Get-WinEvent

구문

Get-WinEvent
   [[-LogName] <string[]>]
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-FilterXPath <string>]
   [-Force]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-ListLog] <string[]>
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-Force]
   [<CommonParameters>]

Get-WinEvent
   [-ListProvider] <string[]>
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [<CommonParameters>]

Get-WinEvent
   [-ProviderName] <string[]>
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-FilterXPath <string>]
   [-Force]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-Path] <string[]>
   [-MaxEvents <long>]
   [-Credential <pscredential>]
   [-FilterXPath <string>]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-FilterXml] <xml>
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-Oldest]
   [<CommonParameters>]

Get-WinEvent
   [-FilterHashtable] <hashtable[]>
   [-MaxEvents <long>]
   [-ComputerName <string>]
   [-Credential <pscredential>]
   [-Force]
   [-Oldest]
   [<CommonParameters>]

Description

Get-WinEvent cmdlet은 시스템 및 애플리케이션 로그와 같은 클래식 로그를 포함하여 이벤트 로그에서 이벤트를 가져옵니다. cmdlet은 Windows Vista에 도입된 Windows 이벤트 로그 기술로 생성된 이벤트 로그에서 데이터를 가져옵니다. 또한 ETW(Windows용 이벤트 추적)에서 생성된 로그 파일의 이벤트는. 기본적으로 Get-WinEvent 이벤트 정보를 최신에서 가장 오래된 순서로 반환합니다.

Get-WinEvent 이벤트 로그 및 이벤트 로그 공급자를 나열합니다. 명령을 중단하려면 ctrlC누릅니다. 선택한 로그 또는 선택한 이벤트 공급자가 생성한 로그에서 이벤트를 가져올 수 있습니다. 또한 여러 원본의 이벤트를 단일 명령으로 결합할 수 있습니다. Get-WinEvent XPath 쿼리, 구조적 XML 쿼리 및 해시 테이블 쿼리를 사용하여 이벤트를 필터링할 수 있습니다.

관리자 권한으로 PowerShell을 실행하지 않는 경우 로그에 대한 정보를 검색할 수 없다는 오류 메시지가 표시될 수 있습니다.

예제

예제 1: 로컬 컴퓨터에서 모든 로그 가져오기

이 명령은 로컬 컴퓨터의 모든 이벤트 로그를 가져옵니다. 로그는 Get-WinEvent 가져오는 순서대로 나열됩니다. 클래식 로그가 먼저 검색된 후 새 Windows 이벤트 로그가 표시됩니다. 로그의 RecordCount null이거나 비어 있거나 0일 수 있습니다.

Get-WinEvent -ListLog *

LogMode   MaximumSizeInBytes RecordCount LogName
-------   ------------------ ----------- -------
Circular            15532032       14500 Application
Circular             1052672         117 Azure Information Protection
Circular             1052672        3015 CxAudioSvcLog
Circular            20971520             ForwardedEvents
Circular            20971520           0 HardwareEvents

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. ListLog 매개 변수는 별표(*) 와일드카드를 사용하여 각 로그에 대한 정보를 표시합니다.

예제 2: 클래식 설치 로그 가져오기

이 명령은 클래식 설치 로그를 나타내는 EventLogConfiguration 개체를 가져옵니다. 개체에는 파일 크기, 공급자, 파일 경로 및 로그 사용 여부와 같은 로그에 대한 정보가 포함됩니다.

Get-WinEvent -ListLog Setup | Format-List -Property *

FileSize                       : 69632
IsLogFull                      : False
LastAccessTime                 : 3/13/2019 09:41:46
LastWriteTime                  : 3/13/2019 09:41:46
OldestRecordNumber             : 1
RecordCount                    : 23
LogName                        : Setup
LogType                        : Operational
LogIsolation                   : Application
IsEnabled                      : True
IsClassicLog                   : False
SecurityDescriptor             : O:BAG:SYD: ...
LogFilePath                    : %SystemRoot%\System32\Winevt\Logs\Setup.evtx
MaximumSizeInBytes             : 1052672
LogMode                        : Circular
OwningProviderName             : Microsoft-Windows-Eventlog
ProviderNames                  : {Microsoft-Windows-WUSA, Microsoft-Windows-ActionQueue...
ProviderLevel                  :
ProviderKeywords               :
ProviderBufferSize             : 64
ProviderMinimumNumberOfBuffers : 0
ProviderMaximumNumberOfBuffers : 64
ProviderLatency                : 1000
ProviderControlGuid            :

Get-WinEvent cmdlet은 ListLog 매개 변수를 사용하여 설치 로그를 지정합니다. 개체가 파이프라인 아래로 Format-List cmdlet으로 전송됩니다. Format-List 별표() 와일드카드와 함께 * 매개 변수를 사용하여 각 속성을 표시합니다.

예제 3: 서버에서 이벤트 로그 가져오기

이 명령은 이벤트를 포함하는 로컬 컴퓨터에서만 이벤트 로그를 가져옵니다. 로그의 RecordCount null 또는 0일 수 있습니다. 이 예제에서는 $_ 변수를 사용합니다. 자세한 내용은 about_Automatic_Variables를 참조하세요.

Get-WinEvent -ListLog * -ComputerName localhost | Where-Object { $_.RecordCount }

LogMode   MaximumSizeInBytes RecordCount LogName
-------   ------------------ ----------- -------
Circular            15532032       14546 Application
Circular             1052672         117 Azure Information Protection
Circular             1052672        2990 CxAudioSvcLog
Circular             1052672           9 MSFTVPN Setup
Circular             1052672         282 OAlerts

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. ListLog 매개 변수는 별표(*) 와일드카드를 사용하여 각 로그에 대한 정보를 표시합니다. ComputerName 매개 변수는 localhost로컬 컴퓨터에서 로그를 가져오기 위해 지정합니다. 개체는 파이프라인을 Where-Object cmdlet으로 보냅니다. Where-Object $_.RecordCount 사용하여 데이터가 포함된 로그만 반환합니다. $_ 파이프라인의 현재 개체를 나타내는 변수입니다. RecordCount null이 아닌 값을 가진 개체의 속성입니다.

예제 4: 여러 서버에서 이벤트 로그 가져오기

이 예제에서는 Server01, Server02 및 Server03의 세 컴퓨터에서 Application 이벤트 로그를 나타내는 개체를 가져옵니다. ForEach 키워드는 ComputerName 매개 변수가 하나의 값만 허용하기 때문에 사용됩니다. 자세한 내용은 about_Foreach참조하세요.

$S = 'Server01', 'Server02', 'Server03'
ForEach ($Server in $S) {
  Get-WinEvent -ListLog Application -ComputerName $Server |
    Select-Object LogMode, MaximumSizeInBytes, RecordCount, LogName,
      @{name='ComputerName'; expression={$Server}} |
    Format-Table -AutoSize
}

LogMode MaximumSizeInBytes RecordCount LogName     ComputerName
 ------- ------------------ ----------- -------     ------------
Circular           15532032       14577 Application Server01
Circular           15532032        9689 Application Server02
Circular           15532032        5309 Application Server03

변수 $SServer01, Server02및 Server03세 개의 서버를 저장합니다. ForEach 문은 루프를 사용하여 ($Server in $S)각 서버를 처리합니다. 중괄호({ })의 스크립트 블록은 Get-WinEvent 명령을 실행합니다. ListLog 매개 변수는 Application 로그를 지정합니다. ComputerName 매개 변수는 변수 $Server 사용하여 각 서버에서 로그 정보를 가져옵니다.

개체는 파이프라인을 Select-Object cmdlet으로 보냅니다. LogMode, MaximumSizeInBytes, RecordCount, LogName속성을 가져오고 계산 식을 사용하여 변수를 사용하여 ComputerName 표시합니다. 개체는 파이프라인을 Format-Table cmdlet으로 보내져 PowerShell 콘솔에 출력을 표시합니다. AutoSize 매개 변수는 화면에 맞게 출력의 형식을 지정합니다.

예제 5: 이벤트 로그 공급자 및 로그 이름 가져오기

이 명령은 이벤트 로그 공급자 및 해당 공급자가 작성하는 로그를 가져옵니다.

Get-WinEvent -ListProvider *

Name     : .NET Runtime
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Name     : .NET Runtime Optimization Service
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. ListProvider 매개 변수는 별표(*) 와일드카드를 사용하여 각 공급자에 대한 정보를 표시합니다. 출력에서 이름 공급자이고 LogLinks 공급자가 쓰는 로그입니다.

예제 6: 특정 로그에 쓰는 모든 이벤트 로그 공급자 가져오기

이 명령은 애플리케이션 로그에 쓰는 모든 공급자를 가져옵니다.

(Get-WinEvent -ListLog Application).ProviderNames

.NET Runtime
.NET Runtime Optimization Service
Application
Application Error
Application Hang
Application Management

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. ListLog 매개 변수는 Application 사용하여 해당 로그에 대한 개체를 가져옵니다. ProviderNames 개체의 속성이며 Application 로그에 쓰는 공급자를 표시합니다.

예제 7: 특정 문자열을 포함하는 이벤트 로그 공급자 이름 가져오기

이 명령은 공급자 이름에 특정 문자열을 포함하는 이름을 가진 이벤트 로그 공급자를 가져옵니다.

Get-WinEvent -ListProvider *Policy*

Name     : Group Policy Applications
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Name     : Group Policy Client
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Name     : Group Policy Data Sources
LogLinks : {Application}
Opcodes  : {}
Tasks    : {}

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. ListProvider 매개 변수는 별표(*) 와일드카드를 사용하여 공급자 이름 내의 Policy 찾습니다.

예제 8: 이벤트 공급자가 생성하는 이벤트 ID 가져오기

이 명령은 Microsoft-Windows-GroupPolicy 이벤트 공급자가 이벤트 설명과 함께 생성하는 이벤트 ID를 나열합니다.

(Get-WinEvent -ListProvider Microsoft-Windows-GroupPolicy).Events | Format-Table Id, Description

Id  Description
  --  -----------
1500  The Group Policy settings for the computer were processed successfully...
1501  The Group Policy settings for the user were processed successfully...
4115  Group Policy Service started.
4116  Started the Group Policy service initialization phase.
4117  Group Policy Session started.

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. ListProvider 매개 변수는 Microsoft-Windows-GroupPolicy공급자를 지정합니다. 식은 괄호로 래핑되고 Events 속성을 사용하여 개체를 가져옵니다. 개체는 파이프라인을 Format-Table cmdlet으로 보냅니다. Format-Table 이벤트 개체의 ID 및 설명 표시합니다.

예제 9: 이벤트 개체 속성에서 로그 정보 가져오기

이 예제에서는 이벤트 개체 속성을 사용하여 로그의 내용에 대한 정보를 가져오는 방법을 보여 줍니다. 이벤트 개체는 변수에 저장되고 이벤트 ID 및 수준따라 그룹화되고 계산됩니다.

PS> $Event = Get-WinEvent -LogName 'Windows PowerShell'

PS> $Event.Count
195

PS> $Event | Group-Object -Property Id -NoElement | Sort-Object -Property Count -Descending

Count  Name
-----  ----
  147  600
   22  400
   21  601
    3  403
    2  103

PS> $Event | Group-Object -Property LevelDisplayName -NoElement

Count  Name
-----  ----
    2  Warning
  193  Information

Get-WinEvent cmdlet은 LogName 매개 변수를 사용하여 Windows PowerShell 이벤트 로그를 지정합니다. 이벤트 개체는 $Event 변수에 저장됩니다.

$Event.Count $Event 변수의 Count 속성을 사용하여 기록된 총 이벤트 수를 표시합니다.

$Event 변수는 파이프라인을 Group-Object cmdlet으로 보냅니다. Group-Object 속성 매개 변수를 사용하여 ID 속성을 지정하고 id개체 수를 계산합니다. NoElement 매개 변수는 개체 출력에서 다른 속성을 제거합니다. 그룹화된 개체는 파이프라인 아래로 Sort-Object cmdlet으로 전송됩니다. Property 매개 변수를 사용하여 count기준으로 개체 를 정렬합니다. 내림차순 매개 변수는 출력을 개수별로 가장 높은 값에서 가장 낮은 값으로 표시합니다. 출력에서 Count 열에는 각 이벤트의 총 수가 포함됩니다. 이름 열에는 그룹화된 ID 번호가 포함됩니다.

$Event 변수는 파이프라인을 Group-Object cmdlet으로 보냅니다. Property 매개 변수를 사용하여 LevelDisplayName 속성을 지정하고 levelDisplayName개체 수를 계산합니다. 개체는 경고 및 정보같은 수준으로 그룹화됩니다. NoElement 매개 변수는 출력에서 다른 속성을 제거합니다. 출력에서 Count 열에는 각 이벤트의 총 수가 포함됩니다. 이름 열에는 그룹화된 LevelDisplayName포함됩니다.

예제 10: 이름에 지정된 문자열이 있는 오류 이벤트 가져오기

이 예제에서는 로그 이름의 쉼표로 구분된 문자열을 사용합니다. 출력은 오류 또는 경고 및 로그 이름과 같은 수준으로 그룹화됩니다.

Get-WinEvent -LogName  *PowerShell*, Microsoft-Windows-Kernel-WHEA* | Group-Object -Property LevelDisplayName, LogName -NoElement | Format-Table -AutoSize

Count  Name
-----  ----
    1  Error, PowerShellCore/Operational
   26  Information, Microsoft-Windows-Kernel-WHEA/Operational
  488  Information, Microsoft-Windows-PowerShell/Operational
   77  Information, PowerShellCore/Operational
 9835  Information, Windows PowerShell
   19  Verbose, PowerShellCore/Operational
  444  Warning, Microsoft-Windows-PowerShell/Operational
  512  Warning, PowerShellCore/Operational

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. LogName 매개 변수는 별표(*) 와일드카드와 함께 쉼표로 구분된 문자열을 사용하여 로그 이름을 지정합니다. 개체는 파이프라인을 Group-Object cmdlet으로 보냅니다. Property 매개 변수를 사용하여 LevelDisplayName LogName개체를 그룹화합니다. NoElement 매개 변수는 출력에서 다른 속성을 제거합니다. 그룹화된 개체는 파이프라인 아래로 Format-Table cmdlet으로 전송됩니다. Format-Table AutoSize 매개 변수를 사용하여 열의 서식을 지정합니다. Count 열에는 각 이벤트의 총 수가 포함됩니다. 이름 열에는 그룹화된 LevelDisplayName 및 LogName포함됩니다.

예제 11: 보관된 이벤트 로그에서 이벤트 가져오기

Get-WinEvent 저장된 로그 파일에서 이벤트 정보를 가져올 수 있습니다. 이 샘플에서는 로컬 컴퓨터에 저장된 보관된 PowerShell 로그를 사용합니다.

Get-WinEvent -Path 'C:\Test\Windows PowerShell.evtx'

ProviderName: PowerShell

TimeCreated              Id LevelDisplayName  Message
-----------              -- ----------------  -------
3/15/2019 13:54:13      403 Information       Engine state is changed from Available to Stopped...
3/15/2019 13:54:13      400 Information       Engine state is changed from None to Available...
3/15/2019 13:54:13      600 Information       Provider "Variable" is Started...
3/15/2019 13:54:13      600 Information       Provider "Function" is Started...
3/15/2019 13:54:13      600 Information       Provider "FileSystem" is Started...

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. Path 매개 변수는 디렉터리 및 파일 이름을 지정합니다.

예제 12: 보관된 이벤트 로그에서 특정 수의 이벤트 가져오기

이러한 명령은 보관된 이벤트 로그에서 특정 수의 이벤트를 가져옵니다. Get-WinEvent 최대 이벤트 수 또는 가장 오래된 이벤트를 가져올 수 있는 매개 변수가 있습니다. 이 샘플에서는 C:\Test\PowerShellCore Operational.evtx저장된 보관된 PowerShell 로그를 사용합니다.

PS> Get-WinEvent -Path 'C:\Test\PowerShellCore Operational.evtx' -MaxEvents 100

   ProviderName: PowerShellCore

TimeCreated                 Id   LevelDisplayName  Message
-----------                 --   ----------------  -------
3/15/2019 09:54:54        4104   Warning           Creating Scriptblock text (1 of 1):...
3/15/2019 09:37:13       40962   Information       PowerShell console is ready for user input
3/15/2019 07:56:24        4104   Warning           Creating Scriptblock text (1 of 1):...
...
3/7/2019 10:53:22        40961   Information       PowerShell console is starting up
3/7/2019 10:53:22         8197   Verbose           Runspace state changed to Opening
3/7/2019 10:53:22         8195   Verbose           Opening RunspacePool

Get-WinEvent cmdlet은 컴퓨터에서 로그 정보를 가져옵니다. Path 매개 변수는 디렉터리 및 파일 이름을 지정합니다. MaxEvents 매개 변수는 100개의 레코드가 최신 레코드에서 가장 오래된 레코드로 표시되도록 지정합니다.

예제 13: Windows용 이벤트 추적

ETW(Windows용 이벤트 추적)는 이벤트가 발생할 때 로그에 이벤트를 씁니다. 이벤트는 가장 오래된 것에서 최신 순서로 저장됩니다. 보관된 ETW 파일은 .etl같은 저장됩니다. 이벤트는 로그에 기록되는 순서대로 나열되므로 가장 오래된 매개 변수가 필요합니다.

PS> Get-WinEvent -Path 'C:\Tracing\TraceLog.etl' -Oldest | Sort-Object -Property TimeCreated -Descending | Select-Object -First 100

Get-WinEvent cmdlet은 보관된 파일에서 로그 정보를 가져옵니다. Path 매개 변수는 디렉터리 및 파일 이름을 지정합니다. 가장 오래된 매개 변수는 이벤트가 기록되는 순서대로 가장 오래된 것에서 최신으로 출력하는 데 사용됩니다. 개체는 파이프라인을 Sort-Object cmdlet으로 Sort-ObjectTimeCreated 속성 값으로 개체를 내림차순으로 정렬합니다. 개체는 100개의 최신 이벤트를 표시하는 Select-Object cmdlet으로 파이프라인 아래로 전송됩니다.

예제 14: 이벤트 추적 로그에서 이벤트 가져오기

이 예제에서는 이벤트 추적 로그 파일(.etl) 및 보관된 Windows PowerShell 로그 파일(.evtx)에서 이벤트를 가져오는 방법을 보여 줍니다. 여러 파일 형식을 단일 명령으로 결합할 수 있습니다. 파일에 동일한 형식의 .NET Framework 개체가 포함되어 있으므로 EventLogRecord동일한 속성을 사용하여 필터링할 수 있습니다. 이 명령은 파일에서 읽기 때문에 .etl 매개 변수가 필요하지만 가장 오래된 매개 변수는 각 파일에 적용됩니다.

PS> Get-WinEvent -Path 'C:\Tracing\TraceLog.etl', 'C:\Test\Windows PowerShell.evtx' -Oldest | Where-Object { $_.Id -eq '403' }

Get-WinEvent cmdlet은 보관된 파일에서 로그 정보를 가져옵니다. Path 매개 변수는 쉼표로 구분된 목록을 사용하여 각 파일 디렉터리와 파일 이름을 지정합니다. 가장 오래된 매개 변수는 이벤트가 기록되는 순서대로 가장 오래된 것에서 최신으로 출력하는 데 사용됩니다. 개체는 파이프라인을 Where-Object cmdlet으로 보냅니다. 스크립트 블록을 사용하여 403id 이벤트를 찾습니다. $_ 변수는 파이프라인의 현재 개체를 나타내고 ID 이벤트 ID 속성입니다.

예제 15: 이벤트 로그 결과 필터링

이 예제에서는 이벤트 로그에서 이벤트를 필터링하고 선택하는 다양한 방법을 보여 줍니다. 이러한 모든 명령은 Windows PowerShell 이벤트 로그에서 지난 24시간 동안 발생한 이벤트를 가져옵니다. 필터 메서드는 Where-Object cmdlet을 사용하는 것보다 더 효율적입니다. 필터는 개체가 검색될 때 적용됩니다. Where-Object 모든 개체를 검색한 다음 모든 개체에 필터를 적용합니다.

# Using the Where-Object cmdlet:
PS> $Yesterday = (Get-Date) - (New-TimeSpan -Day 1)
PS> Get-WinEvent -LogName 'Windows PowerShell' | Where-Object { $_.TimeCreated -ge $Yesterday }

# Using the FilterHashtable parameter:
PS> $Yesterday = (Get-Date) - (New-TimeSpan -Day 1)
PS> Get-WinEvent -FilterHashtable @{ LogName='Windows PowerShell'; Level=3; StartTime=$Yesterday }

# Using the FilterXML parameter:
PS> Get-WinEvent -FilterXML "<QueryList><Query><Select Path='Windows PowerShell'>*[System[Level=3 and TimeCreated[timediff(@SystemTime)<= 86400000]]]</Select></Query></QueryList>"

# Using the FilterXPath parameter:
PS> Get-WinEvent -LogName 'Windows PowerShell' -FilterXPath "*[System[Level=3 and TimeCreated[timediff(@SystemTime) <= 86400000]]]"

예제 16: FilterHashtable을 사용하여 애플리케이션 로그에서 이벤트 가져오기

이 예제에서는 FilterHashtable 매개 변수를 사용하여 Application 로그에서 이벤트를 가져옵니다. 해시 테이블은 키/값 쌍을 사용합니다. FilterHashtable 매개 변수에 대한 자세한 내용은 FilterHashtable사용하여 Get-WinEvent 쿼리 만들기를 참조하세요. 해시 테이블에 대한 자세한 내용은 about_Hash_Tables참조하세요.

$Date = (Get-Date).AddDays(-2)
Get-WinEvent -FilterHashtable @{ LogName='Application'; StartTime=$Date; Id='1003' }

Get-Date cmdlet은 AddDays 메서드를 사용하여 현재 날짜 2일 전의 날짜를 가져옵니다. date 개체는 $Date 변수에 저장됩니다.

Get-WinEvent cmdlet은 로그 정보를 가져옵니다. FilterHashtable 매개 변수는 출력을 필터링하는 데 사용됩니다. LogName 키는 값을 Application 로그로 지정합니다. StartTime 키는 $Date 변수에 저장된 값을 사용합니다. ID 키는 1003이벤트 ID 값을 사용합니다.

예제 17: FilterHashtable을 사용하여 애플리케이션 오류 가져오기

이 예제에서는 FilterHashtable 매개 변수를 사용하여 지난 주 내에 발생한 Internet Explorer 애플리케이션 오류를 찾습니다.

$StartTime = (Get-Date).AddDays(-7)
Get-WinEvent -FilterHashtable @{ Logname='Application'; ProviderName='Application Error'; Data='iexplore.exe'; StartTime=$StartTime }

Get-Date cmdlet은 AddDays 메서드를 사용하여 현재 날짜 7일 이전의 날짜를 가져옵니다. date 개체는 $StartTime 변수에 저장됩니다.

Get-WinEvent cmdlet은 로그 정보를 가져옵니다. FilterHashtable 매개 변수는 출력을 필터링하는 데 사용됩니다. LogName 키는 값을 Application 로그로 지정합니다. ProviderName 키는 이벤트의 원본인 애플리케이션 오류값을 사용합니다. Data 키는 값을 사용합니다iexplore.exeStartTime 키는 $StartTime 변수에 저장된 값을 사용합니다.

매개 변수

-ComputerName

-Credential

-FilterHashtable

-FilterXml

-FilterXPath

-Force

-ListLog

-ListProvider

-LogName

-MaxEvents

-Oldest

-Path

-ProviderName

입력

System.String, System.Xml.XmlDocument, System.Collections.Hashtable

LogName(문자열), FilterXML 쿼리 또는 FilterHashtable 쿼리를 파이프라인하여 Get-WinEvent수 있습니다.

출력

System.Diagnostics.Eventing.Reader.EventLogConfiguration, System.Diagnostics.Eventing.Reader.EventLogRecord, System.Diagnostics.Eventing.Reader.ProviderMetadata

ListLog 매개 변수를 사용하면 system.Diagnostics.Eventing.Reader.EventLogConfiguration 개체를 반환합니다.

ListProvider 매개 변수를 사용하면 System.Diagnostics.Eventing.Reader.ProviderMetadata 개체를 반환합니다.

다른 모든 매개 변수를 사용하여 System.Diagnostics.Eventing.Reader.EventLogRecord 개체를 반환합니다.

참고

Get-WinEvent Windows Vista, Windows Server 2008 R2 이상 버전의 Windows에서 실행됩니다.

Get-WinEvent Windows Vista 이상 버전을 실행하는 컴퓨터에서 Get-EventLog cmdlet을 대체하도록 설계되었습니다. Get-EventLog 클래식 이벤트 로그에서만 이벤트를 가져옵니다. Get-EventLog 이전 버전과의 호환성을 위해 PowerShell 6 이전 버전에서 유지됩니다.

Get-WinEvent 및 Get-EventLog cmdlet은 Windows PE(Windows 사전 설치 환경)에서 지원되지 않습니다.

관련 링크

• about_Automatic_Variables
• about_Foreach
• about_Hash_Tables
• FilterHashtable를 사용하여 Get-WinEvent 쿼리 만들기
• Format-Table
• Group-Object
• Sort-Object
• Where-Object