Windows7日志的上限及覆蓋原則解析

　　如上圖，這就是Windows7日志文件的管理界面。在Windows7操作系統(tǒng)中，可以針對每個(gè)日志文件來定義上面這些設(shè)置。由于操作系統(tǒng)中的日志文件比較多，而且每個(gè)日志文件專門記錄某部分內(nèi)容。為此其重要性、記錄容量等等都是不同的。為此作為系統(tǒng)管理員，就需要了解每個(gè)日志文件的內(nèi)容、重要性等等，然后根據(jù)這些情況來確定上面這些控制因素。對于單機(jī)操作系統(tǒng)來說，其日志文件往往是保存在系統(tǒng)盤中。所以日志文件不能夠占用太多的空間，否則的話會(huì)影響到操作系統(tǒng)的運(yùn)行性能。

　　一、日志文件的上限設(shè)置。

　　系統(tǒng)管理員可以分別為每個(gè)日志文件設(shè)置其最大占用的硬盤空間。設(shè)置的方法很簡單，只需要選擇對應(yīng)的日志文件，然后點(diǎn)擊右鍵，然后選擇屬性，就會(huì)彈出上面這個(gè)對話框。然后就可以看到一個(gè)選項(xiàng)，叫做日志最大大小。在后面的文本框中可以輸入日志文件的最大限制。在設(shè)置這個(gè)上限的時(shí)候，主要需要注意兩個(gè)方面的內(nèi)容。

　　首先，這里輸入的數(shù)字必須是64的倍數(shù)。如上面輸入的20480，其就是64的320倍。如果我們在這里輸入的數(shù)字不是64的倍數(shù)，如輸入為20481，系統(tǒng)就會(huì)提示錯(cuò)誤信息：“日志大小值的增量必須為64KB，并且必須大于零。日志大小將設(shè)置為64KB的最小倍數(shù)”。按確定以后，這個(gè)值就會(huì)自動(dòng)更改為最接近這個(gè)64倍數(shù)值。如筆者輸入20416然后按確定，這個(gè)值就會(huì)自動(dòng)變?yōu)?0416。這個(gè)限制條件系統(tǒng)管理員需要引起一定的關(guān)注。

　　其次，日志文件并不是越大越好。雖然說日志文件大的話，可以記錄全部的事件信息。但是，其也會(huì)給以后的閱讀帶來麻煩。在大量記錄中查找所需要的內(nèi)容，并不是一件容易的事情。而且日志占用太多的系統(tǒng)盤空間，也會(huì)影響操作系統(tǒng)的性能。為此對于這個(gè)日志空間的大小，要進(jìn)行合理的限制。不過這個(gè)到底多少合適，也沒有一個(gè)統(tǒng)一的標(biāo)準(zhǔn)。往往需要系統(tǒng)管理員根據(jù)自己的經(jīng)驗(yàn)，并結(jié)合在操作系統(tǒng)上部署的具體應(yīng)用，來確定該把這個(gè)日志文件大小設(shè)置為多少合適。不過總的來說，日志空間在系統(tǒng)盤上占用的空間，最好不要超過5%。
　二、日志文件達(dá)到限值時(shí)的處理方式。

　　在上面這個(gè)窗口中，在定義了日志文件的限值后，還需要同時(shí)定義如果達(dá)到這個(gè)限值的話，該如何處理。在Windows7操作系統(tǒng)中這里有三個(gè)選項(xiàng)。其選項(xiàng)的種類跟2003操作系統(tǒng)是相同的。但是其在一些選項(xiàng)的設(shè)置上跟2003有所不同。

　　一是按需要覆蓋事件(舊事件優(yōu)先)。也就是說，當(dāng)日志文件達(dá)到上限時(shí)，會(huì)把一些舊的日志文件記錄刪除掉，以存儲(chǔ)新的日志信息。這個(gè)選項(xiàng)跟2003操作系統(tǒng)類似。不過這里需要注意的是，如果選擇這個(gè)選項(xiàng)的話，那么對于日志空間的大小需要特別的注意。如在Windows7 中有一個(gè)防火墻日志，如果系統(tǒng)啟用了防火墻，而且這臺(tái)操作系統(tǒng)網(wǎng)絡(luò)通信比較頻繁的話，那么這個(gè)日志空間的上限就需要設(shè)置的大一點(diǎn)。否則的話，當(dāng)系統(tǒng)遇到故障時(shí)，可能無法查到一些有用的信息，因?yàn)檫@些信息已經(jīng)被覆蓋掉了。

　　二是不覆蓋事件。當(dāng)日志文件達(dá)到上限值之后，系統(tǒng)不會(huì)繼續(xù)記錄新的事件信息。需要系統(tǒng)管理員手工清楚日志文件后，系統(tǒng)才會(huì)記錄記錄日志信息。顯然這不是很好的處理方式。除非有特殊的需要，最好不要選擇這個(gè)選項(xiàng)。

　　三是日志滿時(shí)將其存檔，不覆蓋事件。這個(gè)選項(xiàng)是2003操作系統(tǒng)中沒有的，在Windows7操作系統(tǒng)中新增加的選項(xiàng)。筆者個(gè)人認(rèn)為，這個(gè)選項(xiàng)非常實(shí)用。對于一些穩(wěn)定性要求比較高檔服務(wù)器，對一年甚至更長時(shí)間的日志進(jìn)行存檔是必須的。如一些文件訪問的審核日志等等。如果選擇了這個(gè)選項(xiàng)，那么到日志文件的大小達(dá)到上限時(shí)，操作系統(tǒng)不會(huì)覆蓋原有的日志記錄。而是先把舊的日志記錄進(jìn)行存檔，然后再利用新的日志信息來覆蓋舊的日志信息。此時(shí)如果系統(tǒng)管理員需要查看比較舊的日志信息，如去年這個(gè)時(shí)候的日志，那么就可以去查看相關(guān)的歸檔文件，這確實(shí)是Windows7種一個(gè)很有吸引力的改進(jìn)。

　　不過Windos7種刪除了2003操作系統(tǒng)中的某個(gè)選項(xiàng)，即“覆蓋事件超過多少天的事件”。如我們可以把這個(gè)事件設(shè)置為30。則當(dāng)日志文件滿了時(shí)，系統(tǒng)會(huì)自動(dòng)把30天以前的記錄空間釋放出來，以方便存儲(chǔ)新的記錄信息。其實(shí)這個(gè)選項(xiàng)雖然有一些不足的地方，如當(dāng)日志空間滿了時(shí)但是還沒有達(dá)到這個(gè)天數(shù)的日志信息，此時(shí)該如何處理?不過在某些應(yīng)用場合，這個(gè)選項(xiàng)還是比較有用的。如在一臺(tái)專門的日志服務(wù)器中記錄日志文件的話，此時(shí)由于日志文件的空間大小不怎么受限制(至少?zèng)]有在本機(jī)上保存日志文件那么多的限制)，為此這個(gè)選項(xiàng)就非常的有用。其在限制最大空間的同時(shí)，可以保障日志信息能夠保留一段時(shí)間，如最少30天等等。筆者想不通，為什么微軟操作系統(tǒng)的專家會(huì)把這個(gè)選項(xiàng)去除掉。
三、部署完操作系統(tǒng)后要及時(shí)的清空日志。

　　有時(shí)候，給用戶部署好操作系統(tǒng)后，如果有必要的話，最好手工把日志文件清空掉。右鍵點(diǎn)擊相關(guān)日志，然后選擇屬性。在打開對話框中，有一個(gè)“清除日志”的按鈕。系統(tǒng)管理員只需要點(diǎn)一下這個(gè)按鈕，系統(tǒng)就會(huì)自動(dòng)清除相關(guān)的日志文件。

　　這主要是因?yàn)樵诓渴鹜瓴僮飨到y(tǒng)后，由于測試等需要，會(huì)在短時(shí)間內(nèi)產(chǎn)生比較多的日志記錄。而且這些日志信息也不能夠反映企業(yè)應(yīng)用的實(shí)際情況。如果把它們放在那邊的話，反而會(huì)給以后的工作帶來誤導(dǎo)。為此，筆者認(rèn)為比較理想的方法就是，系統(tǒng)管理員先對這些日志文件進(jìn)行備份。然后再清空日志文件。當(dāng)把這個(gè)操作系統(tǒng)交給企業(yè)用戶使用的時(shí)候，就是一個(gè)比較干凈的部署好相關(guān)應(yīng)用的操作系統(tǒng)。那么以后需要閱讀相關(guān)日志的時(shí)候，由于原先的測試時(shí)的一些事件日志沒有在日志中體現(xiàn)出來，這對于系統(tǒng)管理員閱讀日志、解決系統(tǒng)與服務(wù)故障是非常有幫助的。

　　最后，系統(tǒng)管理員需要注意Windows7與2003在日志覆蓋上的一個(gè)不同。筆者認(rèn)為，如果企業(yè)部署Windows7操作系統(tǒng)的話，可以選擇“日志滿時(shí)歸檔，不覆蓋日志”這個(gè)選項(xiàng)。這個(gè)選項(xiàng)相比其他選項(xiàng)來說，日志文件相對完整一些。而且在閱讀的時(shí)候，其保存的也是最新的日志信息，故也不會(huì)帶來多到的閱讀障礙。而且還可以查看歸檔日志來獲得以前的一些日志信息。