Pour résoudre les problèmes de serveur, vous pouvez associer le journal IIS au journal de la visionneuse d'événements via les champs horodato et contextuels. 1. Assurez-vous que les formats temporels des deux sont cohérents et utilisent les deux du temps local pour la comparaison; 2. Utilisez des horodatages, IP client, nom d'utilisateur, code d'état, identifiant d'événement et autres champs clés pour établir des associations; 3. Utilisez Log Parser Studio, Elk Stack, Splunk ou PowerShell Scripts pour améliorer l'efficacité de l'analyse; 4. Dans les scénarios réels, il peut être utilisé pour résoudre les problèmes tels que les erreurs d'accès aux utilisateurs, les codes d'état 500 et les défaillances d'authentification, et localiser rapidement la cause profonde du problème en combinant des informations de temps et de contexte.

La corrélation des journaux IIS et des journaux de la visionneuse d'événements est utile lors du dépannage des problèmes de serveur, en particulier lorsque vous souhaitez localiser des informations de temps et de contexte spécifiques lorsqu'une demande ou erreur se produit. La clé est de trouver la correspondance entre les horodatages et l'identification des événements.

1. Confirmez que le format horodat est cohérent

Les formats de temps par défaut des journaux IIS et des spectateurs d'événements peuvent être différents, et la première étape consiste à s'assurer qu'ils utilisent tous deux le même fuseau horaire et formats de temps.

• IIS Time du journal : Habituellement, l'heure locale du serveur est enregistrée, le format est similaire à 2024-03-15 10:23:45
• Temps de la visionneuse d'événements : l'heure locale s'affiche par défaut, mais un horodatage plus détaillé peut être vu dans les propriétés de l'événement

Conseils: vous pouvez activer le "champ Date Heure" dans le journal IIS et définir la vue "Détails" dans la visionneuse de l'événement, afin que vous puissiez comparer le temps plus précisément.

2. Trouver des champs de mots clés associés

Bien que le contenu des journaux IIS et de la journalisation des événements soit différents, il existe plusieurs champs clés qui peuvent être utilisés comme ponts:

• Timestamp : le moyen le plus direct d'associer, il est recommandé d'être exact en secondes
• Adresse IP du client (C-IP) : peut être utilisée pour suivre les demandes des utilisateurs spécifiques
• Nom d'utilisateur : lorsque l'authentification Windows est activée, vous pouvez faire correspondre les utilisateurs spécifiques
• Code d'état (SC-Status) : Si l'erreur 500 est erronée, vous pouvez trouver des événements d'erreur dans le journal des événements dans le journal des événements.
• ID d'événement : Par exemple, l'erreur 500 qui se produit dans IIS peut avoir l'ID d'événement correspondant 1000 ou 1010 dans le journal système.

3. Utilisez des outils pour aider en association

La comparaison manuelle des journaux est inefficace et il est recommandé d'utiliser les outils suivants pour l'analyse centralisée:

• Log Parser Studio : l'outil gratuit de Microsoft, prend en charge les journaux de requête de style SQL et peut importer des journaux d'événements à titre de comparaison
• Elk Stack (Elasticsearch Logstash Kibana) : Convient à la gestion centralisée à long terme des journaux et les associations visuelles sont plus intuitives
• Splunk : outil commercial, puissant, adapté à l'analyse du journal au niveau de l'entreprise
• Script PowerShell : vous pouvez écrire un script simple pour extraire les journaux IIS et les journaux d'événements et les fusionner pour afficher par le temps

Par exemple, vous pouvez utiliser un analyseur de journal pour écrire une requête comme ceci:

 Sélectionnez To_timestamp (date, heure) comme horodatage, CS-Uri-STEM, SC-Status
De Ex240315.Log
Où sc-status> = 500

Filtrez ensuite le "journal système" ou le "journal des applications" pour la même période dans la visionneuse d'événements pour voir si des événements anormaux se sont produits.

4. Scénarios communs dans une enquête réelle

Voici quelques scénarios que vous pouvez utiliser:

• Un utilisateur a signalé une erreur d'accès : vérifiez l'heure IP dans le journal IIS, puis vérifiez s'il existe des événements d'erreur correspondants dans le journal des événements.
• 500 erreurs se sont produites dans IIS : Vérifiez s'il y a des erreurs liées à l'IIS ou ASP.NET (telles que l'ID d'événement 1000)
• échec de l'authentification : voir le code d'état 401 dans le journal IIS. Vous pouvez trouver l'événement défaillant de connexion dans le journal de sécurité dans le journal des événements.

Fondamentalement, c'est tout. Le noyau de l'IIS et du journal des événements est le "champ de contexte temporel". Si vous utilisez bien ces informations, vous pouvez résoudre les problèmes beaucoup plus rapidement. Les outils peuvent vous faire gagner du temps, mais la compréhension de la structure du journal et du contenu est la clé.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!