ID d'événement Windows 1022 – MsiInstaller : Événement de reconfiguration de Windows Installer

Commencez par examiner les détails complets de l'événement pour comprendre ce qui a déclenché la reconfiguration :

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Application
3. Filtrez les événements en cliquant sur Filtrer le journal actuel dans le volet Actions
4. Entrez 1022 dans le champ ID d'événement et cliquez sur OK
5. Double-cliquez sur l'entrée ID d'événement 1022 pour voir les informations détaillées
6. Examinez les champs de données de l'événement, y compris le nom du produit, le code du produit et le SID de l'utilisateur
7. Notez l'horodatage pour le corréler avec d'autres activités système
8. Vérifiez l'onglet Général pour la description complète de l'événement et les éventuels codes d'erreur

Les détails de l'événement montreront le produit spécifique en cours de reconfiguration et le contexte utilisateur. Recoupez ces informations avec les changements récents du système ou les activités des utilisateurs.

Utilisez PowerShell pour extraire et analyser les occurrences de l'ID d'événement 1022 sur plusieurs systèmes :

# Obtenez les entrées récentes de l'ID d'événement 1022 avec des informations détaillées
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1022; StartTime=(Get-Date).AddDays(-7)} | 
    Select-Object TimeCreated, Id, LevelDisplayName, Message | 
    Format-Table -Wrap

# Extraire des informations spécifiques sur le produit à partir des messages d'événement
Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1022; StartTime=(Get-Date).AddDays(-30)} | 
    ForEach-Object {
        $message = $_.Message
        $productMatch = [regex]::Match($message, "Product: (.+?)\. ")
        $userMatch = [regex]::Match($message, "User: (.+?)\. ")
        [PSCustomObject]@{
            TimeCreated = $_.TimeCreated
            Product = if($productMatch.Success) { $productMatch.Groups[1].Value } else { "Unknown" }
            User = if($userMatch.Success) { $userMatch.Groups[1].Value } else { "Unknown" }
            FullMessage = $_.Message
        }
    } | Format-Table -AutoSize

Cette approche PowerShell offre une vue complète des activités de reconfiguration et aide à identifier les modèles ou les installations problématiques.

Configurez la journalisation MSI complète pour capturer des informations détaillées sur les opérations de reconfiguration :

1. Ouvrez Éditeur du Registre en tant qu'administrateur
2. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Installer
3. Créez une nouvelle valeur DWORD nommée Logging si elle n'existe pas
4. Définissez la valeur sur voicewarmupx (en tant que REG_SZ) pour activer la journalisation complète
5. Créez un autre DWORD nommé Debug et définissez-le sur 7
6. Redémarrez le service Windows Installer :

# Redémarrez le service Windows Installer pour appliquer les modifications de journalisation
Restart-Service -Name "msiserver" -Force

# Vérifiez l'état du service
Get-Service -Name "msiserver" | Select-Object Name, Status, StartType

Les journaux MSI seront désormais créés dans le répertoire %TEMP% avec des informations détaillées sur chaque opération de reconfiguration. Examinez ces journaux pour identifier les composants spécifiques modifiés et toute erreur rencontrée pendant le processus.

Déterminez la source et le contexte de l'installation pour comprendre pourquoi la reconfiguration a été déclenchée :

# Interroger les produits installés et leurs sources d'installation
Get-WmiObject -Class Win32_Product | 
    Where-Object { $_.Name -like "*ProductName*" } | 
    Select-Object Name, Version, InstallDate, InstallSource, LocalPackage

# Vérifier les mises à jour Windows récentes qui pourraient déclencher des reconfigurations
Get-HotFix | Where-Object { $_.InstalledOn -gt (Get-Date).AddDays(-7) } | 
    Sort-Object InstalledOn -Descending

# Examiner les paramètres de stratégie de groupe qui pourraient affecter le comportement MSI
Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\Installer" -ErrorAction SilentlyContinue

1. Vérifiez l'emplacement du cache de Windows Installer à C:\Windows\Installer
2. Vérifiez que les packages MSI mis en cache sont présents et non corrompus
3. Examinez les paramètres de stratégie de groupe sous Configuration de l'ordinateur → Modèles d'administration → Composants Windows → Windows Installer
4. Examinez la clé de registre HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer pour les informations sur le produit
5. Vérifiez les tâches planifiées qui pourraient déclencher une maintenance logicielle automatique

Comprendre le contexte de l'installation aide à déterminer si la reconfiguration est un comportement attendu ou indique un problème potentiel nécessitant une intervention.

Mettre en œuvre des stratégies de surveillance et de prévention pour les événements de reconfiguration problématiques :

# Créer une tâche planifiée pour surveiller l'ID d'événement 1022 et envoyer des alertes
$action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-Command \"Get-WinEvent -FilterHashtable @{LogName='Application'; Id=1022; StartTime=(Get-Date).AddMinutes(-5)} | Out-File C:\Logs\MSI_Reconfig.log -Append\""
$trigger = New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New-TimeSpan -Minutes 5) -RepetitionDuration (New-TimeSpan -Days 365)
$settings = New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -DontStopIfGoingOnBatteries
Register-ScheduledTask -TaskName "MSI_Reconfiguration_Monitor" -Action $action -Trigger $trigger -Settings $settings -User "SYSTEM"

# Désactiver la réparation automatique pour des produits spécifiques si nécessaire
# Remarque : Cela nécessite une réflexion attentive car cela peut affecter la fonctionnalité de l'application
$productCode = "{PRODUCT-GUID-HERE}"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\$productCode\InstallProperties" -Name "NoRepair" -Value 1

1. Configurer le transfert d'événements Windows pour centraliser la collecte de l'ID d'événement 1022
2. Configurer SCOM ou d'autres outils de surveillance pour alerter sur les événements de reconfiguration excessifs
3. Examiner et ajuster les paramètres de stratégie de groupe pour contrôler le comportement de MSI :
• Désactiver la compatibilité RDS de Windows Installer
• Interdire le retour en arrière
• Désactiver Windows Installer (pour des scénarios spécifiques)
4. Mettre en œuvre la virtualisation des applications pour réduire les problèmes liés à MSI
5. Créer une documentation de référence des modèles de reconfiguration attendus