Get-WinEvent通配符ProviderName结合ID筛选无匹配事件的技术问询

问题现象 #

执行指定精确ProviderName的命令：

Get-WinEvent -FilterHashtable @{ Providername='MSExchangeIS'; StartTime='2024/03/04'; id=1040 } -MaxEvents 1

能正常返回1个事件；但使用通配符MSExchange*作为ProviderName时，搭配相同Event ID筛选的命令：

Get-WinEvent -FilterHashtable @{ Providername='MSExchange*'; StartTime='2024/03/04'; id=1040 } -MaxEvents 1

抛出NoMatchingEventsFound异常。

开启-Verbose模式可见，Get-WinEvent会找到3个日志中的大量Provider并生成QueryList，但去掉id筛选后，命令能正常返回事件。环境为Windows Server 2016，PowerShell 5.1.14393.6343。

原因及相关说明 #

这是PowerShell 5.1中Get-WinEvent的已知行为限制：

• 当用通配符指定ProviderName时，Get-WinEvent会先匹配所有符合通配符的Provider，再尝试将id筛选条件全局应用到这些Provider的事件中。但不同Provider的Event ID是独立的——1040仅属于MSExchangeIS，其他匹配MSExchange*的Provider并没有该ID的事件，导致查询逻辑判定为无符合所有条件的事件（本质是查询要求所有匹配Provider中都存在ID=1040的事件，而非某个匹配Provider下存在ID=1040的事件）。
• 官方文档未直接明确标注该限制，但在社区实际观测和微软技术支持案例中，这是PowerShell 5.1版本Get-WinEvent的常见问题，PowerShell 7+版本已修复该逻辑缺陷。

临时解决方法 #

• 先获取所有匹配MSExchange*的Provider列表，再逐个针对每个Provider执行带ID筛选的查询：

$providers = Get-WinEvent -ListProvider MSExchange* | Select-Object -ExpandProperty Name
foreach ($provider in $providers) {
    Get-WinEvent -FilterHashtable @{ Providername=$provider; StartTime='2024/03/04'; id=1040 } -MaxEvents 1 -ErrorAction SilentlyContinue
}

• 直接使用精确的ProviderName（如MSExchangeIS）进行查询，这是最直接有效的方式。

内容的提问来源于stack exchange，提问作者Peyre