雖然事件查看器是 Microsoft Windows 操作系統(tǒng)工具而不是 Microsoft Exchange Server 工具，但在排查 Exchange Server 問題時事件查看器非常有用。本文介紹了事件查看器的基本概念和有用的新功能。
• 定義
• 概述
• 事件查看器中的日志類型
• 所記錄事件的類型
• 事件分析
• 使用什么保存格式？
• 如何知道它已成功打開？
• Windows Server 2003、Windows XP、Windows 2000 Server 和 Windows NT Server 4.0 所附帶事件查看器之間的差異
• 提示
• 增加日志文件的大小
• 事件篩選
• 搜索關(guān)鍵字
• 在 Windows XP 上使用新功能
• 獲取可能需要的所有日志
• 更多信息
定義
本文使用如下術(shù)語和定義：
• 事件：發(fā)生在系統(tǒng)或應(yīng)用程序中、需要通知用戶或在日志文件中記錄的任何重要事情。
• 事件日志服務(wù)：在系統(tǒng)、安全和應(yīng)用程序日志中記錄事件的服務(wù)。
• 事件日志記錄：在發(fā)生特定事件（例如服務(wù)的啟動和停止、用戶的登錄和注銷以及資源訪問）時，在審核跟蹤中記錄審核條目的過程。
• 事件查看器：用來查看和管理事件日志，收集軟硬件問題信息和監(jiān)視安全性事件的組件。事件查看器維護(hù)有關(guān)程序、安全性和系統(tǒng)事件的日志文件。
概述
通過在事件查看器中使用事件日志，可以收集有關(guān)硬件、軟件和系統(tǒng)問題的信息，并且能夠監(jiān)視 Windows 操作系統(tǒng)的安全性事件。
事件查看器中的日志類型
Microsoft Windows Server 2003、Windows XP、Windows 2000 Server 和 Windows NT 會在三種類型的日志中記錄事件：
• 應(yīng)用程序日志：應(yīng)用程序日志包含應(yīng)用程序或程序記錄的事件。例如，數(shù)據(jù)庫程序可能會在應(yīng)用程序日志中記錄文件錯誤。由程序開發(fā)人員決定記錄哪些事件。
• 系統(tǒng)日志：系統(tǒng)日志包含由 Windows 操作系統(tǒng)組件記錄的事件。例如，驅(qū)動程序或其他系統(tǒng)組件在啟動過程中的加載故障會記錄在系統(tǒng)日志中。由系統(tǒng)組件記錄的事件類型是由 Windows 操作系統(tǒng)預(yù)先定義的。
• 安全性日志：安全性日志可以記錄安全事件，諸如有效和無效的登錄嘗試，以及與資源使用相關(guān)的事件，例如創(chuàng)建、打開或刪除文件。管理員可指定在安全性日志中記錄哪些事件。例如，如果您啟用了登錄審核，系統(tǒng)的登錄嘗試會被記錄在安全性日志中。
運(yùn)行 Windows Server 2003 和 Windows 2000 Server 并且充當(dāng)域控制器的服務(wù)器可能會在事件查看器中記錄以下附加項目：
• 目錄服務(wù)日志：Windows Server 2003 和 Windows 2000 Server 目錄服務(wù)在目錄服務(wù)日志中記錄事件。這包括任何有關(guān) Active Directory 目錄服務(wù)和 Active Directory 數(shù)據(jù)庫維護(hù)的信息。
• 文件復(fù)制服務(wù)日志：文件復(fù)制服務(wù) (FRS) 在此日志中記錄其事件。該服務(wù)用于文件（例如域策略）在域控制器間的復(fù)制。
• DNS Server 服務(wù)日志：本日志記錄了與運(yùn)行在 Windows Server 2003 和 Windows 2000 Server 上的域名系統(tǒng) (DNS) Server 服務(wù)有關(guān)的事件。此日志僅在運(yùn)行 Windows Server 2003 和 Windows 2000 Server 的 DNS 服務(wù)器上顯示。
所記錄事件的類型
事件查看器屏幕左側(cè)的圖標(biāo)描述了 Windows 操作系統(tǒng)對事件的分類。事件查看器顯示如下類型的事件：
• 錯誤：重大問題，例如數(shù)據(jù)丟失或功能損失。例如，如果服務(wù)在啟動期間無法加載，便會記錄一個錯誤。
• 警告：不一定重要的事件也能指出潛在的問題。例如，如果磁盤空間低，便會記錄一個警告。
• 信息：描述應(yīng)用程序、驅(qū)動程序或服務(wù)是否操作成功的事件。例如，如果網(wǎng)絡(luò)驅(qū)動程序成功加載，便會記錄一個信息事件。
• 成功審核：接受審核且取得成功的安全訪問嘗試。例如，用戶對系統(tǒng)的成功登錄嘗試將作為一個“成功審核”事件被記錄下來。
• 失敗審核：接受審核且未成功的安全訪問嘗試。例如，如果用戶試圖訪問網(wǎng)絡(luò)驅(qū)動器但未成功，該嘗試將作為“失敗審核”被記錄下來。
事件分析
主要的事件組件包括：
• 來源：記錄該事件的軟件，可以是應(yīng)用程序名稱（例如 Microsoft SQL Server），也可以是系統(tǒng)或大型應(yīng)用程序的組件（例如，作為 Microsoft Exchange 信息存儲服務(wù)的 MSExchangeIS）。
• 類別：根據(jù)事件來源對事件進(jìn)行的分類。例如，安全性類別包括了：登錄和注銷、策略更改、權(quán)限使用、系統(tǒng)事件、對象訪問、詳情跟蹤和帳戶管理。
• 事件 ID：用于標(biāo)識事件的每個來源的唯一編號。
• 用戶：在事件發(fā)生時處于登錄狀態(tài)并執(zhí)行工作的用戶的用戶名。N/A 表明該條目沒有指定某個用戶。
• 計算機(jī)：發(fā)生事件的計算機(jī)的計算機(jī)名。
• 描述：此字段包含事件的實際文本，以及記錄該事件的應(yīng)用程序?qū)λl(fā)生事件的解釋。
• 數(shù)據(jù)：顯示事件生成的二進(jìn)制數(shù)據(jù)，使用 16 進(jìn)制格式（字節(jié)）或 DWORDS（文本）格式。并不是所有事件都生成二進(jìn)制數(shù)據(jù)。熟悉源程序的程序員和支持人員可以理解此信息。
使用什么保存格式？
通常，您希望只使用“事件日志”(.evt) 格式。這時最容易閱讀和搜索的格式，因為可以使用服務(wù)器上的事件查看器打開它。
如果您想查看計算機(jī)上沒有安裝的服務(wù)產(chǎn)生的事件，例如群集服務(wù)或第三方服務(wù)，可以將日志保存為 .csv 格式。.csv 文件可以在 Microsoft Office Excel 中打開。
您最不希望的保存格式是 .txt 文件格式。文本文件是可搜索的，但是其中包含的信息十分混亂，因此非常容易漏掉重要事件。請僅在必要時才使用 .txt 格式。
如何知道它已成功打開？
• 下面是一個沒有正確顯示信息的事件示例。
事件類型：信息
事件來源：MSExchangeIS Private
事件類別：(30)
事件 ID：2003
日期：8/16/2001
時間：1:47:02 PM
用戶：N/A
計算機(jī)：SERVERNAME
描述：The description for Event ID ( 2003 ) in Source ( MSExchangeIS Private ) cannot be found.The local computer may not have the necessary registry information or message DLL files to display messages from a remote computer.The following information is part of the event:
• 下面是正確顯示的同一個事件。
事件類型：信息
事件來源：MSExchangeIS Private
事件類別：Transport Sending
事件 ID：2003
日期：8/16/2001
時間：1:47:02 PM
用戶：N/A
計算機(jī)：SERVERNAME
描述：There are no messages ready to send.The send thread is sleeping.
第一個事件示例中的事件指出，在計算機(jī)上打開它時沒有運(yùn)行 Exchange Server。第二個示例是同一個事件日志條目，指出在計算機(jī)上打開它時 Exchange Server 正在運(yùn)行。
如果您希望打開事件日志并正確查看事件描述，必須在安裝了這些應(yīng)用程序或服務(wù)的計算機(jī)上打開日志。如果需要顯示其他計算機(jī)上的第三方應(yīng)用程序所發(fā)生事件的事件日志，可能需要將日志保存為 .csv 格式來 查看這些事件的內(nèi)容。
您總是無法正確查看一些事件，例如第三方服務(wù)、硬件驅(qū)動程序、音頻可視化軟件以及備份軟件，但是如果您在 Exchange 服務(wù)器上打開了日志，您至少可以看到應(yīng)該出現(xiàn)的 Exchange Server 事件。
Windows Server 2003、Windows XP、Windows 2000 Server 和 Windows NT Server 4.0 所附帶事件查看器之間的差異
在事件查看器中，如果按下復(fù)制按鈕，事件中記錄的整個文本都將被復(fù)制到剪貼板。然后，可將此信息粘貼到需要它的任何地方。
在 Windows Server 2003 和 Windows XP 中，在打開日志時，可以指示事件查看器查找其他計算機(jī)上的注冊表項。例如，在運(yùn)行 Windows XP Professional 的計算機(jī)上，可為加載事件查看器創(chuàng)建附加快捷方式。每個快捷方式都指向其他計算機(jī)，一個指向 Exchange Server v5.5，另一個指向 Exchange 2000 Server，而第三個則指向群集服務(wù)，所以您可以在工作站計算機(jī)上打開關(guān)聯(lián)的事件日志。
您可以打開在 Windows Server 2003、Windows 2000 Server 和 Windows NT Server 4.0 上創(chuàng)建的事件日志。在幾乎所有情況下，所有事件都會正確出現(xiàn)。但在有時，Windows NT Server 4.0 事件在顯示時，有些地方會與 Windows Server 2003 或 Windows 2000 Server 完全不同。更多相關(guān)信息，請參見微軟知識庫文章 312216，“事件查看器 /AUXSOURCE 開關(guān)選項的詳細(xì)用法”
提示
以下章節(jié)提供了有助于排查 Exchange Server 問題的信息。
增加日志文件的大小
默認(rèn)情況下，日志文件的大小為 512 (KB)，如果希望查看數(shù)天內(nèi)的操作情況，這個容量是不夠的。在繁忙的應(yīng)用程序服務(wù)器上，在經(jīng)過幾次診斷日志記錄之后，512 KB 的容量在幾個小時之內(nèi)便會被填滿。請考慮增加日志文件的大小。大多數(shù)情況下，10 MB 或更高的日志文件大小足夠您存放數(shù)天的歷史信息。事件日志壓縮。90 MB 的應(yīng)用程序日志壓縮為 2 MB 的情況十分普通。
事件篩選
如果您想在日志中搜索某個特定的事件 ID，或者希望僅僅查看錯誤、警告或某個特定組件記錄的事件，那么可以使用篩選。在 Windows NT Server 4.0 上，請單擊視圖，然后單擊篩選事件。在 Windows Server 2003 或 Windows 2000 Server 上，請選擇要篩選的日志，然后單擊視圖，接著單擊篩選。在查看大型事件日志時，這時一個有用的功能。
搜索關(guān)鍵字
請考慮這樣的情況：您想在特定事件日志中搜索涉及某個特定用戶或服務(wù)器的所有事件。在事件查看器中，單擊視圖，然后單擊查找。在輸入要在任何事件的描述字段中查找的關(guān)鍵字，也可以搜索諸如事件 ID 或來源這樣的特定信息。
在 Windows XP 上使用新功能
如前所述，在 Windows Server 2003 和 Windows XP 中有一個新功能。您可以將事件查看器重新定向為查找其他計算機(jī)上的注冊表設(shè)置和 DLL。
這是一個省時的有用功能。它允許您從運(yùn)行 Windows XP 的計算機(jī)上查看任何應(yīng)用程序類型的事件日志，這些應(yīng)用程序可能安裝在環(huán)境中的任何服務(wù)器上。更多相關(guān)信息，請參見微軟知識庫文章 312216，“事件查看器 /AUXSOURCE 開關(guān)選項的詳細(xì)用法”
獲取可能需要的所有日志
大多數(shù)情況下，在排查 Exchange Server 故障時您應(yīng)檢查應(yīng)用程序日志。但是，對于 Exchange Server 2003 和 Exchange 2000 Server，您還應(yīng)該總是檢查系統(tǒng)日志，因為 Exchange、Active Directory 和 DNS 之間存在緊密聯(lián)系。請考慮同時獲取這兩個日志。檢查這兩個日志可能會發(fā)現(xiàn) Windows 操作系統(tǒng)級別的錯誤，這些錯誤解釋了 Exchange Server 的行為。
