Я использую командлеты powershell для создания нового журнала событий, регистрации источника и регистрации событий. Я испытываю некоторое неожиданное поведение. Я создал новый журнал с произвольным именем, введя команду:
New-EventLog -LogName SchedulerWakeUpTask -Source devops
Я проверил в средстве просмотра событий, что он появился в каталоге «Журналы приложений и служб». Затем я создал событие с
Write-EventLog -LogName SchedulerWakeUpTask -Source devops -EventId 1000 -Message "All good."
но событие было зарегистрировано не в правильном журнале, а в журнале приложений. Это похоже на поведение, описанное в этом вопросе. В свойствах журнала я убедился, что моему пользовательскому журналу был назначен отдельный файл журнала с путем %SystemRoot%\System32\Winevt\Logs\SchedulerWakeUpTask.evtx. Проверив это, я удалил журнал, введя команду
Remove-EventLog -LogName SchedulerWakeUpTask
После этого пустой журнал исчез из средства просмотра событий, но и весь журнал приложений был стерт начисто. Почему?
Увидев уже присутствующий хаос, я решил проверить это еще немного. Тест заключает, что:
- название источника не имеет значения
- журнал событий приложения постоянно очищается каждый раз, когда я снова создаю и удаляю пользовательский журнал с этим конкретным именем
- журнал событий приложения не очищается, когда я пытаюсь удалить этот пользовательский журнал, если он не существует
- журнал событий приложения не очищается, когда я создаю другой пользовательский журнал событий с произвольным именем SchedulerWakeUpTask2, или SchedulerWakeUpTas, или SchedulerWakes, или капуста, или что-то еще;
- журнал событий приложения не очищается, когда я удаляю только источник, связанный с пользовательским журналом
- когда пользовательский журнал создается снова и событие генерируется с
Write-EventLogэто снова видно только вApplicationЖурнал событий - это не визуальный сбой в Event Viewer,
Get-EventLog -LogName ApplicationговоритNo matchи назначенный файл события был усечен (раньше он был более 100 МБ IIRC, но теперь его размер составляет небрежно 70 КБ)
