С помощью следующей процедуры можно вручную сохранить события, зарегистрированные в журнале событий. Кроме того, некоторые политики сохранения могут сохранять события автоматически. При сохранении событий можно добавить сведения, позволяющие просматривать сохраненные события на других компьютерах и на других языках.
|
Чтобы экспортировать и сохранить журнал событий |
-
Откройте оснастку «Просмотр событий».
-
В дереве консоли выберите журнал, который требуется сохранить в файле.
-
В меню Действие выберите команду Сохранить события как.
-
В поле Имя файла введите имя файла, в котором будет сохранен журнал.
-
Выберите формат файла из списка Тип файла и нажмите кнопку Сохранить.
-
(Необязательно) Если журнал событий не предназначен для просмотра на другом компьютере, в диалоговом окне Отображать сведения примите заданный по умолчанию вариант Не отображать сведения.
-
(Необязательно) Если журнал событий предназначен для просмотра на другом компьютере, в диалоговом окне Отображать сведения выберите вариант Отображать сведения для следующих языков.
-
(Необязательно) Если журнал событий предназначен для просмотра на другом языке, установите флажок Показать все доступные языки.
-
(Необязательно) Установите флажки языков, для которых требуется добавить отображаемые сведения.
-
Нажмите кнопку ОК.
|
|
Чтобы экспортировать и сохранить журнал событий с помощью командной строки |
-
Чтобы открыть окно командной строки, нажмите кнопку Пуск, введите cmd в поле Начать поиск и нажмите клавишу ВВОД.
-
Чтобы экспортировать журнал в файл, введите следующую команду:
wevtutil epl <LogName> <FileName.evtx>
-
Чтобы сохранить журнал с отображением сведений, введите следующую команду:
wevtutil al <FileName.evtx> [/l:<LocaleString>]
Чтобы просмотреть полный синтаксис команды wevutil с параметром epl, введите в командной строке:
wevtutil epl /?
Чтобы просмотреть полный синтаксис команды wevutil с параметром epl, введите в командной строке:
wevtutil al /?
Дополнительные сведения
- Файл журнала, сохраненный в формате EVTX,
может быть открыт в оснастке «Просмотр событий».
- Сохранение журнала событий в файле не
приводит к удалению содержимого журнала.
- Порядок сортировки при сохранении журнала не
сохраняется.
- Если в журнале используется фильтр, в файле
будут сохранены только записи, удовлетворяющие условиям
фильтра.
- Для устранения неполадок, зарегистрированных
в журнале событий на удаленном компьютере, необходимо
экспортировать и сохранить журнал с отображением сведений.
Отображаемые сведения для сохраненных событий хранятся в папке
LocaleMetaData и при просмотре журнала на другом компьютере должны
быть перемещены вместе со сведениями журнала.