Server 2008事件日志还原 [英] Server 2008 Event log restore

问题描述

After尝试了很多事情，我仍然无法成功恢复Server 2008 Beta 3中的Windows事件日志。基本问题是在恢复和重新启动后，事件日志服务将无法启动。尝试启动它会弹出一个错误对话框，错误代码为"5"并且访问被拒绝，但没有有意义的消息。如果我删除刚刚恢复的所有日志，则服务将启动。几乎看起来好像日志不是可读格式，但是，我可以单独将它们作为辅助日志导入（不替换原始日志）。

新的事件日志API为备份提供导出功能，但没有真正的导入或恢复支持。我尝试了各种各样的事情，例如在线恢复到就地名称，使用事件API来修改日志文件属性，但是遇到了锁定文件，只能通过当前使用的重置方法解决。我检查了新的Windows备份/还原行为的作用，它只是尝试在没有重新启动的情况下进行恢复，导致大多数失败的文件。那里帮助不大。

推荐答案

嗨Chris，



您可以尝试以下方法之一来查看它是否有效：



1.检查HKLM \ System \\的系统权限\\ CurrentControlSet \Services \eventlog
确保"Authenticated Users"有权限，如果不是
工作，请尝试授予"所有人"权限。

Hi Chris ,

You could try one of the following methods to see if it works :

1. Checked the permissions on HKLM\System\CurrentControlSet\Services\eventlog make sure "Authenticated Users" has permission and if that doesn't work try giving permission to "Everyone".

2。确保管理员/管理员对此
文件夹C：\ Windows \ System32 \winevt \日志或任何所需的文件夹/文件具有完全控制
权限。

2. Make sure Administrators/Administrator has Full Control permissions on this
folder C:\Windows\System32\winevt\logs or any required folder/file.

3.使用管理凭据打开命令提示符。右键单击命令

提示并选择"以管理员身份运行";选项。

3. Open a Command Prompt with Administrative Credentials. Right click command
prompt and choose the "Run As Administrator" option.

4.运行以下命令：

ICACLS C：\ Windows \ System32 \winevt\logs / grant

* S-1-5-80-880578595-1860270145-482643319-2788375705-1540778122：（F）

F - >完全控制

S-1-5-80-880578595-1860270145-482643319-2788375705-1540778122 - >任何2008服务器上的


组EventLog的SID在所有服务器上都是相同的。

4. Run the below command:
ICACLS C:\Windows\System32\winevt\logs /grant
*S-1-5-80-880578595-1860270145-482643319-2788375705-1540778122:(F)
F --> for Full Control
S-1-5-80-880578595-1860270145-482643319-2788375705-1540778122 --> SID of the
group EventLog on any 2008 server and is same on all servers.

请告诉我是否有帮助

谢谢

Anand Kumar R

Anand Kumar R

这篇关于Server 2008事件日志还原的文章就介绍到这了，希望我们推荐的答案对大家有所帮助，也希望大家多多支持IT屋！