Aller au contenuAller à l'arborescence
Arborescence Windows
  1. C:
  2. Windows
  3. System32
  4. winevt
  5. Logs
  6. Microsoft-Windows-PrintService%4Operational.evtx
JournalRisque : Prudence

Microsoft-Windows-PrintService%4Operational.evtx C:\Windows\System32\winevt\Logs\Microsoft-Windows-PrintService%4Operational.evtx

Journal PrintService/Operational, désactivé par défaut : une entrée 307 par document imprimé (utilisateur, imprimante, pages) une fois le canal activé.

Mis à jour le Par AltF4 Formation

À quoi ça sert

Canal « Microsoft-Windows-PrintService/Operational ». Désactivé par défaut, il consigne chaque travail d’impression une fois activé : c’est le moyen natif de savoir qui a imprimé quoi, sur quelle imprimante, sans solution d’audit tierce. Le fichier .evtx n’existe ou ne se remplit donc qu’après activation. Le canal voisin PrintService/Admin, lui, est actif et rapporte les erreurs du spouleur et des pilotes.

Ce qu’il contient

  • 307 : document imprimé, avec le numéro de travail, le nom du document, l’utilisateur, la machine d’origine, l’imprimante, le port, la taille en octets et le nombre de pages.
  • D’autres événements de suivi du travail (spoule, rendu), selon la version.

Risques et bonnes pratiques

  • Le nom du document apparaît en clair : la collecte révèle des intitulés confidentiels (paie, litiges, dossiers clients). Limitez l’accès et définissez une durée de conservation.
  • Il grossit vite sur un serveur d’impression : augmentez sa taille maximale avant de l’activer, ou exportez-le régulièrement.
  • Activez-le sur le serveur d’impression, pas sur chaque poste, quand les imprimantes sont partagées par un serveur : c’est lui qui voit tous les travaux.

Commandes utiles

Fenêtre de terminal
# État du canal
wevtutil gl "Microsoft-Windows-PrintService/Operational"


# Activer le canal (en administrateur)
wevtutil sl "Microsoft-Windows-PrintService/Operational" /e:true


# Derniers documents imprimés
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-PrintService/Operational'; Id=307} -MaxEvents 30 |
    Select-Object TimeCreated, Message

Format

Fichier binaire XML (.evtx). Le « / » du nom de canal devient « %4 » dans le nom du fichier.

Rotation et archivage

Taille maximale et comportement à saturation se règlent dans les propriétés du journal ou par stratégie de groupe ; wevtutil gl affiche la configuration et wevtutil epl exporte le journal vers un .evtx.

Comment le lire

Observateur d’événements, « Journaux des applications et des services », « Microsoft », « Windows », « PrintService », « Opérationnel » (clic droit, « Activer le journal » s’il est désactivé). Filtrez sur l’ID 307 ; pour un incident de spouleur, lisez plutôt PrintService/Admin.

Signaler une erreur