Bonjour,
 
J'ai un problème concernant le déplacement des journaux d'événements sur Windows 7.
J'ai suivi cette procédure :
 
http://answers.microsoft.com/en-us [...] 7a9e23ab47
 
Mais après reboot, il s'avère que les fichiers evtx sont toujours dans C:\Windows\System32\winevt\Logs
 
J'ai vérifié le chemin qui semble bien changé :

 
mais rien à faire.
 
En y regardant de plus près, sur le dossier "C:\Windows\System32\winevt\Logs", je vois qu'il ya un utilisateur "eventlog" mais qui n'existe pas dans la liste des utilisateurs locaux !!!
 

 
Du coup, est-ce à cause de ça que ca ne fonctionne pas ?
 
Si quelqu'un à une idée, merci beaucoup  

J'ai creusé un peu et suis tombé sur ça :
 
http://support.microsoft.com/kb/971256
 
J'ai donc pu rajouter l'utilisateur "eventlog" en full sur mon dossier E:\Eventlogs mais même après reboot, les journaux restent sur C:\ !!!

Jai testé l'arrêt du service Eventlog, supprimer les fichiers evtx, reboot le PC et les fichiers sont revenus dans C:\Windows\System32\winevt\Logs o.O
 
Y'a comme un truc qui m'échappe. J'ai également fait une recherche de winevt\logs dans le registre, histoire d'être sûr et y a plus rien. o.O

Bon aller j'ai trouvé !
 
Il faut savoir qu'il y a 2 observateurs d'événements sous Windows 7 :
- le classique (celui que j'utilisais, celui des captures d'écrans)
- le moderne (celui de Windows 7 par défaut)
 
Or modifier les clés de registre "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Eventlog" fonctionnent pour la "vue" classique mais en réalité ils n'ont pas bougés !!!
 
La preuve sur l'observateur d'evenement "moderne" :
 

 
Donc après modification directement dans le champ "Log Path", ça fonctionne directement (il opère un couper/coller en live du fichier .evtx)
 
Reste plus qu'à savoir où est donc stocké ce chemin si c'est pas dans le registre !

Conclusion :
 
il y a une clé "Flags" à passer à 1 pour que les journaux du nouvel observateur d'evenements utilisent bien la clé de registre contenant le path.
D'ailleurs, j'ai finalement trouvé sur google quelqu'un qui a tiré la même conclusion
 
http://social.msdn.microsoft.com/F [...] a5da3d395f

pourquoi ce déplacement au fait ?

Le fun