可通过注册表法、符号链接法或组策略法将windows 11系统日志重定向至非c盘：注册表法需逐个修改eventlog子项默认路径并设d盘目录权限；符号链接法用mklink将logs目录透明映射至d盘，兼容性强；组策略法仅限专业版以上，需配合注册表法才完整生效。
当 Windows 11 持续将系统日志写入 C:\Windows\System32\winevt\Logs 目录时，SSD 的擦写次数会快速累积，资源监视器中常可见 eventlog.exe 占用稳定磁盘 I/O，长期运行可能缩短固态硬盘寿命，且无法通过常规磁盘清理释放空间。
注册表法：全局重定向所有日志文件物理路径
该方法直接修改 EventLog 服务的底层路径逻辑，适用于需要统一迁移全部日志（Application、Security、System 等）至 D 盘的场景，操作后新日志自动落盘到目标位置，无需停服即可生效，但必须逐一手动修改每个子项的默认值。
第一步：按 Win + R 输入 regedit → 回车 → 点击“是”以管理员身份运行注册表编辑器。
第二步：导航至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog。
第三步：依次展开其下的每个子项（如 Application、Security、System、Setup、ForwardedEvents 等），对每一个子项，在右侧双击“（默认）”字符串值 → 将原路径（例如 %systemroot%\System32\winevt\Logs\Application.evtx）完整替换为新路径，如 D:\WindowsLogs\Application.evtx；注意必须保留 .evtx 扩展名与文件名不变，仅更改盘符和父目录层级。
第四步：在修改前，手动创建目标文件夹 D:\WindowsLogs；右键该文件夹 → “属性” → “安全”选项卡 → 点击“高级” → 确保 SYSTEM 和 Administrators 组均拥有“完全控制”权限，否则日志写入将失败并回退至 C 盘。
第五步：按 Win + R 输入 services.msc → 找到“Windows Event Log”服务 → 右键选择“重新启动” → 等待状态变为“正在运行”即完成生效。
符号链接法：不改注册表，透明重映射 Logs 目录
此法兼容性最强，系统仍认为日志仍在原路径，实际数据全部写入 D 盘，避免注册表误操作风险，适合对稳定性要求高、或需一键回滚的用户。但必须先停止事件日志服务，否则 mklink 会报错“拒绝访问”。
方法一：使用 PowerShell（推荐）
以管理员身份打开 Windows PowerShell → 依次执行以下命令：
mkdir D:\EvtLogs
net stop eventlog（等待返回“服务已停止”提示）
ren "C:\Windows\System32\winevt\Logs" Logs_Old
mklink /J "C:\Windows\System32\winevt\Logs" "D:\EvtLogs"
方法二：使用命令提示符（CMD）
若 PowerShell 报错策略限制，可改用管理员 CMD 执行相同四条命令，效果一致。
执行完 mklink 后，立即启动服务：net start eventlog；此时打开事件查看器 → 刷新任意日志节点，确认新条目已写入 D:\EvtLogs 下对应 .evtx 文件。
组策略法：仅限专业版/企业版/教育版
该方法不移动文件，而是通过策略强制指定日志存储根目录，对所有新建日志通道统一生效，但无法影响已存在的日志文件路径，且策略设置后需重启服务或系统才完全加载。
① 按 Win + R 输入 gpedit.msc → 回车。
② 依次展开：计算机配置 → 管理模板 → Windows 组件 → 事件日志服务 → Windows 日志。
③ 双击右侧“指定日志文件位置” → 勾选“已启用” → 在下方“日志文件位置”框中输入 D:\WindowsLogs（注意：此处只填目录，不带文件名）→ 点击“确定”。
④ 关闭组策略编辑器 → 按 Win + R 输入 services.msc → 找到“Windows Event Log” → 右键“重新启动”。
⚠️ 注意：该策略仅对后续新创建的日志通道生效（如第三方应用注册的新日志），原有 Application、Security 等内置日志仍走注册表路径，需配合第一种方法使用才完整。
验证与补救
打开事件查看器（eventvwr.msc）→ 展开“Windows 日志” → 右键任一日志（如“应用程序”）→ “属性” → 查看“日志文件路径”是否已更新为 D 盘路径；若仍显示 C:\Windows\System32\winevt\Logs\*.evtx，则说明注册表未正确修改或权限不足。
若发现部分日志仍写入 C 盘，检查 D 盘目标目录是否存在同名 .evtx 文件被占用（如被其他进程锁定），或确认 SYSTEM 账户是否具备该目录的“写入”权限——缺少写入权限会导致日志服务静默失败并自动回退至默认路径。
执行 wevtutil qe Application /c:1 /rd:true 命令可强制触发一条测试日志；随后立即检查 D:\WindowsLogs\Application.evtx 的最后修改时间是否更新，以此确认写入链路已通。
