Почему журнал событий приложения очищается, когда я удаляю этот пользовательский даже журнал

Я использую командлеты powershell для создания нового журнала событий, регистрации источника и регистрации событий. Я испытываю некоторое неожиданное поведение. Я создал новый журнал с произвольным именем, введя команду:

New-EventLog -LogName SchedulerWakeUpTask -Source devops

Я проверил в средстве просмотра событий, что он появился в каталоге «Журналы приложений и служб». Затем я создал событие с

Write-EventLog -LogName SchedulerWakeUpTask -Source devops -EventId 1000 -Message "All good."

но событие было зарегистрировано не в правильном журнале, а в журнале приложений. Это похоже на поведение, описанное в этом вопросе. В свойствах журнала я убедился, что моему пользовательскому журналу был назначен отдельный файл журнала с путем %SystemRoot%\System32\Winevt\Logs\SchedulerWakeUpTask.evtx. Проверив это, я удалил журнал, введя команду

Remove-EventLog -LogName SchedulerWakeUpTask

После этого пустой журнал исчез из средства просмотра событий, но и весь журнал приложений был стерт начисто. Почему?

Увидев уже присутствующий хаос, я решил проверить это еще немного. Тест заключает, что:

  • название источника не имеет значения
  • журнал событий приложения постоянно очищается каждый раз, когда я снова создаю и удаляю пользовательский журнал с этим конкретным именем
  • журнал событий приложения не очищается, когда я пытаюсь удалить этот пользовательский журнал, если он не существует
  • журнал событий приложения не очищается, когда я создаю другой пользовательский журнал событий с произвольным именем SchedulerWakeUpTask2, или SchedulerWakeUpTas, или SchedulerWakes, или капуста, или что-то еще;
  • журнал событий приложения не очищается, когда я удаляю только источник, связанный с пользовательским журналом
  • когда пользовательский журнал создается снова и событие генерируется с Write-EventLog это снова видно только в Application Журнал событий
  • это не визуальный сбой в Event Viewer, Get-EventLog -LogName Application говорит No match и назначенный файл события был усечен (раньше он был более 100 МБ IIRC, но теперь его размер составляет небрежно 70 КБ)

0

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *