雖然事件查看器是 Microsoft Windows 操作系統工具而不是 Microsoft Exchange Server 工具，但在排查 Exchange Server 問(wèn)題時(shí)事件查看器非常有用。本文介紹了事件查看器的基本概念和有用的新功能。• 定義
• 概述• 事件查看器中的日志類(lèi)型
• 所記錄事件的類(lèi)型
• 事件分析
• 使用什么保存格式？
• 如何知道它已成功打開(kāi)？
• Windows Server 2003、Windows XP、Windows 2000 Server 和 Windows NT Server 4.0 所附帶事件查看器之間的差異
• 提示• 增加日志文件的大小
• 事件篩選
• 搜索關(guān)鍵字
• 在 Windows XP 上使用新功能
• 獲取可能需要的所有日志
• 更多信息
定義
本文使用如下術(shù)語(yǔ)和定義：• 事件：發(fā)生在系統或應用程序中、需要通知用戶(hù)或在日志文件中記錄的任何重要事情。
• 事件日志服務(wù)：在系統、安全和應用程序日志中記錄事件的服務(wù)。
• 事件日志記錄：在發(fā)生特定事件（例如服務(wù)的啟動(dòng)和停止、用戶(hù)的登錄和注銷(xiāo)以及資源訪(fǎng)問(wèn)）時(shí)，在審核跟蹤中記錄審核條目的過(guò)程。
• 事件查看器：用來(lái)查看和管理事件日志，收集軟硬件問(wèn)題信息和監視安全性事件的組件。事件查看器維護有關(guān)程序、安全性和系統事件的日志文件。
概述
通過(guò)在事件查看器中使用事件日志，可以收集有關(guān)硬件、軟件和系統問(wèn)題的信息，并且能夠監視 Windows 操作系統的安全性事件。事件查看器中的日志類(lèi)型
Microsoft Windows Server 2003、Windows XP、Windows 2000 Server 和 Windows NT 會(huì )在三種類(lèi)型的日志中記錄事件：• 應用程序日志：應用程序日志包含應用程序或程序記錄的事件。例如，數據庫程序可能會(huì )在應用程序日志中記錄文件錯誤。由程序開(kāi)發(fā)人員決定記錄哪些事件。
• 系統日志：系統日志包含由 Windows 操作系統組件記錄的事件。例如，驅動(dòng)程序或其他系統組件在啟動(dòng)過(guò)程中的加載故障會(huì )記錄在系統日志中。由系統組件記錄的事件類(lèi)型是由 Windows 操作系統預先定義的。
• 安全性日志：安全性日志可以記錄安全事件，諸如有效和無(wú)效的登錄嘗試，以及與資源使用相關(guān)的事件，例如創(chuàng )建、打開(kāi)或刪除文件。管理員可指定在安全性日志中記錄哪些事件。例如，如果您啟用了登錄審核，系統的登錄嘗試會(huì )被記錄在安全性日志中。
運行 Windows Server 2003 和 Windows 2000 Server 并且充當域控制器的服務(wù)器可能會(huì )在事件查看器中記錄以下附加項目：• 目錄服務(wù)日志：Windows Server 2003 和 Windows 2000 Server 目錄服務(wù)在目錄服務(wù)日志中記錄事件。這包括任何有關(guān) Active Directory 目錄服務(wù)和 Active Directory 數據庫維護的信息。
• 文件復制服務(wù)日志：文件復制服務(wù) (FRS) 在此日志中記錄其事件。該服務(wù)用于文件（例如域策略）在域控制器間的復制。
• DNS Server 服務(wù)日志：本日志記錄了與運行在 Windows Server 2003 和 Windows 2000 Server 上的域名系統 (DNS) Server 服務(wù)有關(guān)的事件。此日志僅在運行 Windows Server 2003 和 Windows 2000 Server 的 DNS 服務(wù)器上顯示。
所記錄事件的類(lèi)型
事件查看器屏幕左側的圖標描述了 Windows 操作系統對事件的分類(lèi)。事件查看器顯示如下類(lèi)型的事件：• 錯誤：重大問(wèn)題，例如數據丟失或功能損失。例如，如果服務(wù)在啟動(dòng)期間無(wú)法加載，便會(huì )記錄一個(gè)錯誤。
• 警告：不一定重要的事件也能指出潛在的問(wèn)題。例如，如果磁盤(pán)空間低，便會(huì )記錄一個(gè)警告。
• 信息：描述應用程序、驅動(dòng)程序或服務(wù)是否操作成功的事件。例如，如果網(wǎng)絡(luò )驅動(dòng)程序成功加載，便會(huì )記錄一個(gè)信息事件。
• 成功審核：接受審核且取得成功的安全訪(fǎng)問(wèn)嘗試。例如，用戶(hù)對系統的成功登錄嘗試將作為一個(gè)“成功審核”事件被記錄下來(lái)。
• 失敗審核：接受審核且未成功的安全訪(fǎng)問(wèn)嘗試。例如，如果用戶(hù)試圖訪(fǎng)問(wèn)網(wǎng)絡(luò )驅動(dòng)器但未成功，該嘗試將作為“失敗審核”被記錄下來(lái)。
事件分析
主要的事件組件包括：• 來(lái)源：記錄該事件的軟件，可以是應用程序名稱(chēng)（例如 Microsoft SQL Server），也可以是系統或大型應用程序的組件（例如，作為 Microsoft Exchange 信息存儲服務(wù)的 MSExchangeIS）。
• 類(lèi)別：根據事件來(lái)源對事件進(jìn)行的分類(lèi)。例如，安全性類(lèi)別包括了：登錄和注銷(xiāo)、策略更改、權限使用、系統事件、對象訪(fǎng)問(wèn)、詳情跟蹤和帳戶(hù)管理。
• 事件 ID：用于標識事件的每個(gè)來(lái)源的唯一編號。
• 用戶(hù)：在事件發(fā)生時(shí)處于登錄狀態(tài)并執行工作的用戶(hù)的用戶(hù)名。N/A 表明該條目沒(méi)有指定某個(gè)用戶(hù)。
• 計算機：發(fā)生事件的計算機的計算機名。
• 描述：此字段包含事件的實(shí)際文本，以及記錄該事件的應用程序對所發(fā)生事件的解釋。
• 數據：顯示事件生成的二進(jìn)制數據，使用 16 進(jìn)制格式（字節）或 DWORDS（文本）格式。并不是所有事件都生成二進(jìn)制數據。熟悉源程序的程序員和支持人員可以理解此信息。
使用什么保存格式？
通常，您希望只使用“事件日志”(.evt) 格式。這時(shí)最容易閱讀和搜索的格式，因為可以使用服務(wù)器上的事件查看器打開(kāi)它。如果您想查看計算機上沒(méi)有安裝的服務(wù)產(chǎn)生的事件，例如群集服務(wù)或第三方服務(wù)，可以將日志保存為 .csv 格式。.csv 文件可以在 Microsoft Office Excel 中打開(kāi)。您最不希望的保存格式是 .txt 文件格式。文本文件是可搜索的，但是其中包含的信息十分混亂，因此非常容易漏掉重要事件。請僅在必要時(shí)才使用 .txt 格式。
如何知道它已成功打開(kāi)？
• 下面是一個(gè)沒(méi)有正確顯示信息的事件示例。事件類(lèi)型：信息事件來(lái)源：MSExchangeIS Private事件類(lèi)別：(30)事件 ID：2003日期：8/16/2001時(shí)間：1:47:02 PM用戶(hù)：N/A計算機：SERVERNAME描述：The description for Event ID ( 2003 ) in Source ( MSExchangeIS Private ) cannot be found.The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer.The following information is part of the event:
• 下面是正確顯示的同一個(gè)事件。事件類(lèi)型：信息事件來(lái)源：MSExchangeIS Private事件類(lèi)別：Transport Sending事件 ID：2003日期：8/16/2001時(shí)間：1:47:02 PM用戶(hù)：N/A計算機：SERVERNAME描述：There are no messages ready to send.The send thread is sleeping.
第一個(gè)事件示例中的事件指出，在計算機上打開(kāi)它時(shí)沒(méi)有運行 Exchange Server。第二個(gè)示例是同一個(gè)事件日志條目，指出在計算機上打開(kāi)它時(shí) Exchange Server 正在運行。如果您希望打開(kāi)事件日志并正確查看事件描述，必須在安裝了這些應用程序或服務(wù)的計算機上打開(kāi)日志。如果需要顯示其他計算機上的第三方應用程序所發(fā)生事件的事件日志，可能需要將日志保存為 .csv 格式來(lái) 查看這些事件的內容。您總是無(wú)法正確查看一些事件，例如第三方服務(wù)、硬件驅動(dòng)程序、音頻可視化軟件以及備份軟件，但是如果您在 Exchange 服務(wù)器上打開(kāi)了日志，您至少可以看到應該出現的 Exchange Server 事件。
Windows Server 2003、Windows XP、Windows 2000 Server 和 Windows NT Server 4.0 所附帶事件查看器之間的差異
在事件查看器中，如果按下復制按鈕，事件中記錄的整個(gè)文本都將被復制到剪貼板。然后，可將此信息粘貼到需要它的任何地方。在 Windows Server 2003 和 Windows XP 中，在打開(kāi)日志時(shí)，可以指示事件查看器查找其他計算機上的注冊表項。例如，在運行 Windows XP Professional 的計算機上，可為加載事件查看器創(chuàng )建附加快捷方式。每個(gè)快捷方式都指向其他計算機，一個(gè)指向 Exchange Server v5.5，另一個(gè)指向 Exchange 2000 Server，而第三個(gè)則指向群集服務(wù)，所以您可以在工作站計算機上打開(kāi)關(guān)聯(lián)的事件日志。您可以打開(kāi)在 Windows Server 2003、Windows 2000 Server 和 Windows NT Server 4.0 上創(chuàng )建的事件日志。在幾乎所有情況下，所有事件都會(huì )正確出現。但在有時(shí)，Windows NT Server 4.0 事件在顯示時(shí)，有些地方會(huì )與 Windows Server 2003 或 Windows 2000 Server 完全不同。更多相關(guān)信息，請參見(jiàn)微軟知識庫文章 312216，“事件查看器 /AUXSOURCE 開(kāi)關(guān)選項的詳細用法”
提示
以下章節提供了有助于排查 Exchange Server 問(wèn)題的信息。增加日志文件的大小
默認情況下，日志文件的大小為 512 (KB)，如果希望查看數天內的操作情況，這個(gè)容量是不夠的。在繁忙的應用程序服務(wù)器上，在經(jīng)過(guò)幾次診斷日志記錄之后，512 KB 的容量在幾個(gè)小時(shí)之內便會(huì )被填滿(mǎn)。請考慮增加日志文件的大小。大多數情況下，10 MB 或更高的日志文件大小足夠您存放數天的歷史信息。事件日志壓縮。90 MB 的應用程序日志壓縮為 2 MB 的情況十分普通。事件篩選
如果您想在日志中搜索某個(gè)特定的事件 ID，或者希望僅僅查看錯誤、警告或某個(gè)特定組件記錄的事件，那么可以使用篩選。在 Windows NT Server 4.0 上，請單擊視圖，然后單擊篩選事件。在 Windows Server 2003 或 Windows 2000 Server 上，請選擇要篩選的日志，然后單擊視圖，接著(zhù)單擊篩選。在查看大型事件日志時(shí)，這時(shí)一個(gè)有用的功能。搜索關(guān)鍵字
請考慮這樣的情況：您想在特定事件日志中搜索涉及某個(gè)特定用戶(hù)或服務(wù)器的所有事件。在事件查看器中，單擊視圖，然后單擊查找。在輸入要在任何事件的描述字段中查找的關(guān)鍵字，也可以搜索諸如事件 ID 或來(lái)源這樣的特定信息。在 Windows XP 上使用新功能
如前所述，在 Windows Server 2003 和 Windows XP 中有一個(gè)新功能。您可以將事件查看器重新定向為查找其他計算機上的注冊表設置和 DLL。這是一個(gè)省時(shí)的有用功能。它允許您從運行 Windows XP 的計算機上查看任何應用程序類(lèi)型的事件日志，這些應用程序可能安裝在環(huán)境中的任何服務(wù)器上。更多相關(guān)信息，請參見(jiàn)微軟知識庫文章 312216，“事件查看器 /AUXSOURCE 開(kāi)關(guān)選項的詳細用法”獲取可能需要的所有日志
大多數情況下，在排查 Exchange Server 故障時(shí)您應檢查應用程序日志。但是，對于 Exchange Server 2003 和 Exchange 2000 Server，您還應該總是檢查系統日志，因為 Exchange、Active Directory 和 DNS 之間存在緊密聯(lián)系。請考慮同時(shí)獲取這兩個(gè)日志。檢查這兩個(gè)日志可能會(huì )發(fā)現 Windows 操作系統級別的錯誤，這些錯誤解釋了 Exchange Server 的行為。
文章轉載自網(wǎng)管之家：http://www.bitscn.com/os/windows/200705/103973.html
聯(lián)系客服
