BitLocker olay günlükleri

  • Makale

Uygulama hedefi: Configuration Manager (güncel dalı)

BitLocker yönetim aracısı ve web hizmetleri, iletileri kaydetmek için Windows olay günlüklerini kullanır. Olay Görüntüleyicisi Uygulamalar ve Hizmet Günlükleri, Microsoft, Windows'a gidin. Günlük kanalı (düğüm) bilgisayara ve bileşene bağlı olarak değişir:

  • MBAM: İstemci bilgisayarda BitLocker yönetim aracısı
  • MBAM-Web:
    • Yönetim noktasında kurtarma hizmeti
    • Self servis portalı
    • Yönetim ve izleme web sitesi

Bu günlüklerdeki belirli iletiler hakkında daha fazla bilgi için aşağıdaki makalelere bakın:

Her düğümde varsayılan olarak iki günlük kanalı görürsünüz: Yönetici ve İşletimsel. Daha ayrıntılı sorun giderme bilgileri için analiz ve hata ayıklama günlüklerini de gösterebilirsiniz.

Günlük özellikleri

Windows Olay Görüntüleyicisi'da belirli bir günlük seçin. Örneğin, Yönetici. Eylem menüsüne gidin ve Özellikler'i seçin. Aşağıdaki ayarları yapılandırın:

  • En büyük günlük boyutu (KB): Varsayılan olarak, bu ayar tüm günlükler için (1 MB) olur 1028 .
  • Olay günlüğü boyutu üst sınırına ulaşıldığında: varsayılan olarak, Yönetici ve İşletim günlüklerigerektiğinde olayların üzerine yaz (önce en eski olaylar) olarak ayarlanır.

Analiz ve hata ayıklama günlükleri

Sorun giderme amacıyla daha ayrıntılı günlükleri etkinleştirebilirsiniz. Olay Görüntüleyicisi Görünüm menüsüne gidin ve Analiz ve Hata Ayıklama Günlüklerini Göster'i seçin. Artık günlük kanalına göz attığınızda iki günlük daha görürsünüz: Analiz ve Hata Ayıklama.

İpucu

Varsayılan olarak, bu günlükler aşağıdaki özelliklere sahiptir:

  • En büyük günlük boyutu (KB): 1028 (1 MB)
  • Olayların üzerine yazmayın (Günlükleri el ile temizleme)

Günlükleri metne aktarma

Özellikle analiz ve hata ayıklama günlükleriyle, tek bir metin dosyasındaki günlük girdilerini gözden geçirmeyi daha kolay bulabilirsiniz. Olay günlüğü girdilerini metin dosyalarına aktarmak için aşağıdaki PowerShell komutlarını kullanın:

# Out-String with a larger -Width does a better job compared to using Out-File with -Width. -Oldest is only required with debug/analytic logs.

# Debug log
Get-WinEvent -LogName Microsoft-Windows-MBAM/Debug -Oldest | Format-Table -AutoSize | Out-String -Width 4096 | Out-File C:\Temp\MBAM_Log_Debug.txt

# Analytic log
Get-WinEvent -LogName Microsoft-Windows-MBAM/Analytic -Oldest | Format-Table -AutoSize | Out-String -Width 4096 | Out-File C:\Temp\MBAM_Log_Analytic.txt

# Admin log
# The above command truncates the output from the admin log, this sample reformats the strings
Get-WinEvent -LogName Microsoft-Windows-MBAM/Admin |
    Select TimeCreated, LevelDisplayName, TaskDisplayName, @{n='Message';e={$_.Message.trim()}} |
    Format-Table -AutoSize -Wrap | Out-String -Width 4096 |
    Out-File -FilePath C:\Temp\MBAM_Log_Admin.txt