Get-wineventで転送されたイベントの時刻を取得しますか？

Question

おやすみなさい。 get-wineventでログをフィルタリングしようとしています。セキュリティ、システムなどのローカルログを使って作業しているときはすべてokです。 StartTimeは正しく動作します。私は「転送されたイベント」で、このコマンドを使用しようとすると

$yesterday = (get-date) - (new-timespan -day 1) 
$a = get-winevent -FilterHashTable @{LogName='system'; StartTime=$yesterday} 

エラーがあります：「GET-WinEventの：なしイベントは、指定された選択基準に一致する見つかりませんでした。」 "StartTime"と "EndTime"の問題のみ。

誰が問題を抱えているかを知っていましたか？

Answer 1

これらのタイプのログでは、複雑なxpathクエリを使用する必要があります。

$query=@" 
<QueryList> 
    <Query Id='0' Path='Microsoft-Windows-Dhcp-Client/Admin'> 
    <Select Path='Microsoft-Windows-Dhcp-Client/Admin'>*[System[TimeCreated[timediff(@SystemTime) &lt;= 2592000000]]]</Select> 
    </Query> 
</QueryList> 
"@ 

get-winevent -LogName Microsoft-Windows-Dhcp-Client/Admin -FilterXPath $query 

私はForwardedEventsに何も持っていないので、別のログを使用しました。 EventViewerを使用してクエリーを作成し、XMLをコピー＆ペーストすることをお勧めします。あなたは、おそらく引用文字でうまくいく必要があります。