读取 Hyper-V 事件日志

Question

作为我们使用的监控系统的一部分，我需要能够检索 Hyper-V 的事件日志条目。目前我使用 VBScript 和 WMI 并执行类似的操作：

query = "Select * from Win32_NTLogEvent where LogFile = 'System' and TimeGenerated >= '" & last_check & "'"
set wmi_objectset = wmi_service.ExecQuery(query, "WQL", &h30)

这工作正常，但它只检索部分 Hyper-V 日志，而不是全部。一些谷歌搜索表明没有办法解决这个问题，而且 MS 还没有构建将所有 Hyper-V 日志读取到 WMI 中的能力。所以我需要一个不同的方法。

更多谷歌搜索找到了一些用于读取事件日志的 C# 代码，这会很好，因为我很乐意使用 C# 而不是 VBScript。问题是，虽然我可以阅读 System 和 Application 等标准日志，但我不知道如何阅读 Hyper-V 日志想。代码如下：

eventLog = new EventLog();
eventLog.Log = eventLogName;

foreach (EventLogEntry log in eventLog.Entries)
{

如果我将 eventLogName 设置为 "System" 然后它会工作并读回所有日志条目（而且速度非常快）。但我需要的是日志 Microsoft-Windows-Hyper-V-VMMS-Admin 中的条目。如果我将 eventLogName 设置为 "Microsoft-Windows-Hyper-V-VMMS-Admin" 我得到一个异常：

Unhandled Exception: System.InvalidOperationException: The event log 'Microsoft-Windows-Hyper-V-VMMS-Admin' on computer '.' does not exist.

日志确实存在，PowerShell命令：

Get-WinEvent -LogName Microsoft-Windows-Hyper-V-VMMS-Admin

确实检索了事件，因此问题可能只是为 EventLog 对象指定日志名称的正确方法。

所以我的问题只是在我的 C# 程序中使用什么来获取 Hyper-V VMMS 管理日志中的条目。

我正在测试的服务器是 2012R2，但我认为问题与 Windows 的确切版本无关。还有其他获取日志数据的方法，例如 Get-WinEvent 或 wevtutil，但我更愿意让 C# 程序运行，使用替代方法将是最后的手段。

Answer 1

发生这种情况是因为 System.Diagnostics.EventLog 仅支持 "old style" 事件日志。 "new style" 事件日志是您在 "Applications and Services Logs" 下的事件查看器中看到的那些（然后是它的子文件夹，而不是直接在其中的子文件夹），它不支持读取那些。要阅读这些内容，您需要使用 System.Diagnostics.Eventing.Reader 中提供的类。请注意，它们具有不同的界面，更适合实时事件检索。示例代码：

using (var reader = new EventLogReader("Microsoft-Windows-Hyper-V-VMMS-Admin")) {
    EventRecord eventRecord;
    while ((eventRecord = reader.ReadEvent()) != null) {
        Console.WriteLine("{0:s} {1}", eventRecord.TimeCreated, eventRecord.FormatDescription());
    }
}

如果您对最新事件特别感兴趣，以相反的顺序查询它们并以这种方式过滤它们会更有效。使用一个小的枚举器帮助器，我们可以在 LINQ 中使用：

IEnumerable<EventRecord> ReadEventsReverse(string logName) {
    using (
        var reader = new EventLogReader(
            new EventLogQuery(logName, PathType.LogName) { ReverseDirection = true }
        )
    ) {
        EventRecord eventRecord;
        while ((eventRecord = reader.ReadEvent()) != null) {
            yield return eventRecord;
        }
    }   
}

然后

var reverseEvents = ReadEventsReverse("Microsoft-Windows-Hyper-V-VMMS-Admin");
var reverseEventsToday = reverseEvents.TakeWhile(e => e.TimeCreated >= DateTime.Now.Date);
foreach (var eventRecord in reverseEventsToday) {
    Console.WriteLine("{0:s} {1}", eventRecord.TimeCreated, eventRecord.FormatDescription());
}

如果您对阅读新事件特别感兴趣，使用 the overload that allows you to supply a bookmark 效率更高，这样您就不会不断地重新阅读和过滤旧事件。

读取 Hyper-V 事件日志

Reading Hyper-V event logs

c#

scripting

event-log