我用 Windows Media Player 听音乐，音乐时不时地随机停止播放，这让我很抓狂。我终于注意到，这与 csrss、winlogon 和 logonui 反复启动和退出的情况有关。
我终于追踪到了那由于 WebDAV 请求通过我的用户帐户（我的笔记本电脑通过 WebDAV 与 OneNote 同步），导致 IIS 反复登录和注销。我在我的安全事件日志中看到大量有关登录的垃圾邮件。
我很惊讶 IIS 需要这么多次登录。这种情况才发生几个月。我不确定实际问题出在哪里 - IIS、Media Player 还是其他什么，所以我想我会尝试找出 IIS 登录行为是否真的不正常。
IIS 登录这么多是否正常？每隔一秒左右不断生成 winlogon、csrss 和 logonui 是否正常？我每隔几秒钟就会在事件日志中看到一连串的登录事件，大概是在 OneNote 同步时。登录（id = 1，源 = 笔记本电脑）、特殊登录（id = 1，设置权限）、特殊登录（id = 1，似乎设置了相同的权限）、登录（id = 2，相同的笔记本电脑）、注销（id = 2）、注销（id = 1）
DefaultAppPool（显然只有一个正在使用）的空闲超时设置为 20 分钟，并将加载用户配置文件设置为 false。不确定还有哪些其他设置（如果有）可能相关。
答案1
您描述的设置在我看来非常不寻常。而问“这么多”是没有用的，因为您没有提供频率信息，也没有提供有多少请求的信息。所以我需要对这个问题进行心理分析；请耐心听我说。
第一个问题：为什么不直接通过 SMB 同步 OneNote？（即常规的 Windows 共享）。（实际上，如果你想要真正地了解一下，我发现 SkyDrive 是 OneNote 与最新 OneNote 更新同步的一个非常好的解决方案，加你会得到一份基于网络的可编辑笔记本副本，加OneNote 基本上可以在任何设备上与其同步（IOS、WP7 等）
下一个问题：默认情况下，如果应用程序池闲置 20 分钟，它们就会停止。尝试关闭此功能，您可能会发现应用程序池不必一直重新启动桌面实例，这会将暂停次数减少到每次尝试一次。
最后一点：我想对第二部分（Winlogon 和 Logonui？真的吗？为网络用户提供的新桌面会话？）说不，但老实说，我并不确定 - 这可能是由于选择使用用户帐户来托管网站，或者在应用程序池属性中启用了加载用户配置文件。
您可以通过切换该设置（或关闭应用程序池上的空闲超时，这会使其无限期运行*）、使用其他用户帐户或不使用 WebDAV 来缓解此问题。
-* 在默认设置下强制回收应用程序池时持续 29 小时
答案2
实际上，这似乎是针对远程桌面的暴力破解尝试，例如服务器上打开的 winlogon.exe、LogonUI.exe、csrss.exe 过多？。我重新定位了我的 RDP 端口并且它停止了。