Uma máquina Windows 2008 R2 é reinicializada automaticamente de vez em quando, normalmente às tardes de sexta-feira. As reinicializações são "anunciadas" no log de eventos da seguinte forma:
Event ID: 1074
process: svchost.exe,
user: NT-AUTHORITY/System,
reason: OS:restore(planned),
code: 0x80020002
Eu acho que este é precisamente o evento que podemos esperar se uma atualização do Windows do nosso servidor WSUS exigir uma reinicialização. No entanto, tanto quanto eu posso ver, tais reinicializações devem acontecer no máximo por volta das 3:00 da manhã. Isto aconteceu repetidamente este ano, nomeadamente
Se eu verificar as atualizações após a reinicialização de hoje, ele diz
Last time checked for updates: Today, 15:47
Updates installed: Yesterday, 20:57
Assim, enquanto a última verificação é suspeitamente curta antes da reinicialização, a última atualização atual ocorreu ontem (atualização de definição de vírus do Forefront, sem necessidade de reinicialização).
Qual pode ser a causa? O que pode ser feito para prevenir?
Por favor, sinta-se à vontade para pedir mais detalhes.
Atualização:
As entradas mais próximas do log de eventos em torno do desligamento com a origem WindowsUpdateClient foram:
É plausível que as atualizações no último ponto estivessem aguardando uma reinicialização. Na verdade, eu encontrei um evento # 22 ("Reinicialização necessária, o computador será reiniciado em 15 minutos) em 2013-05-16 03:14:28 mencionando precisamente as atualizações mencionadas nos eventos pós-reinicialização. No entanto, por que ele não reinicializou às 3:30 da manhã de ontem, como o evento mmessage sugere em vez de 4 pm hoje?
Por demanda popular, as configurações de política relevantes em Computer configuration\Administratove templates\Windows components\Windows update , de acordo com o assistente de modelagem de GPO:
http://my-wsus-server " Eu não tenho um mau pressentimento com essas configurações. O único suspeito é Não há reinicialização automática para atualizações agendadas com usuários logados . No entanto, para o comportamento observado, um usuário deve ter feito o login no yestreday 3 a.m. até hoje, às 16h. (ou possivelmente várias sessões sobrepostas). Examinando o oceano do Security Event Log, eu realmente encontrei: Três eventos # 4634 (logoff), dois para sessões RDP do Administrador (tipo 10), um para sessão do console do Administrador (tipo 2), tudo no mesmo segundo que o evento # 1074 acima! Mas o que é causa e o que é efeito? Ou como três sessões foram mortas simultaneamente?
Dado que esta obtendo atualizações de um servidor WSUS, verifique o GPO do WSUS para sua UO apropriada. Você pode alterar isso para que as atualizações sejam desativadas quando você preferir. Mas a resposta mais provável à sua pergunta é que esta é uma política do WSUS que aplica atualizações à sua máquina.