使用PowerShell创建Event Log后属性为空且无法记录日志的问题

首先得明确一点：刚创建的空事件日志本身不会填充那些属性字段，你看到的“日志名称、源、事件ID”等栏位，是针对日志里的具体事件的元数据，不是日志本身的属性。只有当有事件被写入到这个日志后，每条事件才会显示对应的源、ID、级别等信息——这也是你看到服务器上其他日志有内容的原因，它们已经有事件被写入了。

针对你的问题，我们一步步排查解决：

1. 先验证手动写入事件是否正常 #

先通过PowerShell手动写入一条测试事件，确认日志和源的关联是正常的：

Write-EventLog -LogName "TestLog" -Source "TestLog_Source" -EventId 1000 -EntryType Information -Message "测试事件：首次写入TestLog"

执行完这条命令后，打开事件查看器找到TestLog，应该能看到这条新事件，此时对应的源、事件ID、级别等属性就会正常显示了。如果这一步成功，说明日志和源的配置没问题，问题出在你的应用写入逻辑上。

2. 检查应用的写入权限与逻辑 #

• 权限问题：运行应用的账号需要拥有写入TestLog的权限。默认情况下，管理员组和Event Log Writers组有这个权限，你可以确认应用运行账号是否属于这些组，或者手动给账号添加写入该日志的权限。
• 写入逻辑验证：确保应用在写入日志时，使用的是你创建的TestLog_Source作为源，并且指定了正确的TestLog日志名称。比如在.NET应用中，代码应该类似这样：

  EventLog.WriteEntry("TestLog_Source", "应用测试消息", EventLogEntryType.Information, 1001);
  

  注意：如果应用是在创建日志之前就写了代码，要确保源已经注册（也就是你用New-EventLog完成的操作），否则会抛出源未注册的错误。

3. 确认日志与源的绑定关系 #

用以下命令检查TestLog是否正确关联了TestLog_Source：

Get-EventLog -List | Where-Object {$_.LogDisplayName -eq "TestLog"} | Select-Object Log, Sources

输出结果里的Sources列表应该包含TestLog_Source，如果没有，说明之前的New-EventLog命令可能执行失败（比如没有管理员权限），你需要以管理员身份重新运行创建命令：

# 先删除已存在的源（如果绑定错误）
Remove-EventLog -Source "TestLog_Source"
# 重新创建日志和源
New-EventLog -LogName "TestLog" -Source "TestLog_Source"

4. 检查事件日志的基础配置 #

如果以上步骤都没问题，可以用wevtutil工具查看日志的配置是否正常：

wevtutil gl TestLog

重点检查maxSize（最大日志大小）和retention（保留策略），确保没有设置为不允许写入的配置（比如日志已满且覆盖策略错误）。

总结一下：空日志的属性为空是正常现象，核心问题是你的应用没有成功写入事件到该日志。按照上面的步骤排查，先手动验证写入，再检查应用的权限和逻辑，应该就能解决问题了。

内容的提问来源于stack exchange，提问作者Bohms27