可通过重定向事件日志存储路径解决Windows 11系统日志持续写入C盘问题，方法包括：一、注册表修改默认日志路径；二、符号链接重映射日志目录；三、组策略配置日志路径；四、禁用非必要日志并调整存档策略。

如果您发现 Windows 11 中系统日志持续写入 C 盘（如 C:\Windows\System32\winevt\Logs），导致系统盘频繁读写、I/O 压力升高或 SSD 寿命隐忧，则可通过重定向事件日志存储路径，将日志文件物理位置迁移至其他磁盘。以下是解决此问题的步骤：

一、通过注册表修改默认日志路径

该方法直接更改 Windows 事件日志服务（EventLog）的全局日志文件存储根目录，所有新创建的日志文件（.evtx）将写入指定非系统盘路径，无需停用服务，但需管理员权限并谨慎操作。

1、按下 Win + R，输入 regedit 并回车，以管理员身份运行注册表编辑器。

2、导航至以下路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog。

3、在右侧空白处右键 → 新建 → DWORD (32 位) 值，命名为 FileMaxSize（可选，用于限制单个日志最大尺寸，单位为 KB，例如设为 102400 表示 100MB）。

4、在 EventLog 项下，右键 → 新建 → 项，命名为 CustomLogPath（仅作标识，不生效）。

5、**关键步骤**：依次展开子项（如 Application、Security、System 等），对每个子项，在其右侧双击默认值（未命名的字符串值），将原路径（如 %systemroot%\System32\winevt\Logs\Application.evtx）替换为新路径，例如：D:\WindowsLogs\Application.evtx；注意保留文件名与 .evtx 扩展名不变，仅修改盘符与文件夹层级。

6、确保 D:\WindowsLogs 文件夹已手动创建，且 SYSTEM 和 Administrators 组具备完全控制权限。

7、重启“Windows Event Log”服务：按 Win + R，输入 services.msc，找到该服务，右键选择“重新启动”。

二、使用符号链接（mklink）重映射日志目录

该方法保持系统原有注册表路径不变，通过 NTFS 符号链接将 C:\Windows\System32\winevt\Logs 目录透明重定向至 D 盘物理位置，兼容性高，避免注册表误改风险，适用于所有日志类型统一迁移。

1、以管理员身份打开 Windows PowerShell 或命令提示符。

2、执行命令创建目标目录：mkdir D:\EvtLogs。

3、停止事件日志服务：输入 net stop eventlog 并回车，等待服务停止完成。

4、重命名原始日志目录以备份：ren "C:\Windows\System32\winevt\Logs" Logs_Old。

5、创建符号链接：mklink /J "C:\Windows\System32\winevt\Logs" "D:\EvtLogs"。

6、重启事件日志服务：net start eventlog。

7、验证：打开事件查看器 → 右键任一日志 → “属性”，确认“日志文件路径”显示为 D:\EvtLogs\*.evtx；同时检查 D:\EvtLogs 目录下是否生成新 .evtx 文件。

三、通过组策略配置日志路径（仅限专业版/企业版）

该方法利用本地组策略编辑器统一部署日志存储路径，适用于批量管理场景，策略生效后自动创建目标目录并赋予权限，无需手动干预底层路径。

1、按下 Win + R，输入 gpedit.msc 并回车，打开本地组策略编辑器。

2、导航至：计算机配置 → 管理模板 → Windows 组件 → 事件日志服务 → 应用程序（同理需对 Security、System、Setup 等子节点分别配置）。

3、双击右侧“指定应用程序日志文件的位置”，设置为“已启用”，在“日志文件位置”框中输入完整路径，例如：D:\WindowsLogs\Application.evtx。

4、重复步骤 2–3，对 Security、System 等其他日志类别逐一启用并配置对应路径（如 D:\WindowsLogs\Security.evtx）。

5、关闭组策略编辑器，以管理员身份运行命令提示符，执行：gpupdate /force 强制刷新策略。

6、重启“Windows Event Log”服务使配置生效。

四、禁用非必要日志并调整日志存档策略

该方法不迁移路径，而是从源头减少日志生成量与保留时长，显著降低 C 盘写入频率和空间占用，尤其适用于低配置设备或嵌入式场景。

1、打开事件查看器（eventvwr.msc）→ 展开“Windows 日志”。

2、右键“应用程序” → “属性”，取消勾选“启用日志”，点击“确定”（若需保留部分日志，可跳过此项）。

3、对“Setup”、“Forwarded Events”等低频或冗余日志项重复步骤 2。

4、对仍启用的日志（如 System、Security），在其属性中设置最大日志大小（建议 64–128 MB），并勾选“按需覆盖事件”，取消“不覆盖事件”选项。

5、在“日志文件路径”下方点击“清除日志”，清空当前累积内容，释放空间。

6、进入“任务计划程序” → “任务计划程序库” → “Microsoft” → “Windows” → “EventLog-System”，禁用自动归档任务（如 Archive-System）。