Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-GroupPolicy%4Operational.evtx
JournalRisque : Prudence

Microsoft-Windows-GroupPolicy%4Operational.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-GroupPolicy%4Operational.evtx

Microsoft-Windows-GroupPolicy%4Operational.evtx : journal du client de stratégie de groupe, traitement par traitement et extension par extension.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Canal Microsoft-Windows-GroupPolicy/Operational. Il suit pas à pas le traitement des stratégies d’un poste : découverte du contrôleur de domaine, liste des GPO, puis chaque extension côté client. C’est le premier endroit où chercher pourquoi un GPO ne s’applique pas, avant d’activer gpsvc.log. Dans le nom du fichier, %4 remplace le / du nom du canal.

Ce qu’il contient

  • Les ID 4016 et 5016 encadrent le traitement d’une extension côté client (Registre, scripts, sécurité…), avec la durée dans le message de fin.
  • L’ID 5312 présente la liste des GPO applicables à ce traitement.
  • Les erreurs de lecture de SYSVOL ou de réseau remontent surtout dans le journal Système (source Group Policy) : ID 1058 si GPT.INI est illisible, 1129 sans connexion à un contrôleur de domaine.
  • Chaque traitement partage un identifiant de corrélation (ActivityID) qui permet de suivre un cycle complet.

Risques et bonnes pratiques

  • Ce journal est en circulaire par défaut : relevez-le vite après un problème d’ouverture de session, sinon un cycle de rafraîchissement l’écrase.
  • Filtrez par ActivityID plutôt que de lire l’ensemble : un poste traite plusieurs cycles par jour (démarrage, ouverture de session, rafraîchissement toutes les 90 minutes environ).
  • Exportez avant un nettoyage : wevtutil epl.

Commandes utiles

Fenêtre de terminal
# 50 derniers événements
Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 50


# Début et fin des extensions sur les deux dernières heures
Get-WinEvent -FilterHashtable @{ LogName='Microsoft-Windows-GroupPolicy/Operational'; Id=4016,5016; StartTime=(Get-Date).AddHours(-2) }


# Erreurs et avertissements du client GPO dans le journal Système
Get-WinEvent -FilterHashtable @{ LogName='System'; ProviderName='Microsoft-Windows-GroupPolicy'; Level=2,3 } -MaxEvents 30
Fenêtre de terminal
:: En administrateur : exporter le journal
wevtutil epl Microsoft-Windows-GroupPolicy/Operational C:\Temp\gpo-operational.evtx

Format

Fichier .evtx binaire du journal des événements Windows, lu avec l’Observateur d’événements ou Get-WinEvent.

Rotation et archivage

Journal « Applications et services » : écrasement des plus anciens événements une fois la taille maximale atteinte. Consultez la taille et le mode avec wevtutil gl Microsoft-Windows-GroupPolicy/Operational, et archivez avec wevtutil epl.

Comment le lire

Dans l’Observateur d’événements, ouvrez Journaux des applications et des services, Microsoft, Windows, GroupPolicy, Operational. Triez par heure, repérez le cycle voulu avec son ActivityID (onglet Détails), puis cherchez la première extension en échec ou le GPO absent de la liste. Croisez avec gpresult /h et le journal Système.

Signaler une erreur