| 4634 | 登录会话终止（含服务/网络会话） |
|---|---|
| 4647 | 用户主动注销 |
| 用途 | 配对 4624 计算会话时长；发现“短命会话”与残留会话 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4634,4647; StartTime=(Get-Date).AddHours(-24)} | Select-Object TimeCreated, Id, @{n='User';e={$_.Properties[1].Value}} -First 20 | Format-Table -AutoSizeRDP 断开连接不产生 4634/4647（会话仍存活），注销或超时清理才产生。