Windows Server重新启动/closures历史logging

我怎样才能轻松地看到每次我的Windows服务器重新启动或关机的历史和包括用户启动,系统启动,系统崩溃的原因?

Windows事件日志是一个明显的答案,但我应该查看的事件的完整列表是什么?

我发现这些post部分回答了我的问题:

  • Windows服务器上次重新启动时间包括几个答案,部分地解决完整的重新启动历史
  • 查看Windows Server 2008 R2下的closures事件跟踪器日志包含一个附加的事件ID
  • 计算机启动/启动时的事件日志时间包括一些相同的事件ID

但这些不包括每个场景AFAIK和信息很难理解,因为它是分布在多个答案。

我有几个版本的Windows Server,所以至less可以使用2008,2008 R2,2012和2012 R2版本的解决scheme是理想的。

我能find的最清楚最简洁的答案是:

  • 如何在Windows中查看PC启动和关机历史logging

其中列出了要监视的这些事件ID(引用但是从文章中编辑和重新格式化):

  • 事件ID 6005 :“事件日志服务已启动。”这是系统启动的代名词。
  • 事件ID 6006 :“事件日志服务已停止。”这是系统closures的同义词。
  • 事件ID 6008 :“以前的系统关机是意外的。” 没有正确closures系统后logging。
  • 事件ID 6009 :指示在引导时检测到的Windows产品名称,版本,内部版本号,服务包编号和操作系统types。
  • 事件ID 6013:显示计算机的正常运行时间。 此ID没有TechNet页面。

在我的OP中列出的服务器故障答案中再添加一些:

  • 事件ID 1074 :“由于以下原因,进程X已代表用户Y启动了计算机的重新启动/closures:Z. 指示应用程序或用户启动了重新启动或closures。
  • 事件ID 1076 :“由用户X为这台计算机上次意外closures提供的原因是:Y. logging具有关机权限的第一个用户在意外重启或关机后login到计算机并提供发生的原因。

我错过了吗?

我只是把这个留作评论,因为JohnC基本上已经涵盖了一切,但是我现在还不能这么做。

他描述的事件已经使用了很长一段时间了,所以他们会为你提到的任何操作系统以及他们的桌面系统工作。 他链接到的事件ID页面(例如TechNet上的6006页面)提及Windows Server 2003。

如果有一个优雅的关机,用户启动或以其他方式,你也应该看到一些事件ID 7036告诉你,各种服务“进入停止状态”。 随着机器再次启动,您将看到更多的7036s宣布服务正在进入运行状态。