Windows Server 2012 R2

如何找出重启Windows服务器的人

通过hth华体会体育全站 2019年5月27日

20的评论

在这篇文章中，我将告诉你如何重新启动Windows Server。如果你在一家大公司工作，你的安装中可能有很多Windows服务器。确保服务器正常工作是系统管理员的职责。

有时候事情并不顺利。假设您收到一封电子邮件，说服务器已重新启动，需要对此进行调查。

您不能询问每个IT人员是谁发起了服务器重新启动。那么如何找到重启Windows Server的人呢?

是的，有一种方法可以做到。如果你想知道是谁重启了windows服务器，这篇文章将会派上用场。当然事件查看器是我们寻找信息的地方。

有一种东西叫做as关机事件跟踪器．这将允许管理员跟踪用户启动关机或重新启动的原因。

它还收集了用户重启或关闭计算机的原因。关于它的更多信息在文档中在这里．

如何找出重启Windows服务器的人

找出重启windows服务器的人:-

登录Windows Server。
启动事件查看器(类型为eventvwr在运行)。
在事件查看器控制台中展开Windows日志。
点击系统在右侧窗格中单击过滤当前日志．

在“过滤当前日志”框中，键入1074作为事件ID。这将过滤事件，您将只看到ID为1074的事件。

我们现在可以看到ID为1074的事件。

双击最近的事件。在事件属性框中，您可以看到发起服务器重新启动的人。

C:\Windows\System32\RuntimeBroker.exe (CORPAD)进程代表用户PRAJWAL\sccmadmin启动了计算机CORPAD的重新启动，原因如下:
原因码:0x5000000
关机类型:restart
备注:

点击关闭．

hth华体会体育全站

hth华体会体育全站普拉杰瓦尔·德赛是微软企业移动领域的MVP。他撰写文章SCCM, Intune，配置管理器，Microsoft Intune, Azure, Windows Server, Windows 11, WordPress和其他主题，目的是为人们提供有用的信息。

留下回复取消回复

20的评论

Urhukpe Temienor 说:

在

这个指南真的很有帮助。谢谢Prajwhth华体会体育全站al Desai

回复
Concy 说:

在

我如何处理一个情况，其中日志是可用的，并指向一个工作站，其中远程重新启动。没有摄像头，门是开着的，房间里有三个工作人员有密码。他们都否认重启了服务器。

回复
的ZQ 说:

在

Get-EventLog -LogName System -UserName DOMAIN\Username | Where-Object{$_。EventID -eq 1074}

回复
1. 维克说:
  
  在
  
  WEVTUtil query-events System /count:1 /rd:true /format:text /q: " Event[System[(EventID=1074)]]] "
  
  回复
帕拉山 说:

在

嗨Prajwal,

我非常感谢你的努力。但我还有一些疑问。应用程序服务是否可能在高CPU/内存消耗时重新启动/关闭服务器?如果可能，在应用程序日志和系统日志中将触发什么类型的事件?

我也想知道我们的朋友萨勃拉曼尼亚先生提出的问题的答案。

请尽快回复，这些对我们有很大帮助。

在我的组织中，许多人都在Windows server 2012R2中进行配置更改和重新启动应用程序服务。但是当我在事件查看器中检查时，它只是显示“服务进入停止状态”或“服务进入运行状态”，我无法找到谁重新启动了服务。你能告诉我怎样才能找到/配置审计策略来跟踪在windows server 2012 R2上停止/启动服务的用户吗?

回复
斯泰西 说:

在

信息清晰、准确、直截了当。谢谢你，般若瓦尔!

回复
Indu米 说:

在

使用上述方法，我们将能够找到谁重新启动了5天前的服务器。？?或者如果日志被覆盖了，我们怎么找到它

回复
1. hth华体会体育全站 说:
  
  在
  
  如果你有可用的事件，是的，你可以找到谁重启了服务器。如果日志被覆盖，则无法找到。
  
  回复
  1. 维克说:
    
    在
    
    好点!
    
    回复
Venkat 说:

在

谢谢Prajwhth华体会体育全站al Desai。
信息量很大，直截了当。

回复
1. hth华体会体育全站 说:
  
  在
  
  谢谢你！很高兴听你这么说。
  
  回复
亚历克斯 说:

在

非常感谢!

回复
罗伯特·H。 说:

在

谢谢你，般若瓦尔。你能提供这么有价值的信息真是太好了。

回复
克莱弗顿·蒙泰罗·阿西斯 说:

在

好了!谢谢你！

回复
Gaurav 说:

在

嗨，我没有得到重启应用程序服务器的用户。出于验证目的，我尝试重新启动我的笔记本电脑，但用户显示为:SYSTEM，尽管它应该是重启服务器的实际用户名。是否需要进行任何配置来帮助重新启动应用程序服务器的实际用户。

回复
1. hth华体会体育全站 说:
  
  在
  
  事件ID 1074应该显示重启服务器的用户。
  
  回复
史蒂夫 说:

在

这篇文章今天帮助了我。谢谢你！．．来自一个相当新的Windows虚拟机/服务器系统管理员，但有20多年的IT经验，我以前从来没有需要过这个，我最初的搜索只给我显示服务器重启时的事件ID，而不是由谁重启。

回复
埃德温·马赛厄斯 说:

在

对于核心服务器

回复
Jagdessh 说:

在

优秀的文章。谢谢你，普拉杰瓦尔

回复
Subrahmanyam表示 说:

在

嗨Prajwal,
在我的组织中，许多人都在Windows server 2012R2中进行配置更改和重新启动应用程序服务。但是当我在事件查看器中检查时，它只是显示“服务进入停止状态”或“服务进入运行状态”，我无法找到谁重新启动了服务。你能告诉我怎样才能找到/配置审计策略来跟踪在windows server 2012 R2上停止/启动服务的用户吗?

回复