談?wù)凷erverCore版本的日志管理
Windows Server 2008 RTM 已經(jīng)有很長一段時(shí)間了，在這一版本的服務(wù)器中，有一個(gè)很大的改進(jìn)（或稱“倒退”）就是Windows Server Core，這一模式是一個(gè)全新的命令行模式，這結(jié)束了Windows只能和GUI一同安裝的歷史，我們現(xiàn)在可以通過一個(gè)沒有Window的Windows為網(wǎng)絡(luò)提供服務(wù)。那么為什么要安裝服務(wù)器核心版本呢？
Windows Server 2008 的服務(wù)器核心安裝選項(xiàng)提供以下優(yōu)點(diǎn)：
減少維護(hù)工作量。由于服務(wù)器核心安裝選項(xiàng)僅安裝擁有一臺(tái)可管理的服務(wù)器（支持 AD DS、AD LDS、DHCP 服務(wù)器、DNS 服務(wù)器、文件服務(wù)、打印服務(wù)和流媒體服務(wù)角色）所必需的內(nèi)容，因此相對(duì)于完全安裝 Windows Server 2008，所需的維護(hù)工作較少。
減小受攻擊面。因?yàn)榉?wù)器核心安裝是最小安裝，所以服務(wù)器上運(yùn)行的應(yīng)用程序較少，從而可減小受攻擊面。
減少管理工作量。因?yàn)檫\(yùn)行服務(wù)器核心安裝的服務(wù)器上安裝的應(yīng)用程序和服務(wù)較少，所以需要管理的內(nèi)容較少。
需要更少的磁盤空間。服務(wù)器核心安裝僅需要大約 1GB 磁盤空間即可進(jìn)行安裝，安裝完成后，那么，服務(wù)器核心的安裝之后有多大呢？?jī)H需要大約 2 GB 磁盤空間即可運(yùn)行。
服務(wù)器核心安裝選項(xiàng)（Server Core）是可用于安裝 Windows Server 2008 的新增選項(xiàng)。它將GUI的所有組件去掉，包括一些DLL和認(rèn)為不必要的運(yùn)行環(huán)境，這大大精簡(jiǎn)了Windows Server操作系統(tǒng)，在操作和管理方面則提供了CLI的界面。服務(wù)器核心安裝為運(yùn)行特定服務(wù)器角色提供最小安裝環(huán)境，這降低了維護(hù)和管理要求，并減小了這些服務(wù)器角色的受攻擊面。一句話概括Windows Server Core的特點(diǎn)就是更安全、更小、更節(jié)省。有多小呢？只需要512M內(nèi)存和2G左右磁盤空間就足夠了。Windows Server 2008 R2完全架構(gòu)于64位，但其Server Core可以通過Windows on Windows（WOW）功能支持32位的應(yīng)用程序，如果用戶還需要運(yùn)行32位程序的話，這個(gè)功能還是比較有用。 Server Core就是微軟用命令行模式代替了圖形界面，并且只有少數(shù)應(yīng)用可以安裝。Server Core安裝完成后，我們首次登錄后僅僅可以看到一個(gè)命令行窗口，看不到菜單、任務(wù)欄等GUI，服務(wù)器驅(qū)動(dòng)的安裝、TCP/IP設(shè)置、服務(wù)器角色的安裝管理等操作均需要通過命令行來進(jìn)行設(shè)置。 Server Core的常見部署主要應(yīng)用做基礎(chǔ)構(gòu)架服務(wù)器，如DNS、DHCP、IIS等，或者作為分支機(jī)構(gòu)的只讀域控制器，除此之外，還可以作為Windows虛擬化宿主系統(tǒng)，可以運(yùn)行微軟虛擬化平臺(tái)Hyper-V。在Server Core中我們安裝的是所需的服務(wù)器角色和特征，其他的角色默認(rèn)是不安裝的，這樣對(duì)于管理員來說可以專著于某一個(gè)應(yīng)用，提高了工作效率，也降低了后期IT管理費(fèi)用，總體降低了企業(yè)TCO成本。 Windows的圖形界面雖然大大簡(jiǎn)化了操作，但是多個(gè)GUI也增加了出現(xiàn)漏洞的可能。Server Core中僅提供了系統(tǒng)更改時(shí)間等少數(shù)GUI，Windows中常見的GUI、Shell、IE、OE、Media等在Server Core中都被取消，這樣就使服務(wù)器的攻擊表面大大減少，提高了服務(wù)器的安全性。 由于Server Core是一個(gè)最小的系統(tǒng)安裝選項(xiàng)，安裝的角色和特性降到了最低，省略了GUI，安裝角色也不需要重啟，這樣就提高了系統(tǒng)的可用性，使系統(tǒng)工作更加穩(wěn)定。 Server Core去掉了Windows的外殼，也沒有安裝不必要的功能，所以使空間占用大大降低，Server Core安裝成功后大概占用1GB的磁盤空間，隨著應(yīng)用的安裝還需要大概2GB的空間，這比Windows Server 2008的磁盤占用要少得多。在Windows中我們需要經(jīng)常安裝各種補(bǔ)丁，對(duì)于不同組件需要安裝不同的補(bǔ)丁。在Server Core中由于只具備少數(shù)組件，我們免去了安裝大量補(bǔ)丁的麻煩。.NET Framework的部分功能在2008 R2 Server Core得到支持，包括：.NET 2/3/3.5的子集和ASP.NET。另外，PowerShell也在Server Core上可用。IIS7在Server Core上缺少的功能僅僅是本地的管理GUI，可以通過遠(yuǎn)程進(jìn)行管理 。
安裝好的Server Core支持以下角色：
.NET Framework 2.0, 3.0, 和3.5 子集, 包括WCF, WF和LINQ PowerShell 2.0
通過WoW64 支持32位應(yīng)用程序
支持ASP.NET的IIS 7.5
文件服務(wù)器資源管理器(FSRM)
證書服務(wù)
呵呵，還記得在08Core版本中經(jīng)典的命令行工具OCLIST，OCSETUP嗎？它們?cè)谛掳姹局幸灿辛死^任者DISM，DISM既可以完成查看Role,Role Serivce,Feature的功能又可以去激活它們。
dism /online /get-features /format:table | findstr /ilc:”enabled”
dism /online /get-featureinfo /featurename:xxxxx
dism /online /enable-feature /featurename:xxxxx
Core版本的概述之后我們言歸正傳，EventLog作為最常用的排錯(cuò)手段，倍受專業(yè)工程師的關(guān)注。針對(duì)EventLog , Full Install 的版本基本上沒什么可討論的，但是ServerCore版本的特殊性決定了查看EventLog并非像Full Install 版本那樣容易，所以歸納了以下三種查看ServerCore版本日志的方法，不足之處還請(qǐng)各位大俠們指正。
1. MMC Snapin
通過MMC插件遠(yuǎn)程的去查看ServerCore版本計(jì)算機(jī)上的日志，但需要注意的是防火墻跟權(quán)限的相關(guān)設(shè)定問題。
Core:
netsh advfirewall show currentprofile
netsh advfirewall set currentprofile settings remotemanagement enable
Win7:
cmdkey /add:servercore /user:itinfo\administrator /pass
mmc %windir%\system32\wf.msc
或者使用 runas
runas /user:itinfo\administrator /env /netonly "mmc %windir%\system32\wf.msc"
在打開高級(jí)防火墻策略之后,就可以使用Event Viewer遠(yuǎn)程連接到ServerCore啦！當(dāng)然此方法可以簡(jiǎn)化為直接在servercore中配置高級(jí)防火墻策略允許EventViewer遠(yuǎn)程連接，命令如下。
netsh advfirewall firewall set rule group="remote event log management" new enable=yes
注：ServerCore的簡(jiǎn)體中文版使用起來很不方便因?yàn)橐?guī)則都是用中文命名的，個(gè)人感覺不如E文好記
2. Core 版本自帶的命令行工具--Wevtutil.exe
wevtutil el ---- 枚舉Log的名稱
wevtutil qe system /rd:true /c:10 /f:text --- 以文本格式先看10條（哇，真的很累）
wevtutil qe system /rd:true /c:10 /f:text /q *[System[(EventID=1)]] ----枚舉system log中所有error的條目（強(qiáng)大篩選器能起到事半功倍的效果）。
wevtutil qe system /rd:true /c:10 /f:text /q *[System[(EventID=1 or EventID=2)]] ----查看system log中error跟warning的條目。
Wevtutil qe system /rd:true /c:10 /f:text /q *[System[(EventID>1000 and EventID<1200)]] ---- 查看EventID在1000跟1200之間的條目。
wevtutil epl system c:\system0409.evtx --- 還是導(dǎo)出來看吧，方便點(diǎn)哦！
3. 叫做WEC （Windows Eventlog Collection）
ServerCore:winrm quickconfig
Win7 :wecutil qc 再通過命令 sc query wecsvc的狀態(tài)是否是running
在創(chuàng)建subscription之后，默認(rèn)會(huì)在forwarding中看到轉(zhuǎn)發(fā)的事件。
ServerCore: 隨便創(chuàng)建一個(gè)事件看看是否同步
eventcreate /t error /id 521 /l system /d "test test test" /so MyApp
靈活的使用以上三種方法，相信能夠應(yīng)付基于ServerCore的很多使用場(chǎng)景。
文章同時(shí)發(fā)表在我的博客上原文鏈接: http://powershell1981.spaces.live.com/blog/cns!F169F1E4D21808AD!175.entry
【編輯推薦】
