win10 远程桌面连接记录主要看事件查看器。terminalservices-localsessionmanager 的 operational 日志会记录登录、断开、重新连接等事件,适合按时间排查。
打开 TerminalServices 日志
进入事件查看器,展开 应用程序和服务日志 > Microsoft > Windows > TerminalServices-LocalSessionManager > Operational。

查看事件详情
点中某条事件后,看下方常规信息。这里通常会显示用户、会话、来源地址或连接状态,按时间能还原一次远程桌面连接过程。

按左侧路径定位
如果找不到日志,先在左侧树里按 Microsoft、Windows、TerminalServices 的路径展开。日志很多时再用右侧筛选当前日志。

日志可能被清理,也可能受审计策略影响;需要长期追溯时要提前调整日志保留策略。











