Superviser un serveur Windows Server 2016 à 2025 : espace disque, mémoire, services, journal d'événements, Active Directory. Quelles métriques suivre, quels seuils, quels événements ignorer.
Les autres services
Les métriques indispensables à surveiller sur un serveur Windows ou Linux : disque, mémoire, processeur, services, réseau. Seuils recommandés, pièges de lecture et ordre de priorité.
Installer Zabbix Agent 2 sur Windows Server ou Windows 10/11 : téléchargement du MSI officiel, configuration de zabbix_agent2.conf, chiffrement PSK, ouverture du port 10050 et vérification du service.
Réduire les fausses alertes Zabbix : hystérésis, durée de dépassement, seuils par volume, dépendances entre déclencheurs et calibrage sur données réelles plutôt que sur les valeurs par défaut.
Superviser un serveur Windows présente une difficulté que Linux n'a pas : le système génère un volume considérable d'événements, dont l'immense majorité est parfaitement normale. Le travail consiste donc autant à choisir ce qu'on surveille qu'à écarter ce qui ne mérite pas d'alerte.
Ce guide couvre Windows Server 2016, 2019, 2022 et 2025.
Même priorité que sur Linux, avec une particularité : sous Windows, un disque système saturé empêche le chargement des profils utilisateur, ce qui bloque les connexions bien avant que les services ne s'arrêtent.
Surveillez chaque lettre de lecteur séparément. Un serveur avec C:, D: pour les données et E: pour les sauvegardes a trois points de défaillance distincts.
Seuils : avertissement à 85 %, critique à 95 %, combinés à un plancher d'espace absolu. Voir surveiller l'espace disque.
Windows expose une métrique particulièrement utile : les octets disponibles (Available MBytes). Contrairement à Linux, la lecture est directe — pas de cache à déduire.
Surveillez aussi le fichier d'échange : une utilisation élevée et croissante signale un manque de mémoire physique, avec le même effondrement des temps de réponse que le swap sous Linux.
Alerte sur une moyenne soutenue, jamais sur une valeur instantanée. Windows exécute régulièrement des tâches de fond légitimes — indexation, antivirus, mises à jour, sauvegardes — qui saturent le processeur quelques minutes.
Une métrique complémentaire souvent négligée : la longueur de la file d'attente du processeur. Une valeur durablement supérieure au nombre de cœurs indique que des processus attendent, même si l'utilisation n'atteint pas 100 %.
C'est la métrique la plus directement utile. Un serveur qui répond au ping avec son service applicatif arrêté est considéré comme disponible par un contrôle réseau simple, alors que le service rendu est nul.
Surveillez l'état des services critiques et leur mode de démarrage : un service configuré en démarrage automatique mais arrêté est une anomalie, alors qu'un service en démarrage manuel arrêté est normal.
Get-Service | Where-Object { $_.StartType -eq 'Automatic' -and $_.Status -ne 'Running' }Cette commande liste exactement ce qui devrait tourner et ne tourne pas.
C'est ici que la plupart des supervisions Windows produisent du bruit. Quelques identifiants d'événement méritent réellement une notification :
| Identifiant | Journal | Signification |
|---|---|---|
| 6008 | Système | Arrêt inattendu du système — plantage ou coupure |
| 41 | Système | Redémarrage sans arrêt propre (Kernel-Power) |
| 7 | Système | Erreur de bloc défectueux sur un disque |
| 51 | Système | Erreur de pagination disque |
| 1001 | Application | BugCheck — écran bleu |
| 4625 |
Et surtout, ceux qu'il ne faut pas transformer en alerte unitaire :
Ces événements ne sont exploitables qu'en tendance, rapportés à une base de comparaison : une multiplication par dix du nombre d'échecs d'authentification par rapport à la moyenne des sept derniers jours est un signal ; une valeur absolue n'en est pas un.
C'est l'erreur la plus courante en supervision Windows. Un déclencheur qui compte les identifiants 4672 ou 4624 en valeur absolue génère un bruit continu qui décrédibilise l'ensemble des alertes en une semaine.
Sur un contrôleur de domaine, surveillez en plus :
NTDS.dit et les journaux de transactionrepadmin /replsummary)Ce dernier point provoque des pannes d'authentification difficiles à diagnostiquer, alors que la cause est triviale.
Surveillez les quotas, le nombre de sessions ouvertes et l'état du service Serveur. La saturation du volume partagé est ici l'incident le plus visible des utilisateurs.
Sur un hôte Hyper-V, la supervision de l'hôte lui-même reste identique à celle d'un serveur Windows standard : disque, mémoire, processeur, services. Le service vmms (Gestion des machines virtuelles Hyper-V) doit être surveillé, car son arrêt affecte toutes les machines invitées.
Notez que les métriques internes des machines virtuelles ne remontent pas depuis l'hôte : chaque invité doit être supervisé séparément, avec son propre agent.
Un hôte de virtualisation présente une charge processeur et réseau structurellement plus élevée qu'un serveur applicatif. Appliquer les mêmes seuils aux deux garantit des alertes permanentes sur l'hyperviseur.
Deux points où Windows est mieux servi que Linux :
L'agent Zabbix exploite les deux directement, ce qui rend la collecte sur Windows particulièrement simple à mettre en place — l'essentiel du travail porte sur le choix des seuils, pas sur la collecte.
L'installation de l'agent est détaillée dans installer Zabbix Agent 2 sur Windows Server : téléchargement du MSI officiel, configuration, chiffrement PSK et vérification.
Le point d'attention principal concerne le mode de fonctionnement : privilégiez le mode actif, dans lequel l'agent se connecte au serveur de supervision. Aucun port entrant n'est alors à ouvrir sur les serveurs, ce qui simplifie considérablement les règles de pare-feu en environnement Windows.
Les templates Windows sont appliqués automatiquement selon le système détecté à l'enrôlement, avec des seuils calibrés sur des données réelles. Les hôtes de virtualisation sont rattachés à un groupe distinct, dont les seuils réseau sont assouplis pour tenir compte du trafic structurellement plus élevé d'un hyperviseur.
Windows 10 et 11 également, via le même agent.
La présence du service vmms rattache automatiquement l'hôte au groupe des hyperviseurs.
Les signaux sont évalués en écart à la normale, jamais en comptage brut.
Logiserv supervise votre parc à partir de cet article : essai gratuit sans carte bancaire.
| Sécurité |
| Échec d'authentification (utile en volume, pas à l'unité) |