在Windows Server 2008 R2下查看closures事件跟踪器日志

我试图在Windows Server 2008 r8上的事件查看器中查看关机事件跟踪器日志,但是我找不到先前重新启动服务器时提供的消息。

在事件查看器中,我可以看到这些日志?

打开事件查看器。 展开Windows日志。 点击系统,然后find或过滤事件ID 1074.你会看到所有的closures日志。

如果你或者其他人只是想find最近的启动时间,我发现的最简单的方法就是在cmd中运行它:

systeminfo | find "System Boot Time" 

从powercram.com

我知道这是一个非常古老的问题。 但是这可能会帮助正在寻找相同解决scheme的人。 你可以在powershell中使用一行(在所有的操作系​​统中都可以使用比win 2003更早的版本)来查找重启历史logging。 只需从运行提示符打开powershell.exe并input下面的命令。

 Get-EventLog System | Where-Object {$_.EventID -eq "1074" -or $_.EventID -eq "6008" -or $_.EventID -eq "1076"} | ft Machinename, TimeWritten, UserName, EventID, Message -AutoSize -Wrap 

我发现的另一个有用的方法是,我们经常监视我们的ISP托pipe服务器是否中断,是创build一个自定义事件视图,如下所示:

然后打开事件查看器

  • 右键单击自定义视图
  • 点击创build自定义视图
  • 在filter选项卡下
    • 随时保持logging
    • select所有事件级别types(严重,警告等)
    • select来源= Windows日志>系统
    • 对于包含/排除事件ID部分下的事件ID部分,input1074作为事件ID
  • 点击确定
  • input一个名称,如关机事件和任何描述
  • 再次单击确定以完成自定义事件日志。

您的新自定义视图应显示在自定义视图列表中,并应用正确的filter。

稍微干净的Powershell单线程,我用来过滤closures相关的EventIDs:

 Get-EventLog system |?{$_.EventID -in 6008,41,1074,1001}| ft -w 

限制只是最有用的属性:

 Get-EventLog system | ?{6008,41,1074,1076,1001 -eq $_.EventID}| select EventID, TimeGenerated, Message| ft -w 

或者,按消息文本search:

 Get-EventLog system -m "*Shutdown*" | select EventID, TimeGenerated, Message| ft -w