Dernier événement Reliably obtenir Log Record avec WQL

Question

J'ai écrit une application qui collecte les journaux fenêtres de Linux, via le Zenoss package client-wmi.

Il utilise WQL pour interroger le journal des événements et le retour parse. Mon problème tente de trouver la dernière entrée dans le journal.

Je suis tombé sur

Était-ce utile?

Nous faire parvenir

La solution

NumberOfRecords ne sera pas toujours le numéro d'enregistrement max parce que le journal est circulaire et le journal peut être effacé et vous pouvez avoir 1 entrée, mais il est le numéro d'enregistrement est 1000.

La façon dont vous le faire en utilisant le api gagnant serait d'obtenir le plus ancien numéro d'enregistrement et d'ajouter le nombre d'enregistrements dans le journal pour obtenir le numéro d'enregistrement max. Il ne ressemble pas à Win32_NTEventLogFile a un champ plus ancien numéro d'enregistrement à utiliser.

Êtes-vous essayer d'obtenir le dernier enregistrement à chaque fois que vous interrogez le journal? Vous pouvez utiliser TimeGenerated lorsque vous interrogez Win32_NTLogEvent pour obtenir tout> maintenant. Vous pouvez itérer cette liste pour trouver votre numéro d'enregistrement max.

Answer 1

NumberOfRecords ne sera pas toujours le numéro d'enregistrement max parce que le journal est circulaire et le journal peut être effacé et vous pouvez avoir 1 entrée, mais il est le numéro d'enregistrement est 1000.

La façon dont vous le faire en utilisant le api gagnant serait d'obtenir le plus ancien numéro d'enregistrement et d'ajouter le nombre d'enregistrements dans le journal pour obtenir le numéro d'enregistrement max. Il ne ressemble pas à Win32_NTEventLogFile a un champ plus ancien numéro d'enregistrement à utiliser.

Êtes-vous essayer d'obtenir le dernier enregistrement à chaque fois que vous interrogez le journal? Vous pouvez utiliser TimeGenerated lorsque vous interrogez Win32_NTLogEvent pour obtenir tout> maintenant. Vous pouvez itérer cette liste pour trouver votre numéro d'enregistrement max.

Answer 2

Vous avez besoin du RecordNumber du plus récent enregistrement, mais il n'y a pas moyen rapide pour l'obtenir. En règle générale, vous devez:

SELECT RecordNumber FROM Win32_NTLogEvent WHERE LogFile='Application'

Et trouver RecordNumber max grâce à des résultats. Mais cela peut prendre des dizaines de secondes ou minutes si la taille du fichier journal est grand ... il est très lent.

Mais! Vous pouvez obtenir le nombre d'enregistrements:

SELECT NumberOfRecords FROM Win32_NTEventlogFile WHERE LogfileName='Application'

Ceci est très rapide. Et puis réduire la sélection à speedup la recherche du plus récent enregistrement:

SELECT RecordNumber FROM Win32_NTLogEvent WHERE LogFile='Application' AND RecordNumber>='_number_of_records_'

Le temps d'exécution de ce <= que dans le cas général.