Encuentre quién reinició Windows Server Core: guía adicional
En esta publicación mostraré cómo encontrar al usuario que reinició Windows Server Core. Con Server Core será un poco complicado descubrir quién lo reinició. Pero te lo pondré fácil.
Algunas organizaciones prefieren utilizar Windows Server Core OS porque elimina servicios y características que no son esenciales para el soporte de ciertas funciones de servidor de uso común. Son numerosas las ventajas que ofrece un núcleo de Windows Server. Además, existen muchas diferencias entre un servidor con experiencia de escritorio y Server Core.
Llegando a la parte donde desea encontrar el usuario que reinició el núcleo de Windows Server, debe encontrar una manera de leer los registros desde el visor de eventos. El núcleo del servidor de Windows registra todos los eventos como lo hace un servidor normal, pero no puede iniciar el visor de eventos en el núcleo del servidor.
Hay algo llamado rastreador de eventos de apagado. Permite a los administradores rastrear por qué un usuario inició un apagado o reinicio. Sin embargo, con el núcleo de Windows Server, no obtiene el rastreador de eventos de apagado cuando reinicia el servidor.
De la lista de opciones de SCONFIG, la opción 13 permite reiniciar el núcleo de Windows Server. Al hacer clic en Sí, se reinicia el servidor sin mostrar ningún rastreador de eventos de apagado.
Entonces, ¿cómo se leen los registros del visor de eventos desde el núcleo de Windows Server? La respuesta es usar PowerShell. En una de mis publicaciones cubrí cómo encontrar quién reinició Windows Server. En esa publicación utilicé el ID de evento 1074 para encontrar al usuario que reinició el servidor de Windows. Usaremos el mismo ID de evento 1074 para encontrar quién reinició el núcleo del servidor de Windows.
En su Server Core, de forma predeterminada verá un símbolo del sistema. Escribe el comando PowerShell y con esto ya podrás ingresar los comandos de PowerShell.
Primero usaremos un comando simple para obtener la lista de registros en el Visor de eventos.
Get-EventLog -list
Encuentre quién reinició Windows Server Core
Para saber quién reinició el núcleo de Windows Server, filtraremos los registros del sistema con el ID de evento 1074 o filtraremos los registros con la Fuente como Usuario32. Ambos deberían dar como resultado el mismo resultado y puedes elegir cualquiera de ellos.
Ejecute el siguiente comando para filtrar los registros del sistema con fuente como Usuario32.
Get-EventLog -LogName System | Where Source -eq User32
También puede filtrar los registros del sistema con el ID de evento 1074 con el siguiente comando.
Get-EventLog -LogName System | Where EventID -eq 1074
Aunque ahora vemos que hay 4 registros que se filtran usando el ID de evento 1074 o la fuente como Usuario32 pero no se pueden leer porque el texto del mensaje está truncado. El mensaje de lista de formatos viene a ayudar aquí.
Si desea encontrar al usuario que reinició el núcleo de Windows Server, aquí está el comando final.
Get-EventLog -LogName System | Where EventID -eq 1074 | Format-List Message
Conéctese al Visor de eventos en Windows Server Core
¿Qué tal iniciar el visor de eventos y conectarlo a una computadora remota, es decir, al núcleo de Windows Server? Sí, eso también funcionará y luego podrá filtrar los registros de eventos con el ID de evento 1074 y encontrar el usuario que reinició Server Core.
Una cosa que debe tener en cuenta es que, de forma predeterminada, el firewall en el núcleo del servidor está ACTIVADO. Por lo tanto, no le permitirá conectarse al visor de eventos. Entonces debes encargarte de eso primero.
Para conectarse al Visor de eventos en Windows Server Core, inicie el visor de eventos en un servidor miembro. Haga clic derecho en Visor de eventos (local) y seleccione Conectar a otra computadora.
En el cuadro Seleccionar computadora, ingrese el nombre de la computadora Server Core y haga clic en Aceptar.
Ahora se ha conectado correctamente al visor de eventos en el núcleo del servidor. Seleccione los registros del sistema y filtre el registro actual con ID de evento 1074. Ahora puede encontrar al usuario que reinició su núcleo de Windows Server.
