etw - 如何列出所有事件的 ETW session 及其输出位置(也许在 Powershell 中)？

Question

问题:如何查看所有打开的 ETW session ，包括其根路径？我期望一些 PowerShell 命令，如 Get-EtwTraceSession ，但我没有看到任何内容。

背景

我使用 EventTracing API，偶尔会发现自己因计算机上安装的内容而退出 session 。

This answer告诉我我可以运行 logman -ets查看 session 列表，然后 logman stop <SessionName> -ets停止一些 session 。这很好，但是我怎么知道什么是神秘命名的 session 呢？

我可以繁琐地查询各个 session ，并从它们的根路径中获取线索:

> logman -ets SensorFramework-{c4eaa67d-dd9a-4fce-0002-000000000000}
(...)
Root Path:            C:\windows\CCM\SensorFramework  <<<< Aha! CCM = System Center Configuration Manager

但我正在寻找更方便的解决方案。

Answer 1

解决方案:通过 WMI 完成:

Get-WmiObject -Class MSFT_EtwTraceSession -Namespace ROOT/Microsoft/Windows/EventTracingManagement `
| sort -Property LocalFilePath `
| ft -AutoSize -Property Name,LocalFilePath

注意:这仅有时有效(不知道什么决定何时)，有时仅显示一个 session - 循环内核上下文记录器。不工作时，Get-EtwTraceSession 也仅显示此 session ，大概是因为它在下面使用相同的 WMI 对象。