Windows Server 2025 / Diagnostiquer les journaux d'événements et les pannes de services

Pour diagnostiquer une panne de serveur, rapprochez le symptôme signalé par l'utilisateur et son heure des événements pertinents et de l'état des services. Un numéro d'événement isolé ou une liste de services arrêtés ne suffit pas à établir la cause : comparez avec le fonctionnement habituel avant de modifier la configuration.

Notez le symptôme, l'heure et les changements récents

Si l'accès à un partage échoue, notez le poste client, le compte, le chemin et l'heure. Distinguez une panne générale de la défaillance d'un seul service, puis repérez les mises à jour ou changements de configuration récents. Comparez les heures dans le même fuseau et vérifiez le serveur examiné :

hostname
Get-Date
Get-TimeZone
Get-CimInstance Win32_OperatingSystem | Select-Object LastBootUpTime

Une console distante peut présenter plusieurs serveurs, ce qui favorise les erreurs d'attribution. Distinguez un avertissement passager au démarrage d'un incident qui se répète maintenant.

Limitez la période dans l'Observateur d'événements

1. Ouvrez eventvwr.msc et consultez Journaux Windows → Système et Application.
2. Filtrez autour de l'heure de l'incident et sélectionnez les niveaux de gravité utiles.
3. Lisez ensemble le fournisseur, l'identifiant, l'heure et le message : le même numéro peut désigner autre chose chez un autre fournisseur.
4. Consultez au besoin les journaux Applications et services propres au rôle, par exemple DNS, GroupPolicy ou SMBServer.
5. Comparez les événements voisins et conservez les journaux EVTX d'origine.

Le nombre d'erreurs à lui seul ne mesure pas l'effet sur le service. Les événements d'information peuvent révéler une séquence de démarrage ou un changement ; effacer d'anciens messages sans rapport avec l'incident ne répare rien.

Utilisez des requêtes PowerShell limitées

Dans PowerShell avec des droits administrateur, cet exemple lit au plus 50 événements critiques, erreurs ou avertissements récents du journal System. Le filtrage de Get-WinEvent limite les résultats dès la collecte :

$eventFilter = @{
    LogName = 'System'
    StartTime = (Get-Date).AddHours(-1)
    Level = 1,2,3
}
Get-WinEvent -FilterHashtable $eventFilter -MaxEvents 50 |
    Select-Object TimeCreated,ProviderName,Id,LevelDisplayName,Message

L'absence d'événement correspondant au filtre ne signifie pas que le service de journalisation est défaillant. Revérifiez la période, le nom du journal et les droits de lecture. Lors d'un export, conservez l'encodage et les retours à la ligne des messages, ainsi que les journaux originaux.

Distinguez état, mode de démarrage et dépendances du service

Dans services.msc, inspectez l'état, le type de démarrage, l'identité de connexion et le comportement de récupération. Ne démarrez pas tous les services arrêtés : certains sont déclenchés à la demande ou sont absents sans un rôle.

Get-Service -Name W32Time
Get-Service -Name W32Time -RequiredServices
Get-Service -Name W32Time -DependentServices
Get-CimInstance Win32_Service -Filter "Name='W32Time'" | Select-Object Name,State,StartMode,StartName

Ces commandes lisent l'état du service de temps Windows sans le changer. RequiredServices sont les services nécessaires à W32Time ; DependentServices sont ceux qui dépendent de lui. Consultez la documentation de Get-Service pour interpréter ces propriétés.

Changer le mode de démarrage n'est pas la même chose que démarrer ou redémarrer une seule fois. Un service qui s'arrête aussitôt peut rencontrer une erreur de compte, de configuration, de droits ou de dépendances. Changer le mot de passe d'un compte de service partagé peut toucher d'autres applications.

Préservez les preuves avant de procéder à un changement ciblé

1. Enregistrez les journaux pertinents et les paramètres originaux du service, en examinant les informations internes avant toute diffusion publique.
2. Établissez le but, l’impact et le moment de maintenance d’un redémarrage.
3. Modifiez uniquement le service concerné et comparez l’état et les événements.
4. Répétez l'échec du client initial dans les mêmes conditions.
5. Si le problème n'est pas résolu, restaurez uniquement les modifications enregistrées et resserrez l'enquête.

Modifier WinRM ou un autre service d'accès distant peut couper votre session : conservez un accès à la console. Ne commencez pas le diagnostic en effaçant les journaux, en relançant tous les services ou en redémarrant le serveur.