При запросе класса Win32_ntlogevent из WMI с WQL является полмигенерируемой имуществом на основе местного времени компьютера или GMT?

Question

Я пишу услугу C # Windows, которая делает некоторый отключение через EventLog на нескольких контроллерах домена. Некоторые из них являются Windows Server 2003 и некоторые являются Windows Server 2008. После остановки службы я пытаюсь возобновить, где я остановился в журналах. Для того, чтобы сделать это вместо

SELECT * FROM Win32_NTLogEvent WHERE --criteria for events I am looking for

я делаю

SELECT * FROM Win32_NTLogEvent WHERE TimeGenerated = --some date AND --criteria for events I am looking for

В какой-то момент я был убежден, что поле TimeGrated была в местном времени сервера, но теперь, кажется, серверы Windows 2008 используют GMT для записи в то время. Может ли кто-нибудь пролить немного света, если это реально отличается между тем, как две операционные системы или это проблема конфигурации?

Answer 1

Марки времени Windows всегда записываются в UTC. Они будут преобразованы только в местное время в любой программе GUI, которую вы используете, чтобы посмотреть на данные, такие как просмотрщик событий или Explorer (для времени файла). Такое поведение важно, чтобы избежать случайных сбоев на летнее время переходов.

Answer 2

Кроме того, кажется, что в версиях до окончания Windows Server 2008 TimeGenerated был возвращен в местное время, но поменял на GMT на сервере 2008 года, так как другие замечали.

• http://social.msdn.microsoft.com/forums/en/servercorefordevelopers/thhread/e933B476-5D30-4629-955D-6828EC3E8002.
• http://www.ms-news.net/f3617/win32_ntlogevent-11570228.html.
• http://84.45.57.224/win32-ntlogevent-timegenerated-is-in-gmt_topic21473.html.

Answer 3

Что-то вроде этого может быть полезно:

("Select * from Win32_NTLogEvent Where Logfile = 'Application' AND EventCode = '999' AND Message Like '%message%' AND TimeGenerated = '201202210000000000.000000+***'")

То TimeGenerated синтаксис настроен назад, так что в приведенном выше примере его yearmonthdaytimeminutesseconds.000000+\*** предыдущий 000000+\*** необходим.

Надеюсь это поможет.