Windows系统日志轮转需策略化执行：先配置MaxSize=100MB、Retention=0，再用PowerShell通过wevtutil epl导出归档、cl清空、按30天清理旧备份，并记录操作日志、设置定时任务与错误告警。
powershell 脚本运维中，系统日志轮转不是简单地“清空再新建”，而是有策略、可追溯、合规可控的过程。核心在于：自动识别日志容量/时效阈值 → 安全归档（保留结构与时间戳）→ 清理旧日志 → 记录操作痕迹。
日志轮转前的策略配置
Windows 默认日志大小为 20MB，但生产环境通常需调大并启用“按需覆盖”或“不覆盖”策略。关键配置点在注册表：
- 路径：
HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\<LogName> - 关注参数：
MaxSize（单位字节，如 104857600 = 100MB）、Retention（0=覆盖，1=手动清除，-1=永不覆盖） - 建议统一设为：
MaxSize = 104857600（100MB），Retention = 0（允许自动覆盖），避免磁盘突发占满
用 PowerShell 实现自动化轮转
不依赖第三方工具，纯 PowerShell 即可完成归档+清理闭环。以下为典型流程脚本逻辑：
-
步骤1：获取待处理日志列表 —— 排除 Security 日志（审计要求常需单独策略），聚焦 System、Application 等可轮转日志：
wevtutil el | Where-Object { $_ -notmatch 'Security|Setup' } -
步骤2：按时间戳导出归档 —— 使用
wevtutil epl导出为 .evtx 文件，文件名含日期与日志名：wevtutil epl "System" "C:\Archive\System_$(Get-Date -f yyyyMMdd_HHmm).evtx" -
步骤3：清空原日志（保留结构） ——
wevtutil cl "System"，比直接删 .evtx 文件更安全，不破坏日志服务注册 -
步骤4：清理过期归档 —— 删除 30 天前的备份文件：
Get-ChildItem C:\Archive\*.evtx | Where-Object {$_.LastWriteTime -lt (Get-Date).AddDays(-30)} | Remove-Item
增强健壮性的关键细节
生产脚本不能只跑通，还要防错、可查、易维护：
- 所有
wevtutil操作后检查$LASTEXITCODE，非 0 时写入错误日志并邮件告警 - 归档目录提前创建并设置 NTFS 权限，确保 SYSTEM 和 Administrators 可写
- 将每次轮转记录写入独立日志（如
C:\Logs\LogRotation.log），包含时间、日志名、归档路径、操作结果 - 通过
Register-ScheduledTask将脚本注册为每日凌晨 2:00 执行的任务，触发器加条件“仅当计算机空闲且电源接通”
进阶：集中化与结构化日志管理
单机轮转是基础，企业级需向上收敛：
- 用
Get-WinEvent远程读取多台服务器日志，按 Level=Error 或 ProviderName=‘Microsoft-Windows-GroupPolicy’ 过滤关键事件 - 归档文件上传至网络共享或 Azure Blob 存储，路径按
ServerName\Year\Month\Day\System.evtx组织 - 集成 PoShLog 模块，在轮转脚本中记录 INFO/ERROR 级别日志到本地文件+Windows 事件日志，便于统一采集
- 配合 WEC（Windows Event Collector）实现主动推送，替代被动轮询，降低目标服务器负载
