学习目标

通过本单元学习，您将能够：

了解如何使用部分Windows系统功能来协助分析云星空环境问题——事件查看器

事件查看器的使用

Windows 操作系统的事件查看器是记录windows运行日志的集合，通过该工具我们可以得知用户大部分的操作日志，比如开关机，账号登录退出，安装软件等.通过合理地分析系统日志，会让系统管理员的工作事半功倍，例如我们想知道计算机的启动和关闭日志就可以知道用户什么时候开关机，通过软件安装日志就可以知道用户安装过哪些软件，本文简要介绍一下事件查看器的使用。

1、如何打开事件查看器

打开事件查看器的方法很多，最简单的直接在运行中输入：eventvwr 回车即可。（如部分系统限制使用运行，可通过控制面板-管理工具-事件查看器进入）

事件查看器有左中右三个窗口，左边的是事件的目录，不同的事件被各自整理成相应的类别.中间窗口为日志的列表和详情，最后边是操作窗口，里面列出了可以对日志内容的可操作选项。

2、事件查看器的日志筛选

事件查看器中记录了各种不同的系统事件和应用程序事件，怎么快速的查看和定位很重要。

事件查看器中事件目录主要包含三个大项：自定义视图、Windows日志、应用程序和服务日志。

①、自定义视图，顾名思义就是可以自定义需要展示的日志集合。同时系统默认根据系统服务器角色分类了对应服务器角色的日志视图，如：Web服务器（IIS）等，通过该视图就可以快速的查看所有关于Web服务器（IIS）相关的日志。

②、自定义视图，除了按服务器角色分类的默认视图，还可自行定义配置需要的日志集合视图，可鼠标右键“自定义视图”选择“创建自定义视图(R)...”，打开自定义视图的设置窗口，可以选择需要的日志集合在视图中显示，如图：

③、常用的日志目录是Windows日志下的应用程序和系统，其中记录windows服务和应用程序的运行异常日志，可供分析出现异常的原因：

3、事业查看器日志导出

事件查看器日志的分析很多时候需要提供给专业人员来处理，那就需要导出日志发送给对应支持人员。

通过上述筛选获取分析需要的日志信息后，可将相关日志信息导出，从而方便分析人员查看分析确认具体问题，具体操作步骤：

① 在第2步中筛选出需要的日志后，选择右边“操作”窗体中的“将已筛选的日志文件保存为...”，如图：

② 在另存为窗口中，输入要保存的日志名称和选择日志格式，点击“保存”：

③ 保存后提示需要选择显示语言，如图，选择中文简体或对应操作系统的语言即可，点击“确定”完成日志保存：

使用Windows事件查看器

恭喜您！