Wyświetl dzienniki śledzenia zdarzeń zamknięcia systemu w systemie Windows Server 2008 R2

Próbuję wyświetlić dzienniki śledzenia zdarzeń zamknięcia systemu w Podglądzie zdarzeń na Windows Server 2008 r8, ale nie mogę znaleźć wiadomości, które dostarczyłem, gdy poprzednio uruchomiłem ponownie serwer.

Gdzie w Podglądzie zdarzeń mogę zobaczyć te dzienniki?

Otwórz przeglądarkę wydarzeń. Rozwiń dzienniki systemu Windows. Kliknij system, a następnie znajdź lub odfiltruj identyfikator zdarzenia 1074. Zobaczysz wszystkie dzienniki zamknięcia.

Wiem, że to bardzo stare pytanie. Ale może to pomóc komuś, kto szuka tego samego rozwiązania. możesz użyć pojedynczego wiersza w PowerShell (który jest dostępny we wszystkich systemach operacyjnych później niż Windows 2003), aby poznać historię restartu. Wystarczy otworzyć powershell.exe z wiersza polecenia i wprowadzić poniższe polecenie.

Get-EventLog System | Where-Object {$_.EventID -eq "1074" -or $_.EventID -eq "6008" -or $_.EventID -eq "1076"} | ft Machinename, TimeWritten, UserName, EventID, Message -AutoSize -Wrap

Jeśli ty lub inni próbujesz znaleźć najnowszy czas rozruchu, najłatwiejszym sposobem, jaki znalazłem, jest uruchomienie tego w cmd:

systeminfo | find "System Boot Time"

Od powercram.com

Innym przydatnym podejściem, które znalazłem, ponieważ często monitorujemy nasze serwery hostowane przez dostawcę usług internetowych pod kątem awarii, jest utworzenie niestandardowego widoku zdarzeń w następujący sposób:

Następnie otwórz Podgląd zdarzeń

• Kliknij prawym przyciskiem myszy Widoki niestandardowe
• Kliknij opcję Utwórz widok niestandardowy
• Pod zakładką Filtr
  • Bądź zalogowany jak zawsze
  • Wybierz wszystkie typy poziomów zdarzeń (Krytyczne, Ostrzeżenie itp.)
  • Wybierz według źródła = Dzienniki systemu Windows> System
  • W polu Identyfikator zdarzenia w sekcji Zawiera / wyklucza identyfikator zdarzenia wprowadź 1074 jako identyfikator zdarzenia
• Kliknij OK
• Wpisz nazwę, np. Zdarzenia zamykania i dowolny opis
• Kliknij ponownie przycisk OK, aby uzupełnić niestandardowy dziennik zdarzeń.

Twój nowy widok niestandardowy powinien pojawić się na liście widoków niestandardowych z zastosowanym prawidłowym filtrem.

Nieco czystszy jednowarstwowy program PowerShell, którego używam do filtrowania identyfikatorów zdarzeń związanych z zamykaniem:

Get-EventLog system |?{$_.EventID -in 6008,41,1074,1001}| ft -w

Aby ograniczyć to tylko do najbardziej przydatnych właściwości:

Get-EventLog system | ?{6008,41,1074,1076,1001 -eq $_.EventID}| select EventID, TimeGenerated, Message| ft -w

Alternatywnie, aby wyszukać według tekstu wiadomości:

Get-EventLog system -m "*Shutdown*" | select EventID, TimeGenerated, Message| ft -w

Rozwiń The Windows Logsw The Event Vieweraplikacji i wybierz System. Następnie w The System Panel, zwykle pojawia się na środku, posortuj je według poziomu lub identyfikatora.

Kliknij opcję Przy każdym wpisie, aby wyświetlić opis w dolnym panelu