.Diagnostics.Eventing.Reader.EventLogConfiguration -ArgumentList $EventLogName;
}
$EventLogConfigurationList[5];
答案 1 :(得分:0)
# working in version 5
$providers = Get-WinEvent -ListProvider * | select name
$providers