如何在Windows 7中启用服务安装事件（事件ID 4697）

好的，我来帮你搞定在Windows 7里启用事件ID 4697的问题——这个事件能追踪到发起服务安装的进程ID，确实是排查服务安装来源的实用工具！

其实Windows 7里启用这个事件的逻辑和Windows 10很相似，核心是配置高级审核策略来开启记录，下面给你两种可行的操作方法：

方法一：使用命令行（需管理员权限） #

和Win10的操作几乎一致，你只需要以管理员身份打开命令提示符，执行以下命令即可：

auditpol /set /subcategory:"Security System Extension" /success:enable /failure:disable

执行成功后，系统就会开始记录服务安装的成功事件（ID 4697），同时禁用失败事件的记录，和你在Win10里的配置效果保持一致。

方法二：使用本地组策略编辑器 #

如果你更习惯图形界面操作，可以按以下步骤来：

• 按下Win + R组合键打开“运行”窗口，输入gpedit.msc后回车，打开本地组策略编辑器。
• 在左侧导航栏依次展开：计算机配置 → Windows设置 → 安全设置 → 高级审核策略配置 → 系统审核策略 → 系统。
• 在右侧找到安全系统扩展选项，双击打开它。
• 勾选“配置以下审核事件”里的成功选项，取消勾选“失败”（匹配你在Win10里的需求），最后点击“确定”保存设置。

完成以上任意一种配置后，当有新服务被安装到系统中时，你就能在事件查看器的Windows日志→安全栏目里找到事件ID 4697了，里面同样会包含发起安装操作的客户端进程ID。

备注：内容来源于stack exchange，提问作者OneAndOnly