Problème avec Shutdown event tracker
 

Bonjour a tous,

Un de mes serveurs TS(2003 server) à fermé soudainement hier durant la journée. J'ai voulu savoir qui et pourquoi il avait fermé comme ça. Je suis donc allé voir dans le event viewer et il n'y avais rien d'annormal. Quand on fait un shutdown sur un 2003 server il faut entré un raison dans le Shutdown event tracker, j'ai donc voullu voir si il y avais un log de ca. J'ai fouillé sur internet et j'ai vu sur un site qu'il y avait un log dans C:\windows\system32\logfiles\shutdown, mais ce répertoire est vide.... Ensuite j'ai été dans gpedit.msc\computer\administrative template\system j'ai mis les 2 paramètres a Enable (Je pensais que c'etais activé par default). J'ai fait quelques test et aucun log ce créé.... Ma question est: Comment savoir qui a fermer ce serveur et pouquoi et pourquoi le Shutdown event tracker ne fonctione pas ou que je ne sais pas m'en servir.

Merci a l'avance

Salut seul les utilisateurs avec pouvoir et les admins peuvent redémarrer ou éteindre un serveur en TS donc la première chose à faire est de modifier les stratégies de groupe du serveur pour interdire le redémarrage du serveur via un compte utilisateur avec pouvoir ce qui évitera par la suite d'avoir ce genre de surprise. Ensuite je pense que le log ne se cré que si la personne qui a demandé l'arrêt ou le redémarrage du système a saisie quelques chose dans le cadre prévu à cette effet lors de l'écran de fermeture (à vérifier car je n'en suis pas certain... je ne redémarre pas souvent :D).

Bonjour Werner,
J'ai environ 40 personne qui travaill sur ce serveur. Ils sont tous dans une gpo très restreinte...(donc ne peuvent pas fermé le serveur) Il y a 6 personne qui font du support sur ce serveur et qui ont full acces pour certaines raison. Ce que je voudrais savoir c'est comment activé ce log ou un autre moyen pour savoir qui et pourquoi le serveur a t'il été fermé.

Re salut je n'ai pas trouvé le moyen d'activer le log qui doit normalement être au format XML d'après mes recherches. Le petit texte qui est saisi lors d'un redémarrage par exemple s'affiche uniquement dans l'observateur d'événements -> system -> avec comme source du message USER32. Je n'ai pas plus d'infos désolé.

Tanks werner j'ai reussi a retrancer la personne grace a l'event viewer, pourtant je pensais avoir bien vérifié le log system entk bref merci beaucoup