如何找到是哪个用户停止、重启或终止了我的 EC2 Windows 实例？

解决方法

您可以通过 AWS 或 Windows 操作系统 (OS) 停止或重启 EC2 Windows 实例。您只能通过 AWS 终止 EC2 Windows 实例。

实例通过 AWS 停止、重启或终止

您可以使用以下工具通过 AWS 停止、重启或终止您的实例：

• AWS 管理控制台
• AWS 命令行界面（AWS CLI）
• AWS Tools for PowerShell
• AWS API
• AWS SDK
• AWS CloudShell

如果实例事件在过去 90 天内发生，则使用 AWS CloudTrail 事件历史记录来获取有关该事件的更多信息。

要在 CloudTrail 中查看您的实例事件，请完成以下步骤：

1. 打开 CloudTrail 控制台。
2. 在导航窗格中，选择 Event history（事件历史记录）。
3. 在 Lookup attributes（查找属性）菜单上，选择 Event name（事件名称）。
4. 对于 Event name（事件名称），输入以下事件名称之一：
   StopInstances，用于检查您的实例何时停止。
   RebootInstances，用于检查您的实例何时重启。
   TerminateInstances，用于检查您的实例何时终止。
5. 在事件列表中，选择事件名称。
6. 在 Details（详细信息）页面上，找到发起事件的 AWS Identity and Access Management (IAM) 身份的用户名。

实例在 Windows 中停止或重启

如果 CloudTrail 未显示您的实例的 StopInstances 或 RebootInstances 事件，则该实例事件很可能是在 Windows 中启动的。

要在 Windows 中查看有关该实例事件的详细信息，请连接到您的实例，然后完成以下步骤：

1. 在 Windows 任务栏上，选择搜索，输入事件查看器，然后选择事件查看器以打开该工具。
2. 在导航窗格中，展开 Windows Logs（Windows 日志），然后选择 System（系统）。
3. 在 Actions（操作）中，选择 Filter Current Log（筛选当前日志）。
4. 在 Filter Current Log（筛选当前日志）对话框的 All Event IDs（所有事件 ID）字段中，输入 1074 或 1076，然后选择 OK（确定）。
5. 要确定发起事件的用户，请查看事件日志。

在以下情况下，EC2 Windows 实例可能会在 Windows 中停止或重启：

• 用户登录实例，Windows 更新重启操作系统。
• 硬件意外出现故障。
• AWS 计划内维护事件会停止或重启实例。
• 第三方工具发出命令。

**注意：**AWS 通过电子邮件或您的 AWS Health Dashboard 发送有关计划内实例停用和意外硬件故障的通知。