Регистрация событий завершения работы windows server 2008 r2

В последней части наше мини-серии статей, мы рассмотрим вопрос включения поиска и избавления от регистрации событий завершения работы (Shutdown Event Tracker). Многие программы полагаются на поиск, в том числе Microsoft Outlook, давайте взглянем на то, как мы можем включить его.

Включение Windows Search

Поиск это функция, которая многие из нас использует ежедневно. Тем не менее, по умолчанию в Server 2008 R2 функция поиска была отключена. Она может быть включена, для того, чтобы это сделать необходимо открыть диспетчер сервера и щелкнуть правой кнопкой мыши на Роли, выбрав Добавить роли из контекстного меню.

Выбираем роль файловых служб и нажимаем далее

Отмечаем службу поиска Windows, после чего появиться пункт Тома для индексации.

Выбираем нужный диск для индексации, в моем случае он один. Обратите внимание, что чем больше дисков вы отметите, тем больше времени будет происходить индексация, а если у Вас машине не из мощных, то это может существенно сказаться на производительности.

Подтверждаемым установку выбранных ролей.

Как только установка будет завершена, вы сможете начать поиск файлов.

Отключение регистрации событий завершения работы

Если мы работаем на сервер, то всегда хотим знать что с ним происходит (в данном случае мы говорим, о выключениях, перезагрузках и т.п.). Однако если мы работаем с Windows 2008 в качестве настольной ОС это может очень раздражать. К счастью Shutdown Event Tracker или Регистрация событий завершения работы можно очень легко отключить с помощью групповой политики. Чтобы открыть оснастку групповой политики, нажимаем Win + R и вводим gpedit.msc, затем нажмите клавишу ВВОД.

В оснастке локальной групповой политики опускаемся по следующему адресу:

Конфигурация компьютераАдминистративные шаблоныСистема

Computer ConfigurationAdministrative TemplatesSystem

И переключаем свойства данного объекта на Отключен, после чего применяем.

Перезагрузите компьютер, чтобы параметры вступили в силу или вы также може выполнить команду gpupdate /force, которая применит политики без перезагрузки. 

На этом мы заканчиваем нашу серию мини-статей, хотя сделать еще для облегчения работы в Server 2008 можно очень много, как пример настройки безопасности IE, для свободного интернет-серфинга, но это мы оставим на потом.

Если в вашей организации несколько системных администраторов, у вас периодически может возникать вопрос “Кто перезагрузил сервер?”. В этой статье я покажу как найти определения пользователя, который перезагрузил или выключил компьютер/сервер Windows.

Информация об учетной записи, которая отправила команду перезагрузки Windows сохраняется в журнал событий.

1. Откройте консоль Event Viewer (
   eventvwr.msc
   ) и перейдите в раздел Windows Logs -> System;
2. Включите фильтр журнала событий, выбрав в контекстном меню пункт Filter Current Log;
3. В поле фильтра укажите EventID 1074 и нажмите OK;
4. В журнале событий останутся только события выключения (перезагрузки), откройте любое из них;
5. В событии от источника User32 будет указан пользователь, который инициировал перезагрузку Windows. В этом примере это пользователь a.novak.

The process C:WindowsExplorer.EXE (MSK-DC03) has initiated the restart of computer MSK-DC03 on behalf of user WINITPROa.novak for the following reason: Other (Unplanned)
Reason Code: 0x5000000
Shutdown Type: restart
Comment:

Рассмотрим еще несколько примеров событий перезагрузки/выключения Windows. В качестве пользователя, запустившего перезагрузку операционную систему может быть указан NT AUTHORITYSYSTEM.

Это означает, что перезагрузку инициировала одна из служб или программ Windows, запущенная от имени SYSTEM.. Например, это может быть процесс службы
wuauserv
, который закончил установку обновлений Windows и выполнил перезагрузку согласно настроенной политике Windows Update или с помощью задания модуля PSWindowsUpdate.

The process C:WindowsuusAMD64MoUsoCoreWorker.exe (WKS-PC11S22) has initiated the restart of computer WKS-PC11S22 on behalf of user NT AUTHORITYSYSTEM for the following reason: Operating System: Service pack (Planned)
Reason Code: 0x80020010
Shutdown Type: restart
Comment:

Если ваша Windows запущена внутри виртуальной машины VMware, то если выполнить Restart Guest из консоли управления VMware, событие (выключения) будет выглядеть так:

The process C:Program FilesVMwareVMware Toolsvmtoolsd.exe (MSK-DC03) has initiated the shutdown of computer MSK-DC03 on behalf of user NT AUTHORITYSYSTEM for the following reason: Legacy API shutdown
Reason Code: 0x80070000
Shutdown Type: shutdown

В этом случае выключение Windows также инициировано NT AUTHORITYSYSTEM, т.к. службы интеграции VMware Tools запущены от имени системы.

Вы можете получить информацию о событиях перезагрузки с помощью PowerShell. Следующая команда выберет все события с EventID 1074:

Get-WinEvent -FilterHashtable @{logname=’System’;id=1074}|ft TimeCreated,Id,Message

Команда вернула описания всех событий перезагрузки и выключения Windows.

Можно использовать следующий скрипт PowerShell, который возвращает более короткий список с последними десятью событиями с именами пользователей, и процессами, которые инициировали перезагрузку/выключение сервера.

Get-EventLog -LogName System |
where {$_.EventId -eq 1074} |select-object -first 10 |
ForEach-Object {
$rv = New-Object PSObject | Select-Object Date, User, Action, process, Reason, ReasonCode
if ($_.ReplacementStrings[4]) {
$rv.Date = $_.TimeGenerated
$rv.User = $_.ReplacementStrings[6]
$rv.Process = $_.ReplacementStrings[0]
$rv.Action = $_.ReplacementStrings[4]
$rv.Reason = $_.ReplacementStrings[2]
$rv
}
} | Select-Object Date, Action, Reason, User, Process |ft

Также с помощью PowerShell можно быстро получить имя пользователя, который перезагрузил удаленный компьютер. Получить доступ к журналу событий на удаленном хосте можно с помощью формата Get-EventLog -ComputerName или вы можете подключиться к компьютеру через PSRemoting с помощью командлета Invoke-Command:

Invoke-Command -ComputerName rds2-12 -ScriptBlock {Get-WinEvent -FilterHashtable @{logname=’System’;id=1074} |select-object TimeCreated,Id,Message -first 1}

По событию 1074 можно найти только причины корректных (штатных) перезагрузок сервера. Если Windows была перезагружена не штатно (например, при потере электропитания, или появления BSOD), тогда нужно искать события с EventID 6008.

The previous system shutdown at 4:34:49 AM on ‎1/‎17/‎2022 was unexpected.

И конечно, вы не сможете понять, кто перезагрузил Windows, если журналы событий были очищены, или старые события перезатерты более новыми (в домене желательно настроить увеличенный размер журналов событий с помощью GPO).

Tutorial: How To Set Up Windows Server 2008 For Workstation Use (transform It Into Vista)

Schedule Automatic Shutdown In Windows Server 2008

Server2008R2 | Disable Display Shutdown Event Tracker

( Event Viewer ) Event ID 6008 — Operating System Shutdown Unexpected ( Or Restart Unexpected )

Troubleshoot Unexpected Shutdown On Windows 2012 R2 Server

Windows Server 2008: Audit Account Logon Events

Disable Or Prevent Shutdown Option In Windows 10 Via GPO Windows Server 2012 R2

Ответы:

Get-EventLog System | Where-Object {$_.EventID -eq "1074" -or $_.EventID -eq "6008" -or $_.EventID -eq "1076"} | ft Machinename, TimeWritten, UserName, EventID, Message -AutoSize -Wrap

systeminfo | find "System Boot Time"

Get-EventLog system |?{$_.EventID -in 6008,41,1074,1001}| ft -w

Get-EventLog system | ?{6008,41,1074,1076,1001 -eq $_.EventID}| select EventID, TimeGenerated, Message| ft -w

Get-EventLog system -m "*Shutdown*" | select EventID, TimeGenerated, Message| ft -w