windows事件日志需自动归档清理，核心是“导出归档+安全清空”：用powershell脚本调wevtutil导出日志至非系统盘带时间戳路径，保留90天归档后自动删除，任务须以system身份、最高权限每日凌晨2点运行。
Windows 系统自带事件日志会持续增长，尤其 Security、System 和 Application 日志长期不处理容易占满磁盘空间。配置自动清理陈旧日志任务，核心是“导出归档 + 安全清空”，不能只删不存，否则丢失审计依据。
准备归档脚本（推荐 PowerShell）
新建一个 Archive-EventLogs.ps1 文件，内容如下：
- 用
wevtutil qe导出指定日志，例如：wevtutil epl System "D:\Logs\Archive\System_$(Get-Date -Format 'yyyyMMdd_HHmm').evtx" - 归档路径必须是非系统盘（如 D:\Logs\Archive），避免 C 盘空间压力
- 文件名含日期时间戳，便于识别和后续清理
- 不直接执行
wevtutil cl清空 Security 日志——该操作需额外策略权限，普通脚本易失败；如确需清空，应在脚本末尾加判断，并确保任务以 SYSTEM 身份运行 - 末尾添加自动清理逻辑：保留最近 90 天的归档文件，其余删除
创建高权限计划任务
在“任务计划程序”中新建基本任务，关键设置如下：
- 触发器设为每天凌晨 2:00，勾选“如果错过启动时间则尽快运行”
- 操作选择“启动程序” →
powershell.exe，参数填：-ExecutionPolicy Bypass -File "C:\Scripts\Archive-EventLogs.ps1" - “常规”选项卡中必须勾选：使用最高权限运行 和 不管用户是否登录都要运行
- 安全选项设为
NT AUTHORITY\SYSTEM——该身份默认拥有全部日志读取权限，无需维护密码
验证与防错要点
首次部署后务必人工确认有效性：
- 检查 D:\Logs\Archive 目录是否生成带时间戳的 .evtx 文件
- 右键该文件 → “打开保存的日志”，确认能正常加载并浏览内容
- 进入任务属性 → “历史记录”标签页，查看最近执行状态；错误码
0x1多因路径不存在或权限不足 - 脚本不要放在 OneDrive、腾讯微云等同步目录内，wevtutil 写入时可能被同步进程锁住
替代方案：纯命令行调度（免 PowerShell）
若环境禁用 PowerShell，可用任务计划直接调用 wevtutil：
- 操作中启动程序填
wevtutil.exe，参数写：epl System "D:\Logs\Archive\System_%date:~0,4%%date:~5,2%%date:~8,2%.evtx" - 注意 Windows 命令行日期格式不稳定，建议仍优先用 PowerShell 控制命名精度
- 纯命令方式无法做条件判断和自动清理旧归档，需另配一个 forfiles 任务定期扫除过期文件
