Ao consultar a classe Win32_ntlogevent da WMI com WQL, a propriedade gerada por cronograma com base na hora local do computador ou GMT?

Question

Estou escrevendo um serviço C# Windows que está fazendo algumas agitação no EventLog em alguns controladores de domínio. Alguns deles são o Windows Server 2003 e outros são o Windows Server 2008. Após a parada do serviço, estou tentando retomar onde parei nos logs. Para fazer isso em vez de

SELECT * FROM Win32_NTLogEvent WHERE --criteria for events I am looking for

estou fazendo

SELECT * FROM Win32_NTLogEvent WHERE TimeGenerated = --some date AND --criteria for events I am looking for

A certa altura, eu estava convencido de que o campo gerado pelo tempo estava na hora local do servidor, mas agora parece que os servidores do Windows 2008 estão usando o GMT para gravar esse tempo. Alguém pode lançar alguma luz se isso é realmente diferente entre a maneira como os dois sistemas operacionais funcionam ou isso é um problema de configuração?

Answer 1

Os carimbos de hora do Windows são sempre gravados no UTC. Eles serão convertidos apenas para o horário local em qualquer programa da GUI que você usar para examinar os dados, como o Visualizador de Eventos ou o Explorer (para os horários do arquivo). Esse comportamento é importante para evitar falhas aleatórias nas transições de tempo de verão.

Answer 2

Além disso, parece que nas versões anteriores ao Windows Server 2008 TimeGenerated foi retornado no horário local, mas mudou para o GMT no Server 2008, como outros estão percebendo.

• http://social.msdn.microsoft.com/forums/en/servercorefordevelopers/thread/e933b476-5d30-4629-955d-6828ec3e8002
• http://www.ms-news.net/f3617/win32_ntlogevent-11570228.html
• http://84.45.57.224/win32-nntlogevent-timeGenerated-is-in-gmt_topic21473.html

Answer 3

Algo assim pode ser útil:

("Select * from Win32_NTLogEvent Where Logfile = 'Application' AND EventCode = '999' AND Message Like '%message%' AND TimeGenerated = '201202210000000000.000000+***'")

o TimeGenerated A sintaxe é configurada para trás, portanto, no exemplo acima, seu yearmonthdaytimeminutesseconds.000000+\*** o anterior 000000+\*** é preciso.

Espero que isto ajude.