4.4 事件管理任務(wù)

事件是標(biāo)志計算機系統(tǒng)是否正常運行的重要標(biāo)志，管理好計算機系統(tǒng)中的日志，是管理員的必修課。本節(jié)以Windows Server 2008為例說明常見的事件日志管理任務(wù)。

4.4.1 清除事件日志

事件日志過多或者監(jiān)控新的管理任務(wù)前，管理員可以清除已經(jīng)存在的日志。以清除應(yīng)用程序日志為例說明。

第1步，打開事件查看器，選擇“事件查看器”→“Windows日志”→“應(yīng)用程序”選項，如圖4-57所示。

第2步，右擊“應(yīng)用程序”，在彈出的快捷菜單中選擇“清除日志”命令，如圖4-58所示。

第3步，命令執(zhí)行后，顯示如圖4-59所示的“事件查看器”對話框。提示管理員要進(jìn)行的操作，清除日志前是否需要保存日志。

第4步，如果需要保存，選擇“保存并清除”按鈕，否則選擇“清除”按鈕。日志清除后，在右側(cè)的事件列表中，顯示的事件個數(shù)為0，如圖4-60所示。

4.4.2 設(shè)置日志大小以及保留策略

事件日志存儲在文件中，管理員可以更改日志默認(rèn)值。以設(shè)置安全日志為例說明。

第1步，打開事件查看器，選擇“事件查看器”→“Windows日志”→“安全”選項，如圖4-61所示。

第2步，右擊“安全”，在彈出的快捷菜單中選擇“屬性”命令，如圖4-62所示。

第3步，命令執(zhí)行后，顯示如圖4-63所示的“常規(guī)”對話框。在“日志最大大小”文本框中，設(shè)置日志的最大值。注意，日志大小必須是64 KB的倍數(shù)，且不能小于1024 KB，如果隨意鍵入日志的最大值，將自動取整為最接近64 KB的倍數(shù)。

第4步，在“達(dá)到事件日志最大大小”區(qū)域，設(shè)置日志的處理方式。事件存儲在只能增長到可配置的最大值的日志文件中。文件大小達(dá)到其最大值后，傳入事件所發(fā)生的情況由日志保留策略決定。保留策略如表4-3所示。

4.4.3 事件轉(zhuǎn)儲

Windows Server 2008操作系統(tǒng)支持事件日志的導(dǎo)入和導(dǎo)出，在事件查看器的多個模塊中，都支持此功能。

1. 導(dǎo)出日志

導(dǎo)出日志，將本機中日志存成文件，可以備份或者在其他的計算機上查看，可以作為計算機是否健康的“證據(jù)”。

第1步，登錄目標(biāo)服務(wù)器，打開“服務(wù)器管理器”窗口，選擇“服務(wù)器管理器”→“診斷”→“事件查看器”→“Windows日志”選項，顯示如圖4-64所示的“服務(wù)器管理器”窗口。

第2步，以“系統(tǒng)”日志為例說明。右擊“系統(tǒng)”，在彈出的快捷菜單中選擇“將日志文件另存為”命令，顯示如圖4-65所示的“另存為”對話框。

第3步，選擇目標(biāo)文件夾，鍵入日志文件的名稱，單擊“保存”按鈕，顯示如圖4-66所示的“顯示信息”對話框。日志文件的默認(rèn)保存格式為“evtx”。

第4步，單擊“確定”按鈕，成功保存日志，如圖4-67所示。

2. 查看保存的日志

日志轉(zhuǎn)儲后，可以在Windows Server 2008或者Windows Vista操作系統(tǒng)中，查看保存的日志。以Windows Vista操作系統(tǒng)為例說明如何查看保存的日志。

第1步，將日志文件復(fù)制到運行Windows Vista操作系統(tǒng)的客戶端計算機。

第2步，右擊“計算機”，在彈出的快捷菜單中選擇“管理”命令，打開“計算機管理”窗口。選擇“計算機管理”→“系統(tǒng)工具”→“事件查看器”選項，顯示如圖4-68所示的“計算機管理”窗口。

第3步，右擊“事件查看器”，在彈出的快捷菜單中選擇“打開保存的日志”命令，顯示如圖4-69所示的“打開保存的文件”對話框。

第4步，選擇日志文件，單擊“打開”按鈕，顯示如圖4-70所示的“打開保存的文件”對話框。

第5步，單擊“確定”按鈕，打開日志文件，即可查看導(dǎo)入的日志，如圖4-71所示。

4.4.4 自定義事件視圖

在系統(tǒng)運行過程中，將產(chǎn)生大量事件，尤其是在多服務(wù)器的Active Directory環(huán)境中，查看事件是一項枯燥而且乏味的工作。管理員可以根據(jù)需要定制需要引起注意的事件，例如錯誤事件和警告事件，正常的事件將不需要顯示。下面介紹自定義事件的創(chuàng)建方法。

第1步，登錄事件收集服務(wù)器或者Active Directory服務(wù)器，打開“服務(wù)器管理器”窗口，選擇“服務(wù)器管理器”→“診斷”→“事件查看器”選項，顯示如圖4-72所示的“服務(wù)器管理器”窗口。

第2步，右擊“自定義視圖”，在彈出的快捷菜單中選擇“創(chuàng)建自定義視圖”命令，顯示如圖4-73所示的“創(chuàng)建自定義視圖”對話框。

① 管理員如果要僅查看出現(xiàn)“錯誤”事件日志，在“事件級別”區(qū)域中，選擇“錯誤”選項。

② 選擇“按日志”單選按鈕，在“事件日志”下拉列表框中，選擇日志來源，如圖4-74所示。

③ 單擊“確定”按鈕，顯示如圖4-75所示的“事件查看器”對話框。提示管理員選擇的事件類別多余10個，將引起性能問題。

④ 單擊“是”按鈕，顯示如圖4-76所示的“將篩選器保存到自定義視圖”對話框，鍵入自定義視圖的名稱，以及自定義視圖在事件查看器中的位置。

第3步，單擊“確定”按鈕，完成自定義視圖的創(chuàng)建，如圖4-77所示。在事件列表中，顯示的所有事件級別全部是“錯誤”。