🪟 Windows Server: Кто ребутнул прод? Ищем виновного в два клика на PowerShell 🕵️‍♂️

Ты заходишь с утра в мониторинг, а аптайм у главного Контроллера Домена — 2 часа. Сервер ночью перезагрузился. Сразу возникает два вопроса: это был сбой питания, синий экран или чей-то шаловливый RDP-сеанс с кнопкой «Обновить и перезагрузить»?

Не нужно листать бесконечный Event Viewer глазами. Заставляем PowerShell найти ответы за пару секунд.

Техническая база:
Нам нужны два Event ID из журнала System:

* 1074 — Штатная перезагрузка/выключение (покажет пользователя и причину).
* 6008 — Неожиданное завершение работы (питание, BSOD, зависание).

Сниппет для расследования:

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1074, 6008} -MaxEvents 5 | 
Select-Object TimeCreated, Id, @{Name="Action";Expression={
    if ($_.Id -eq 1074) { "Штатный ребут/выключение. Детали: $($_.Message.Split("`n")[0..1] -join ' ')" }
    else { "КРИТИЧЕСКИЙ СБОЙ (Питание/BSOD)" }
}} | Format-List

Ты сразу увидишь точное время и, главное, логин того самого `Administrator` или `Ivanov_I`, который отправил сервер в ребут.

#windows #powershell #activedirectory #troubleshooting #sysadmin #eventviewer #admin_future