Afficher les journaux d'arrêt du moniteur d'événements sous Windows Server 2008 R2

J'essaie d'afficher les journaux d'arrêt du moniteur d'événements dans l'observateur d'événements, sous Windows Server 2008 r8, mais je ne trouve pas les messages que j'ai fournis lors du précédent redémarrage du serveur.

Où puis-je voir ces journaux dans l'observateur d'événements?

Visionneuse d'événement ouverte. Développez les journaux Windows. Cliquez sur système, puis recherchez ou filtrez pour l'ID d'événement 1074. Et vous verrez tous vos journaux arrêtés.

Je sais que c'est une très vieille question. Mais cela pourrait aider quelqu'un qui recherche la même solution. vous pouvez utiliser une seule ligne dans powershell (disponible dans tous les systèmes d'exploitation après le gain de 2003) pour connaître l'historique de redémarrage. Ouvrez simplement powershell.exe à partir de l'invite d'exécution et entrez la commande ci-dessous.

Get-EventLog System | Where-Object {$_.EventID -eq "1074" -or $_.EventID -eq "6008" -or $_.EventID -eq "1076"} | ft Machinename, TimeWritten, UserName, EventID, Message -AutoSize -Wrap

Si vous ou d'autres personnes essayez simplement de trouver l'heure de démarrage la plus récente, le moyen le plus simple que j'ai trouvé est de l'exécuter dans cmd:

systeminfo | find "System Boot Time"

De powercram.com

Une autre approche utile que j'ai trouvée, puisque nous surveillons fréquemment les serveurs hébergés chez notre fournisseur de services Internet, consiste à créer une vue d'événement personnalisée comme suit:

Ouvrez l'observateur d'événements puis

• Clic droit vues personnalisées
• Cliquez sur Créer une vue personnalisée.
• Sous l'onglet Filtre
  • Garder une trace à tout moment
  • Sélectionnez tous les types de niveau d'événement (critique, avertissement, etc.)
  • Choisissez par source = Journaux Windows> Système
  • Pour l'ID d'événement dans la section ID d'inclusion / exclusion d'événements, entrez 1074 pour l'ID d'événement
• Cliquez sur OK
• Entrez un nom comme Shutdown Events et toute description puis
• Cliquez à nouveau sur Ok pour terminer le journal des événements personnalisé.

Votre nouvelle vue personnalisée doit apparaître dans la liste des vues personnalisées avec le filtre approprié appliqué.

One-liner légèrement plus propre Powershell que j’utilise pour filtrer les ID d’événement liés à l’arrêt:

Get-EventLog system |?{$_.EventID -in 6008,41,1074,1001}| ft -w

Pour limiter cela aux propriétés les plus utiles:

Get-EventLog system | ?{6008,41,1074,1076,1001 -eq $_.EventID}| select EventID, TimeGenerated, Message| ft -w

Vous pouvez également rechercher par texte:

Get-EventLog system -m "*Shutdown*" | select EventID, TimeGenerated, Message| ft -w

Développez The Windows Logsdans The Event ViewerApplication et sélectionnez System. Puis dans The System Panel, apparaît généralement au milieu, triez-les par niveau ou par ID.

Cliquez sur chaque entrée pour voir la description dans le panneau du bas