Question Bug Get-EventLog ?

Perso écrit:

Est-ce déja connu ?

Pas sur MSConnect, et pour moi c'est bien un bug.
Perso écrit:

Celà semble correlé avec le fait que l'événement en vue XML ait un \"Qualifiers\"

Je n'ai pas vu d'usage du XML dans le code source.

Le paramètre InstanceID pointe sur la propriété InstanceID pas sur EventID qui est obsolète :
[code:1]
private bool FiltersMatch(EventLogEntry entry)
{
if (this._indexes != null && !((IList)this._indexes).Contains(entry.Index))
{
return false;
}
if (this._instanceIds != null && !((IList)this._instanceIds).Contains(entry.InstanceId))
{
return false;
}
[/code:1]

Perso écrit:

le paramètre '-InstanceId' pointe manifestement sur la propriété 'EventIdentifier',

Oui, seul le nom diffère.
Perso écrit:

ce qui explique que 6013 ne soit pas trouvé par get-eventlog.

La doc MSDN de InstanceId détaille un peu son interprétation.
Ces deux propriétés partage la même adresse, mais n'ont pas la même interprétation :
La propriété EventID équivaut à InstanceId avec les deux bits supérieurs masqués.
Voir aussi (ligne 187).
Perso écrit:

l'event identifier n'est pas donné explicitement

Oui, le pb est là.

Perso écrit:

Je pense que la demande sur MSConnect pourrait être double ?
1/ rajouter une option '-EventCode' à get-eventlog

Propriété obsolète...
Perso écrit:

2/ afficher explicitement 'EventIdentifier' dans la vue \"simplifiée\" des entrées de journal.

Là c'est plutot à l'équipe Windows qu'il faut s'adresser...
Perso écrit:

En attendant j'utilise Get-CimInstance.

Il me reste un doute sur l'approche : est-ce que tous les entrées renvoyées correspondent vraiment au même event ?

Un test avec une union permettant d'interpréter InstanceID :
[code:1]
$Code=@'
using System;
using System.Runtime.InteropServices;

namespace Mask
{
[StructLayout(LayoutKind.Explicit)]
public struct EventLogUnion
{
[FieldOffset(0)] public UInt64 InstanceID;
[FieldOffset(0)] public UInt16 EventID;
}
}
'@
Add-Type -TypeDefinition $code

$T=Get-Eventlog system |
Select Index,EventID,InstanceID,Union|
Foreach {

$_.Union=New-Object Mask.EventLogUnion
$_.Union.InstanceID=$_.InstanceID
$_
}
$r=$t|Sort -Property InstanceID -unique
$g=$r|group-object eventID|sort count -Descending
# Données en mode verbeux : $g=$t|group-object eventID|sort count -Descending
# $G[0].Count=37354

$g[0].Group
# Index EventID InstanceId Union
#

---

---

---

---

# 714534 7001 7001 Mask.EventLogUnion
# 676886 7001 3221232473 Mask.EventLogUnion

$g[0].Group[1].Union # Index -> 676886
# InstanceID EventID
#

---

---

# 3221232473 7001



$One=Get-EventLog -LogName System -InstanceId $G[0].Group[0].InstanceID
$two=Get-EventLog -LogName System -InstanceId $G[0].Group[1].InstanceID

compare $one $two -Property index|sort SideIndicator,index
#...

$a=Get-EventLog -LogName System -Index $G[0].Group[0].Index
$b=Get-EventLog -LogName System -Index $G[0].Group[1].Index
$a,$b|select *
[/code:1]