PowerShell远程清除物理工作站事件日志提示找不到路径报错排查

Clear-EventLog 远程执行清除操作时，返回path to [computer] cannot be found不属于权限类报错（权限不足会明确返回Access is denied提示），本质是运行脚本的设备无法建立到目标物理工作站的事件日志远程操作通道。
你的环境里虚拟服务器能正常执行清除，是因为虚拟服务器一般通过运维标准化模板部署，默认预配了远程管理所需的防火墙规则、服务自启配置；物理工程工作站多为独立装机，默认关闭相关通道，才会触发该报错。

注：你提到可以正常拉取所有工作站的审计日志，是因为日志读取操作（如Get-WinEvent）默认走WinRM 5985端口通道，和Clear-EventLog依赖的RPC 135端口+远程注册表通道不是同一条访问路径，因此会出现能读日志但无法清除的现象。

1. 放开物理工作站防火墙对应规则 #

在运行脚本的设备上先测试到目标物理工作站的135端口连通性：

Test-NetConnection -ComputerName <替换为物理工作站名> -Port 135

如果返回TcpTestSucceeded: False，直接在物理工作站本地执行以下命令放开远程事件日志管理的防火墙规则，不需要手动进入防火墙面板配置：

Enable-NetFirewallRule -DisplayGroup "Remote Event Log Management"

域环境下可以直接通过组策略将该规则下发到所有物理工作站所在OU，无需逐台操作。

2. 启动目标设备依赖服务 #

Clear-EventLog远程操作需要目标设备正常运行3个核心服务，物理工作站默认常将这类服务设为手动/禁用状态，逐台执行以下命令设置服务自启并立即启动：

# 配置RPC服务
Set-Service RpcSs -StartupType Automatic
Start-Service RpcSs
# 配置Windows事件日志服务
Set-Service EventLog -StartupType Automatic
Start-Service EventLog
# 配置远程注册表服务
Set-Service RemoteRegistry -StartupType Automatic
Start-Service RemoteRegistry

3. 优化脚本容错逻辑 #

你当前直接将完整设备数组传入-ComputerName参数的写法，只要数组内单台设备异常就会中断整个批次执行，建议改成逐台循环加错误捕获的模式，方便定位单台设备问题：

# 设备列表和日志列表单独定义
$deviceList = @("server1","server2","workstation1","workstation2")
$logList = @("Application","Security","System","Symantec Endpoint Protection Client")

foreach ($device in $deviceList) {
    try {
        Clear-EventLog -LogName $logList -ComputerName $device -ErrorAction Stop
        Write-Host "已成功清除 $device 上的指定事件日志"
    }
    catch {
        Write-Warning "处理 $device 失败，错误信息：$($_.Exception.Message)"
    }
}

4. 权限校验（可选） #

如果完成以上配置后仍报错，再确认运行脚本的账号具备目标物理工作站的日志清除权限：域环境下直接将运行脚本的运维账号加入物理工作站本地Administrators组即可，不要使用普通域账号执行清除操作。

内容的提问来源于stack exchange，提问作者baconbacon