Windows Server'ı Kimin Yeniden Başlattığını (Kapattığını) Kontrol Etme

Şirketinizde birkaç sistem yöneticisi varsa, bazen sunucuyu kimin yeniden başlattığını bilmek isteyebilirsiniz. Bu makalede. Windows çalıştıran bir bilgisayarı/sunucuyu yeniden başlatan veya kapatan bir kullanıcıyı olay günlüklerinden nasıl belirleyeceğinizi göstereceğim.

Yeniden başlatma komutunu gönderen kullanıcı hesabıyla ilgili bilgiler Windows Olay Günlüğünde saklanır.

  1. Olay Görüntüleyici konsolunu açın (

    eventvwr.msc

    ) ve Windows Günlükleri -> Sistem'e gidin;

  2. Bağlam menüsünde Geçerli Günlüğü Filtrele'yi tıklatarak Olay Günlüğü filtresini kullanın;

  3. Filtre kutusuna EventID 1074'ü girin ve Tamam'ı tıklayın;

  4. Günlük listesinde yalnızca kapatma (yeniden başlatma) olayları kalacaktır. Son olayı aç;

  5. Kaynak olarak User32 olan olay, Windows'u yeniden başlatmayı başlatan bir kullanıcıyı gösterir. Bu örnekte, kullanıcı

    novak

    ;

The process C:\Windows\Explorer.EXE has initiated the restart of computer MUN-DC03 on behalf of user WOSHUB\novak for the following reason: Other (Unplanned)
Reason Code: 0x5000000
Shutdown Type: restart
Comment:

GPO'yu kullanarak yönetici olmayan kullanıcıların Windows Server'ı yeniden başlatmasına izin verebilirsiniz.

Windows yeniden başlatma/kapatma olaylarının daha fazla örneğine bakalım. NT AUTHORITY\SYSTEM'i bir işletim sistemini yeniden başlatan kullanıcı olarak görebilirsiniz.

Bu, yeniden başlatmanın bir SİSTEM olarak çalışan bir Windows hizmeti veya programı tarafından başlatıldığı anlamına gelir. Örneğin, Windows güncellemesini tamamlayan ve yapılandırılmış Windows Update GPO ayarlarına göre veya PSWindowsUpdate modülünün bir görevini kullanarak bilgisayarı yeniden başlatan bir wuauserv hizmet işlemi olabilir.

The process C:\Windows\uus\AMD64\MoUsoCoreWorker.exe has initiated the restart of computer MUN-DC03 on behalf of user NT AUTHORITY\SYSTEM for the following reason: Operating System: Service pack (Planned)
Reason Code: 0x80020010
Shutdown Type: restart
Comment:

Windows misafiriniz bir VMware sanal makinesinde çalışıyorsa ve VMware yönetim konsolunda Restart Guest'i çalıştırırsanız, kapatma olayı aşağıdaki gibi görünür:

The process C:\Program Files\VMware\VMware Tools\vmtoolsd.exe has initiated the shutdown of computer MUN-DC03 on behalf of user NT AUTHORITY\SYSTEM for the following reason: Legacy API shutdown
Reason Code: 0x80070000
Shutdown Type: shutdown

Bu durumda Windows kapatma NT AUTHORITY\SYSTEM tarafından da başlatılır, çünkü Sistem adına VMware Tools entegrasyon hizmetleri çalıştırılır.

PowerShell'i kullanarak yeniden başlatma olayları hakkında bilgi alabilirsiniz. Aşağıdaki komut, EventID 1074 ile tüm olayları görüntüler:

Get-WinEvent -FilterHashtable @{logname=’System’;id=1074}|ft TimeCreated,Id,Message

Komut, tüm Windows yeniden başlatma ve kapatma olaylarının açıklamalarını döndürdü.

Sunucu yeniden başlatma/kapatma işleminde başlatılan kullanıcı veya işlemlerin adlarıyla birlikte son on olayın bir listesini döndüren aşağıdaki PowerShell betiğini kullanabilirsiniz.

Get-EventLog -LogName System |
where {$_.EventId -eq 1074} |select-object -first 10 |
ForEach-Object {
$rv = New-Object PSObject | Select-Object Date, User, Action, process, Reason, ReasonCode
if ($_.ReplacementStrings[4]) {
$rv.Date = $_.TimeGenerated
$rv.User = $_.ReplacementStrings[6]
$rv.Process = $_.ReplacementStrings[0]
$rv.Action = $_.ReplacementStrings[4]
$rv.Reason = $_.ReplacementStrings[2]
$rv
}
} | Select-Object Date, Action, Reason, User, Process |ft

Uzak bilgisayarı yeniden başlatan kullanıcının adını almak için PowerShell'i kullanabilirsiniz. Get-EventLog -ComputerName komutunu kullanarak uzaktaki bir ana bilgisayardaki Olay Günlüğüne erişebilir veya Invoke-Command cmdlet'ini ve PSRemoting'i kullanarak bilgisayara bağlanabilirsiniz:

Invoke-Command -ComputerName mun-dc03 -ScriptBlock {Get-WinEvent -FilterHashtable @{logname=’System’;id=1074} |select-object TimeCreated,Id,Message -first 1}

Olay Kimliği 1074 ile yalnızca doğru sunucu yeniden başlatmalarının nedenlerini bulabilirsiniz. Acil bir durum nedeniyle Windows yeniden başlatıldıysa (örneğin, bir elektrik kesintisi veya bir BSOD belirirse), bir EventID 6008 aramanız gerekir.

The previous system shutdown at 3:24:29 AM on ‎9/‎17/‎2022 was unexpected.

Elbette, olay günlükleri temizlendiyse veya daha yeni olayların üzerine öncekiler yazıldıysa, Windows'u kimin yeniden başlattığını öğrenemezsiniz (etki alanında GPO kullanarak olay günlüklerinin maksimum boyutunu artırmanız önerilir) ).

İlgili makaleler