使用PowerShell创建事件时出现事件查看器源未找到错误

核心原因 #

你遇到的问题本质是事件源的写入权限限制，而非源真的不存在：

• 系统自带的FailoverClustering事件源是由故障转移集群服务（Cluster Service）在运行时注册的，这类系统级源默认仅允许对应的系统服务进程（以特定系统账户身份运行）写入。
• 即便你以管理员身份执行Write-EventLog，也不具备使用该源写入日志的权限，而Windows事件日志API会将这种权限错误误导性地提示为“源不存在”。

解决办法 #

方法1：使用自定义事件源（推荐） #

注册一个属于自己的测试用事件源，再进行写入操作，步骤如下：

1. 以管理员身份打开PowerShell
2. 执行注册命令：

   New-EventLog -LogName System -Source "TestClusterNotification"
   

3. 用自定义源写入测试事件：

   Write-EventLog -LogName System -Source "TestClusterNotification" -EntryType Error -EventID 1793 -Message "This is a test message. Please Ignore."
   

方法2：模拟集群服务身份写入（不推荐） #

如果必须使用FailoverClustering源，需要模拟故障转移集群服务的系统账户（通常是NT Authority\NetworkService或专门的集群账户）运行PowerShell，但此操作涉及高权限，可能带来安全风险，仅用于特殊测试场景。

方法3：复制现有事件（快速测试） #

如果只是为了触发通知系统，可以直接复制日志中已有的FailoverClustering事件条目，无需手动写入：

1. 查询现有事件：

   $event = Get-WinEvent -LogName System -ProviderName FailoverClustering -MaxEvents 1 | Select-Object *
   

2. 通过自定义脚本调用Windows事件日志API，将查询到的事件重新写入日志

补充说明 #

事件源的“存在”和“可写入”是两个独立概念：

• 你能在日志中看到该源的条目，仅说明源已被注册到系统中；
• 但注册时的权限配置决定了哪些身份可以使用该源写入日志，系统级源通常会限制非对应服务的写入操作。

内容的提问来源于stack exchange，提问作者NanoNet