Active Directory: Настройка подписок на журналы событий (пересылка)

Просмотр событий позволяет вам просматривать события и журналы на вашем компьютере. Для устранения неполадок может потребоваться просмотр файлов журналов с других удаленных компьютеров. Подписки на журнал событий приходят на помощь... Подписка позволяет вам сохранять события с удаленных компьютеров. В этой статье я собираюсь настроить сборщик и целевую систему.

Предположим, вы хотите собирать события журналов событий с вашего контроллера домена на вашем клиентском компьютере. Следовательно, ваш клиентский компьютер является сборщиком, а ваш контроллер домена является целевым.

Клиентский компьютер (Коллектор)

Войдите в свой клиентский компьютер (Windows Vista и выше) с учетной записью, которая является членом группы доменных администраторов. Откройте Windows PowerShell и введите wecutil qc. Нажмите Enter.

wecutil qc

Это запустит службу сбора событий.

Серверный компьютер (Целевая система)

В Windows Server 2012 и 2016 удаленное управление включено по умолчанию. Чтобы убедиться, что оно включено, введите


Configure-SMRemoting.exe -GET

Если удаленный доступ не включен, вы можете просто включить его, запустив


Configure-SMRemoting.exe -ENABLE

Прежде чем перейти к следующему шагу, откройте Диспетчер серверов и убедитесь, что удаленное управление включено.

Теперь мы должны добавить учетную запись компьютера коллекционера в группу Читателей журналов событий сервера. Вы можете сделать это как в cmd, так и в PowerShell.


Add-ADGroupMember -Identity "Event Log Readers" -Members "client01$"


net localgroup "Event Log Readers" active-directory\client01$ /add

Это добавит client01 в группу читателей журнала событий. Теперь мы готовы настроить основную часть.

Настройка подписок на журналы событий

Войдите на ваш компьютер-коллектор (Windows 10). Откройте просмотр событий (eventvwr). Нажмите на Подписки и выберите Создать подписку.

Введите имя подписки и нажмите на Выбрать компьютеры.

Нажмите "Добавить доменные компьютеры" и введите имя компьютера вашей целевой системы. Имеет смысл протестировать соединение перед продолжением.

Далее нажмите Выбрать события.

Определите фильтр запроса. Выберите события, которые вы хотите собрать.

Нажмите ОК.

Тестирование функциональности подписок на журналы событий

Подождите несколько минут и выполните что-то на вашей целевой системе. Например, перезагрузите компьютер, чтобы создать записи в журнале событий. Затем вернитесь к вашей клиентской системе и нажмите на Журналы Windows. Выберите Пересланенные события и просмотрите журналы вашего целевого компьютера.

Хорошо. Это завершает настройку переадресации.

Настроить дополнительные параметры

Но это еще не все. Вы можете настроить пропускную способность, задержку и многое другое... Вернитесь к своей недавно сконфигурированной подписке и дважды щелкните по ней. Выберите Расширенные настройки.

Обратите внимание на оптимизацию доставки событий.

В обычном режиме доставляется 5 предметов за раз. Найти подходящую настройку, соответствующую вашим требованиям, немного сложно. Я рекомендую прочитать официальную статью Microsoft:

https://technet.microsoft.com/ru-ru/library/cc749167%28v=ws.11%29.aspx?f=255&MSPPError=-2147217396