Windows 11事件查看器日志过大可通过五种方法解决：一、图形界面调整单个日志最大大小为20480KB并设置覆盖策略；二、PowerShell批量配置系统、安全、应用日志；三、安全日志单独设为40960KB以上且禁用自动覆盖；四、域环境用组策略统一部署；五、确保日志所在磁盘剩余空间超2GB。
如果您发现Windows 11的事件查看器日志文件持续增长，占用过多磁盘空间，或旧事件被过早覆盖而无法追溯历史问题，则可能是日志大小设置不合理所致。以下是配置日志大小以防止系统日志文件过大的具体操作方法：
一、通过事件查看器图形界面修改单个日志最大大小
每个Windows日志（如系统、安全、应用程序）均独立配置其存储上限与覆盖策略，直接在属性中调整可精准控制容量与保留行为。
1、按下Win + R组合键，输入eventvwr.msc，回车打开事件查看器。
2、在左侧导航栏依次展开“Windows 日志”，右键点击目标日志（例如“系统”），选择“属性”。
3、在弹出的属性窗口中，找到“日志大小”区域，将“最大日志大小（KB）”数值修改为20480（即20MB，为推荐稳定值）或更高（如40960对应40MB）。
4、在“当日志达到最大值时”下拉菜单中，选择按需要覆盖事件（默认选项，旧事件优先覆盖）或不覆盖事件（手动清除日志）（适用于审计场景）。
5、点击“确定”保存设置；若提示需重启日志服务，勾选“是”后等待日志自动重载。
二、批量配置多个核心日志的大小与覆盖策略
为确保系统、安
全、应用程序三大核心日志保持一致的容量管理策略，可通过脚本方式统一设定，避免逐一手动操作遗漏。
1、右键点击“开始”按钮，选择“终端（管理员）”。
2、依次执行以下三条PowerShell命令，分别设置系统、安全、应用程序日志的最大大小为20480 KB并启用自动覆盖：
wevtutil sl System /ms:20480 /rt:true
wevtutil sl Security /ms:20480 /rt:true
wevtutil sl Application /ms:20480 /rt:true
3、每条命令执行后无报错即表示设置成功；可运行wevtutil gl System验证当前“maxSize”的返回值是否为20480。
三、修改安全日志的特殊保留策略（含审计合规要求）
安全日志因涉及登录行为、权限变更等关键审计信息，部分组织策略要求禁用自动覆盖，同时扩大容量以满足合规留存周期，需单独强化配置。
1、在事件查看器中，右键“安全”日志 → “属性”。
2、将“最大日志大小（KB）”设为40960或102400（100MB），确保足够容纳多日登录事件。
3、取消勾选“按需要覆盖事件”，改选不覆盖事件（手动清除日志）；此时当日志满时将停止记录新事件，并在系统托盘显示警告图标。
4、点击“确定”后，系统会提示需以管理员身份重新启动Windows事件日志服务，输入net stop eventlog && net start eventlog强制刷新生效。
四、通过组策略统一部署日志大小策略（适用于域环境）
在Active Directory域控环境中，可通过组策略对象（GPO）将日志大小设置强制推送到所有Windows 11客户端，确保全网日志管理策略一致性。
1、在域控制器上运行gpedit.msc（或使用组策略管理控制台GPMC）。
2、导航至：计算机配置 → 管理模板 → Windows组件 → 事件查看器 → “配置日志路径和大小”。
3、启用该策略，在“日志大小（KB）”字段中填入20480，并在下方“日志名称”中分别添加System、Security、Application。
4、勾选“应用此设置到所有日志”，点击“确定”；策略将在下次组策略刷新（默认90分钟）后自动生效。
五、检查并修正日志路径所在磁盘空间不足导致的写入异常
即使设置了合理日志大小，若日志存储路径（默认为%SystemRoot%\System32\Winevt\Logs\）所在分区剩余空间低于1GB，系统可能拒绝写入新事件或强制截断日志，造成数据丢失。
1、打开文件资源管理器，定位到C:\Windows\System32\Winevt\Logs\目录（通常位于系统盘）。
2、右键该文件夹 → “属性”，查看“大小”与“大小（占用空间）”是否接近磁盘总容量。
3、若C盘剩余空间小于2GB，立即清理临时文件、休眠文件或迁移非关键日志归档至其他卷。
4、确认磁盘空间充足后，在事件查看器中右键任意日志 → “清除日志”，再重新配置大小以释放冗余占用。
