Windows 7 修改事件日誌儲存路徑：登錄表調整 System 與 Application 日誌位置

Windows 7 事件日誌預設儲存在 %SystemRoot%\System32\winevt\Logs (舊版為 .evt，Vista/7 為 .evtx)。若系統磁碟空間緊張，或需集中管理日誌至專用磁碟，可透過登錄表修改 System 與 Application 日誌的儲存路徑。

修改 System 日誌路徑

1. 開啟 regedit，定位至：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\System
2. 右側找到 File 字串值 (REG_EXPAND_SZ)。
3. 雙擊修改數值資料，從預設 %SystemRoot%\System32\winevt\Logs\System.evtx 改為新路徑 (例：D:\Logs\System.evtx)。
   

修改 Application 日誌路徑

1. 定位至：
   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Application
2. 修改 File 值，從 %SystemRoot%\System32\winevt\Logs\Application.evtx 改為新路徑 (例：D:\Logs\Application.evtx)。
   

同樣適用於 Security 與其他自訂日誌

路徑模式：HKLM\SYSTEM\CurrentControlSet\Services\EventLog\<LogName>\File

注意事項

• 目標資料夾需預先建立，且系統帳戶 (SYSTEM) 需有完整讀寫權限 (NTFS: Full Control)。
• 修改後必須重新開機 或重新啟動「Windows Event Log」服務 (net stop eventlog && net start eventlog) 才生效。
• 避免將日誌導向網路磁碟機，網路中斷會導致日誌寫入失敗、服務掛點。
• Security 日誌路徑修改需額外權限，建議保留預設位置。

驗證方法

1. 重開機後，開啟事件檢視器，右鍵對應日誌 >「內容」，確認「記錄路徑」顯示為新路徑。
2. 產生測試事件 (如重啟服務)，確認新位置 .evtx 檔案大小增加。

透過登錄表調整日誌路徑，能有效分散系統磁碟 I/O 壓力，滿足合規性集中儲存需求。