Comment augmenter la taille du journal des événements avec PowerShell

Les journaux d’événements des plateformes Windows offrent un aperçu inestimable du fonctionnement du système et des éventuels problèmes. Les professionnels de l’informatique ont donc besoin d’un moyen d’ajuster la taille de ces journaux pour répondre à des besoins différents. Cet article présente un script PowerShell conçu spécialement pour ceux qui se demandent comment augmenter la taille des fichiers journaux d’événements, afin de garantir que les systèmes sont toujours sous bonne surveillance.

Contexte

PowerShell, l’outil d’automatisation des tâches de Microsoft, est devenu indispensable pour les professionnels de l’informatique du monde entier. Parmi ses nombreuses fonctionnalités, on trouve la possibilité de modifier les configurations du système, y compris la taille du journal des événements. Les systèmes générant de grandes quantités de logs au fil du temps, la possibilité d’ajuster la capacité de stockage de ces logs est cruciale pour les fournisseurs de services gérés (MSP) et les administrateurs informatiques.

Le script

#Requires -Version 5.1

<#
.SYNOPSIS
    Changes the max size for the specified Event Logs.
.DESCRIPTION
    Changes the max size for the specified Event Logs.
    Common log names used: Security, Application, System
    To get a list of Event Log names from your system you can run:
        Get-WinEvent -ListLog * | Select-Object LogName
.EXAMPLE
     -LogName Security -MaxSize 50MB
    Changes the max log size for Security to 50MB
.EXAMPLE
     -LogName Security, Application, System -MaxSize 50MB
    Changes the max log size for Security, Application, and System to 50MB
.OUTPUTS
    None
.NOTES
    Windows 10 defaults to 20MB / 20480KB

    Minimum OS Architecture Supported: Windows 10, Windows Server 2016
    Release Notes:
    Initial Release
By using this script, you indicate your acceptance of the following legal terms as well as our Terms of Use at https://www.ninjaone.com/terms-of-use.
    Ownership Rights: NinjaOne owns and will continue to own all right, title, and interest in and to the script (including the copyright). NinjaOne is giving you a limited license to use the script in accordance with these legal terms. 
    Use Limitation: You may only use the script for your legitimate personal or internal business purposes, and you may not share the script with another party. 
    Republication Prohibition: Under no circumstances are you permitted to re-publish the script in any script library or website belonging to or under the control of any other software provider. 
    Warranty Disclaimer: The script is provided “as is” and “as available”, without warranty of any kind. NinjaOne makes no promise or guarantee that the script will be free from defects or that it will meet your specific needs or expectations. 
    Assumption of Risk: Your use of the script is at your own risk. You acknowledge that there are certain inherent risks in using the script, and you understand and assume each of those risks. 
    Waiver and Release: You will not hold NinjaOne responsible for any adverse or unintended consequences resulting from your use of the script, and you waive any legal or equitable rights or remedies you may have against NinjaOne relating to your use of the script. 
    EULA: If you are a NinjaOne customer, your use of the script is subject to the End User License Agreement applicable to you (EULA).
#>

[CmdletBinding(SupportsShouldProcess)]
param (
    # Event Log name
    # https://learn.microsoft.com/en-us/powershell/module/microsoft.powershell.management/limit-eventlog?view=powershell-5.1#-logname
    [Parameter(Mandatory = $true)]
    [ValidateScript(
        {
            if ( -not $($_ | Where-Object { $_ -in $(Get-WinEvent -ListLog * | Select-Object LogName).LogName }) ) {
                throw "$_ is not a valid Event Log Name."
            }
            else {
                $true
            }
        }
    )]
    [String[]]
    $LogName,
    # The max size of the event log storage in KB.
    # Use KB, MB, or GB after your number like 111MB for example.
    [Parameter(Mandatory = $true)]
    [Int64]
    [ValidateRange(64KB, 4GB)]
    $MaxSize
)

begin {
    function Test-IsElevated {
        $id = [System.Security.Principal.WindowsIdentity]::GetCurrent()
        $p = New-Object System.Security.Principal.WindowsPrincipal($id)
        $p.IsInRole([System.Security.Principal.WindowsBuiltInRole]::Administrator)
    }

    if (-not (Test-IsElevated)) {
        Write-Error -Message "Access Denied. Please run with Administrator privileges."
        exit 1
    }

    "Used Parameters:"
    $(
        $PSBoundParameters.Keys | ForEach-Object {
            $Key = $_
            $Value = $PSBoundParameters["$_"] -join ', '
            "-$Key $Value"
        }
    ) -join ' '

    # Look for Event log names that don't exist
    if ($($LogName | ForEach-Object { $_ -notin $(Get-WinEvent -ListLog * | Select-Object LogName).LogName })) {
        $InvalidLogNames = $LogName | Where-Object { $_ -notin $(Get-WinEvent -ListLog * | Select-Object LogName).LogName }
        Write-Error "Invalid Log Names Found."
        Write-Host "Invalid Log Names: $($InvalidLogNames -join ', ')"
        exit 1
    }

    "Current Log Sizes:"
    Get-WinEvent -ListLog $LogName | Select-Object LogName, MaximumSizeInBytes | ForEach-Object {
        "$($_.LogName): $($_.MaximumSizeInBytes / 1024)KB"
    }
}
process {
    if ($PSCmdlet.ShouldProcess($($LogName -join ','), "Limit-EventLog")) {
        Limit-EventLog -LogName $LogName -MaximumSize $MaxSize -ErrorAction Stop
        # -ErrorAction Stop will exit and return an exit code of 1
        "Changed Log Sizes to:"
        Get-WinEvent -ListLog $LogName | Select-Object LogName, MaximumSizeInBytes | ForEach-Object {
            "$($_.LogName): $($_.MaximumSizeInBytes / 1024)KB"
        }
    }
    else {
        # If -WhatIf was used then print out what the changes would have been.
        "Would have changed the max log size(s) of: $($LogName -join ',') to $($MaxSize / 1024)KB"
    }
}
end {}

 

Description détaillée

Le script commence par valider les exigences de son environnement. Ensuite, il effectue :

• Détermination des paramètres: Les paramètres permettant de spécifier les noms des journaux ($LogName) et la taille maximale souhaitée ($MaxSize) sont établis.
• Vérification de l’élévation: Une fonction, Test-IsElevated, est utilisée pour s’assurer que le script s’exécute avec des droits d’administrateur, ce qui est nécessaire pour modifier les propriétés du journal des événements.
• Validation du nom du journal: Le script vérifie que les noms de journaux fournis existent sur le système à l’aide de la cmdlet Get-WinEvent.
• Affichage des tailles actuelles: Avant d’effectuer des modifications, le script affiche les tailles actuelles des journaux spécifiés.
• Ajustement de la taille: Si la validation est réussie et que l’approbation de l’utilisateur est obtenue (avec la vérification $PSCmdlet.ShouldProcess), la cmdlet Limit-EventLog ajuste la taille des journaux à la valeur souhaitée.

Cas d’utilisation potentiels

Étude de cas : Imaginez un administrateur informatique d’une grande entreprise où les applications cruciales produisent quotidiennement une grande quantité de logs. Régulièrement, le journal des applications se remplit, ce qui fait que les événements les plus récents submergent les plus anciens. Grâce à ce script, l’administrateur peut facilement augmenter la taille du journal des applications afin de s’assurer que les données importantes ne sont pas perdues.

Comparaisons

Traditionnellement, pour augmenter la taille du journal des événements, il fallait naviguer dans l’interface graphique de l’observateur d’événements, cliquer avec le bouton droit de la souris sur le journal souhaité, sélectionner « Propriétés », puis ajuster la taille. Le script offre une alternative automatisée, efficace et qui réduit les erreurs. Il permet également d’effectuer des ajustements par groupes, ce qui n’est pas facile à réaliser avec les méthodes manuelles.

FAQ

• Puis-je utiliser ce script pour réduire la taille du journal des événements ?
  Oui, spécifiez une taille inférieure à la taille actuelle.
• Que se passe-t-il si je spécifie un nom de journal non valide ?
  Le script fournit un message d’erreur, puis se termine.
• Que faire si je veux voir ce que fait le script sans le modifier ?
  Utilisez le commutateur -WhatIf lors de l’exécution, et le script affichera les actions sans les exécuter.

Implications

Bien que l’augmentation de la taille des journaux permet d’assurer la conservation des données vitales, elle a également des conséquences sur le stockage. Si les lecteurs du système sont proches de leur capacité et que les journaux sont augmentés de manière significative, il peut en résulter des problèmes de manque d’espace. De plus, les fichiers journaux volumineux peuvent avoir un léger impact sur la vitesse de certaines requêtes.

Recommandations

• Surveillez régulièrement votre espace de stockage après avoir augmenté la taille des journaux.
• N’ajustez la taille des journaux que si cela est nécessaire et si vous en comprenez clairement la raison.
• Les journaux, en particulier le journal de sécurité, doivent toujours être surveillés afin d’identifier les menaces potentielles pour la sécurité.

Conclusions

Pour les MSP et les professionnels de l’informatique, des outils tels que NinjaOne peuvent s’avérer cruciaux pour la gestion des journaux et les tâches connexes. NinjaOne, intégré à des scripts tels que celui-ci, peut simplifier davantage la gestion du système, ce qui permet de garantir plus facilement que jamais le fonctionnement et la sécurité du système.