今天我到了一个客户的办公室，Hyper V 服务器已经关闭。在 Windows 事件日志中注册管理员用户已发送关闭命令。我不是唯一可以访问该用户的人。
当请求此命令时，如何从管理员用户登录的 IP 中找出（我需要查找什么事件 ID）？
谢谢。
AskOverflow.Dev
今天我到了一个客户的办公室，Hyper V 服务器已经关闭。在 Windows 事件日志中注册管理员用户已发送关闭命令。我不是唯一可以访问该用户的人。
当请求此命令时，如何从管理员用户登录的 IP 中找出（我需要查找什么事件 ID）？
谢谢。
如果我理解正确，您的问题是“如何找到建立 RDP 连接的 IP？”。
您可以在事件查看器中查看以下日志：
Application and Services Logs->Microsoft->Windows->Terminal Services-LocalSessionManager->Operational，此日志中的事件 ID 21应该是您要查找的内容。但是有多种关闭 Windows 的方法...查看
System事件日志，源中的事件 ID 1074User32，它应该为您提供有关谁/什么启动了关闭的更多详细信息。另一个要查找的事件是事件 ID 4624，登录类型为 10（远程桌面），有关更多信息，请参阅此链接：https ://system32.eventsentry.com/security/event/4624 。
手动查找可能有点乏味，因此如果您不使用日志记录解决方案（您可能应该这样做），您可能需要为事件查看器设置 XML 查询。一些日志监控解决方案将解析登录和关闭事件，并可以将它们呈现在易于使用的报告中。例如，您还可以在关键服务器关闭或重新启动时收到电子邮件。