Windows：配置变更、排障与恢复
服务维护、事件日志与恢复
维护Windows 只读服务快照前先保存Windows 11/Server 2022、PowerShell 7.4 与执行令牌，恢复后以Get-Service 对象、采集退出码和 Total/Running 字段验收。具体配置见配套示例。
教学版本族：Windows 11 与 Windows Server 2022；PowerShell 7.4 语法；Windows PowerShell 5.1 的编码和模块差异单独核对。核对日期2026-10-17，不称为2026最新版。示例未执行，配置与命令需按目标环境验收。
变更前的可恢复记录
Windows 变更先记录目标对象、当前配置、调用身份和恢复路径。事件日志、服务配置、应用数据和注册表是不同备份对象，注册表导出不能代替整机备份。只读报告只留下观察，不包含配置恢复文件；有变更任务时必须另外准备并核对恢复条件。
恢复与重试边界
Windows 恢复应撤回具体改动，再确认服务依赖与权限；重复重启并不能解决错误凭据或文件权限。旧定时关机笔记是实际写操作，倒计时取消有时间窗口，不属于本示例。维护窗口与审批应约束重启、关机和强制结束进程。
只清理本次报告
Windows 报告清理只涉及读者自行保存的输出文件；脚本本身没有持久状态、计划任务、注册表项或服务注册。如果用户自行重定向到文件，先核对完整绝对路径和归属再删除该文件，不递归清理系统日志。保留失败证据直到完成分析。
练习与参考解答
题目：只读snapshot.ps1输出已重定向到私有目录snapshot.txt，没有控制服务或注册任务。有人建议“恢复时重启全部服务并清空System日志”。请列出本例真正需要撤回的内容与应保留的证据。
参考解答：本例只读，不需要重启服务、恢复注册表或删除任务；核对完整路径后，只可清理自行保存的snapshot.txt及复制的样例文件。应先保留失败时的调用宿主、身份、时间和退出码以便分析，System日志属于系统证据而非本例临时数据，不能清空。重启全部服务会引入新的副作用，超出报告契约。
核对资料
历史参照：原Windows 定时关机与管理命令。全文包含关机、延时与取消关机及管理窗口；明确为实际有副作用操作，不纳入只读报告的执行内容。
访问拒绝、路径与执行身份排障
本节沿Get-Service 对象、采集退出码和 Total/Running 字段定位失败层；先确认Windows 11/Server 2022、PowerShell 7.4 与执行令牌，与配套示例逐项对照，再选择最小修复。
Access is denied 定位
Windows Access is denied 应先看失败操作需要哪项访问权，再核对令牌、DACL、继承与对象路径。文件可读不等于可删除，服务可查询不等于可停止。给 Everyone 完全控制或直接 takeown 会掩盖权限模型并扩大影响，不作为排错捷径。
服务与端口分层
Windows 服务排错要把 SCM 状态、进程存活、端口监听和应用结果分别记录。监听 PID 会复用，旧开发笔记的 taskkill 示例不能绑定到当前机器。DNS 缓存刷新只影响特定解析状态，不能修复服务未启动、路由或防火墙配置。
终端中断与事件证据
Windows Ctrl+C 异常可以来自键盘钩子、输入法、终端宿主、远程会话或应用处理。旧词霸秒译记录保留为一个具体现场线索，不能推断所有 SSH 断开由同一软件引起。应先比较本地输入与远程进程是否收到信号，再确定可复现条件，避免顺手关闭安全软件。
练习与参考解答
题目：当前证据为SCM显示Stopped、端口未监听、事件仅有Provider A的Id42；旧截图显示另一个PID监听8080。能否强杀旧PID或按Id42直接套用Provider B的修复？给出下一步只读判断。
参考解答：不能。Stopped与未监听可能符合按需服务契约，须先确认目标服务应在何时提供什么能力；旧PID可能已复用，不能作为当前停止对象。Id42必须结合Provider A、日志名、时间窗和消息解释，不能沿用Provider B的含义。下一步记录当前服务名、启动类型、依赖、相关提供程序事件与采集时间，再判断是正常按需状态、启动失败还是应用层失败。
核对资料
历史参照：原翻译工具干扰 SSH Ctrl+C 的记录。全文仅记录词霸秒译触发Ctrl+C；保留为特定故障线索，新课补键盘/宿主/远程进程证据链，不泛化病因。
历史参照：原Windows 端口、服务与 DNS 操作。端口PID、taskkill、net stop、hosts及flushdns保留，新增服务/监听/解析分层，不自动强杀PID或停止更新服务。
计划任务无法访问文件的复盘
以下演练将Windows 只读服务快照的变更、失败证据和恢复验收串起来；先熟悉配套示例中的Windows 11/Server 2022、PowerShell 7.4 与执行令牌。演练未执行。
故障场景与影响
桌面用户能够处理文件，计划任务使用相同脚本却报访问拒绝或找不到路径。
先记录首次异常时间、受影响对象和最近变更，区分个别对象失败与整条管理链路异常。以下是排查演练，不是已发生事故的实测记录。
按证据定位原因
- 保存任务定义、触发时间、运行账户与动作参数，确认失败发生在任务启动还是脚本执行阶段。
- 以目标对象的实际 ACL、继承关系与执行令牌为依据检查访问，不根据登录用户名猜测权限。
- 核对绝对路径、网络资源凭据和工作目录，结合任务历史、进程退出码与脚本日志定位具体失败操作。
恢复步骤与验收
为专用任务账户授予确实需要的对象权限，修正路径或凭据来源。保留变更前 ACL，不把 Everyone 完全控制或以管理员运行作为通用补丁。
验收：在任务真实账户下验证输入读取和产物写入，确认无关目录仍不可写，并核对后续计划触发。恢复原配置后也应能解释原故障。
将触发条件、直接原因、修复动作、恢复证据和后续检查写入同一份复盘，明确每项后续工作的负责人。机制参考：官方说明。
令牌与对象自检
问题：管理员账户读得到文件，但计划任务读不到，哪一步先查？答案：先查任务实际登录身份、完整路径与是否需要非交互凭据，再看 ACL 与用户配置。管理员组成员身份不能推导另一进程的访问结果。
独立观察设计
设计一个只读检查表，分别记录操作系统、命令宿主、服务状态、日志提供程序和采集时间。说明 Hyper-V 主机与 Linux 客体的端口证据为什么不能混成一份，以及旧 CentOS7 网卡配置为何需要保留历史边界。
参考解答与后续范围
主机和客体有不同网络栈、权限与日志，需各自记录对象和时间；虚拟交换机再连接两者。旧 ifcfg 与截图只对应当时环境，不能拿来部署受支持新系统。本课完成 Windows 对象与只读快照理论，域控组策略、驱动、系统恢复和虚拟化生产运维另列后续。
核对资料
历史参照：原Hyper-V 安装 CentOS 7 记录。真实读取全部文本与图片引用标签，但未逐图验读；CentOS7/ifcfg/DHCP与静态字段混合的原环境不能当现行部署方案，新课吸收主机与客体网络证据分界。
Hyper-V 主客体边界与旧网卡草稿
Hyper-V 客体 ifcfg-eth0 与 ens34 不一致能否直接复制？ Hyper-V 宿主机、虚拟交换机和 Linux 客体是三个观察对象；主机有地址或服务不证明客体也有相同监听，客体端口通也不证明主机策略正确。应分别记录交换机连接类型、客体接口与地址来源、目标监听、路由与回程，再分析外部访问；不能把 Windows 与 Linux 的命令参数混用。
旧安装记录主要是 Create、NetworkManager、Setting、CentosEnter 截图引用。旧 CentOS7 下载地址、镜像和 yum update/net-tools 顺序撤回为现行安装建议；原文及图像引用保留，本节仅吸收可证实文本问题，不据截图标题推断成功。
可从文本确认的矛盾是文件名 ifcfg-eth0 与 NAME/DEVICE=ens34 不一致，BOOTPROTO=dhcp 又混入静态 IP/PREFIX/GATEWAY，ONBOOT=no；192.0.2.10/24 的末地址 .255 被用作网关。普通 IPv4 广播网段末地址不是可用网关，文档示例地址不用于真实部署。该配置不能当作网卡模板，应按客体实际接口名、地址管理方式和真实网关重新制定，IPv6 配置也不能直接称作“没有影响”。
翻译工具干扰 SSH Ctrl+C 的记录
ssh 远程时会自动ctrl + c
原现场记录将异常与词霸秒译关联，未给出可复现步骤或版本；这是一条历史排错线索，不能推断其他 SSH 中断也由该软件造成。
继续阅读
- 命令与观察
- 命令与观察
- 命令与观察