Windows 任务调度程序 Winlogon 事件 - 注销不够(?)

Question

我创建了一个 powershell 脚本，希望在每次注销/重启/关机时运行它。

为了触发，我设置了一个自定义事件：日志：系统、来源：Winlogon、事件 ID：7002。我在互联网上的某个地方找到了上述事件 ID - 它代表注销（据我所知）。

问题是，只有当我按下“注销”按钮时，它才起作用。当我想关闭或重新启动 PC 时，它不起作用。

它真的能工作吗？如果不行，我在哪里可以找到其他事件 ID？我该如何查找它们？（我的意思是它们的名字是什么？）

Answer 1

您应该添加事件 ID：

• 6005
• 6006
• 1074
• 4634
• 4647

这些反映了各种登录/注销场景和关机情况。

参考：

• 关机事件跟踪器的描述
• 审计注销

Answer 2

我不会告诉你我猜测可能发生的事件，而是告诉你如何自己发现这些事件：

您可以通过检查您的事件查看器通过控制面板。它将显示他们的姓名和事件 ID 号。

登录/注销事件显示在“安全”日志中的“Windows 事件”文件夹下。

如果有任何您没有注意到的事件，您现在就可以知道它们是什么！