必须启用“审核登录事件”策略才能记录4624/4634日志，通过gpedit.msc配置并执行gpupdate /force；在事件查看器“安全”日志中筛选id 4624（登录）和4634（登出），重点关注登录类型2（本地）、10（rdp）及源ip地址。

直接打开事件查看器，定位到“安全”日志，筛选事件id 4624（登录）和4634（登出），就能看到完整的用户登录与登出历史。关键是要确保审核策略已启用，否则这些记录根本不会产生。

确认安全日志已启用并有登录审计

默认情况下，Windows 不会记录详细登录事件。必须提前开启“审核登录事件”策略：

• 按 Win + R 输入 gpedit.msc 打开组策略编辑器（专业版/企业版）
• 依次展开：计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略
• 双击“审核登录事件”，勾选“成功”和“失败”
• 执行 gpupdate /force 刷新策略，或重启生效

在事件查看器中查找登录与登出记录

登录（4624）和登出（4634）都记录在“安全”日志里，但需注意区分真实交互式行为：

Windows 日历同步

将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。

下载

• 打开事件查看器：Win + R → eventvwr.msc → 回车
• 左侧导航至：Windows 日志 → 安全
• 右键“安全” → “筛选当前日志”
• 在“事件ID”框中输入：4624,4634（英文逗号分隔）
• 点击“确定”，列表即显示所有匹配的登录与登出事件

识别有效登录类型与关键字段

不是所有 4624 都代表用户真正“坐到电脑前”或远程桌面进来。重点关注“登录类型”和“源网络地址”：

• 登录类型 2：本地交互式（如开机输密码）
• 登录类型 10：远程交互式（RDP、向日葵等，含真实IP）
• 登录类型 3：网络登录（如共享文件夹访问，无桌面会话）
• 双击任一事件 → 切换到“详细信息”选项卡 → 查看 XML 中的 IpAddress（来源IP）和 TargetUserName（目标账户）
• 登出事件（4634）通常不带IP，但会显示对应的 Logon ID，可与前面的 4624 匹配验证会话完整性

补充说明：为什么看不到记录？

常见原因包括：

• 未启用审核策略（最常见）
• 安全日志已满且设置为“不覆盖事件”，旧记录被丢弃
• 使用了非标准登录方式（如某些第三方远程工具绕过系统认证）
• 账户是内置 Administrator 且禁用了审核（部分精简系统）
• 日志被手动清除或权限受限无法读取