通过上述操作之后，Windows被配置为跟踪用户活动状态。接下来就可以跟踪用户活动，并获取跟踪记录了。

2. 用事件查看器跟踪查看用户活动情况

按下Win R组合键，在“运行”对话框中运行eventvwr命令，启动事件查看器（图5）。

在事件查看器的左侧窗格中，依次选择“Windows日志→安全”，之后，我们在中部窗格的记录中，便可以看到Windows开始记录所有与安全有关的事件（图6）。

双击中部窗口中的任意事件，在弹出的“事件属性”窗口内，可看到事件ID信息（图7）。根据事件ID的序号，可判断创建组或用户时记录的事件。具体情况分用户管理、账户管理、组管理三类情况，分述如下：

要查看工作组中用户的创建或删除情况，可通过相应ID号来判断。如果是在工作组中创建了用户，就会出现4728、4720、4722、4738、4732等事件ID；若是删除了用户，就会出现4733、4729、4726等事件ID。具体情况见表1（表1）。