Windows-Ereignisweiterleitung über https ohne Windows-Domäne - kein Ereignis 104

Jan 12 2021

Dem Vorschlag in dieser Antwort folgend , versuche ich, die Windows-Ereignisweiterleitung einzurichten, indem ich diesem Microsoft-Handbuch folge:

Einrichten eines von einer Quelle initiierten Abonnements, bei dem sich die Ereignisquellen nicht in derselben Domäne wie der Ereignissammlercomputer befinden .

Ich bin tagelang dabei und habe diesen Leitfaden Dutzende Male gelesen, hin und wieder, um ein weiteres kleines Hindernis zu überwinden. Ich bin ziemlich weit gekommen, aber jetzt fühle ich mich wirklich festgefahren.

Ich stecke bei Punkt 7 der Konfiguration des Ereignisquellencomputers fest :

  1. Diese Schritte sollten Ereignis 104 in Ihrem Quellcomputer erzeugen. Ereignisanzeige Anwendungs- und Dienstprotokolle \ Microsoft \ Windows \ Ereignisprotokoll-Weiterleitungsprotokoll \ Betriebsprotokoll mit der folgenden Meldung:
    "Die Weiterleitung hat erfolgreich eine Verbindung zum Abonnement-Manager unter der Adresse hergestellt, gefolgt von Ereignis 100 mit dem message: "Das Abonnement <subname> wurde erfolgreich erstellt."
  2. Auf dem Ereigniskollektor zeigt der Abonnement-Laufzeitstatus jetzt 1 aktiven Computer an.

Ich bin mir auch nicht sicher, was Punkt 8 bedeutet. Für den Befehl "Subscription Runtime Status" ( wecutil gr SubscriptionId) benötige ich eine Abonnement-ID, aber in der Anleitung wurde nicht angegeben, eine zu erstellen.

Ich bin verwirrt. Können Sie mich bitte in die richtige Richtung weisen? Vielen Dank.

Antworten

1 Swisstone Jan 12 2021 at 00:20

Sie müssen zuerst ein Abonnement erstellen, da sonst die Ereignis-ID 100 nicht angezeigt wird. Dieser Schritt ist das letzte Kapitel in der Dokumentation ( Konfiguration des Ereignisabonnements ).

[...]Right-click Subscriptions and choose “Create Subscription…”  
Give a name and an optional description for the new Subscription.  
Select “Source computer initiated” option and click “Select Computer Groups…”.  
In Computer Groups click on “Add Non-Domain Computers…” and type the event source hostname.[...]

Sobald das Abonnement auf dem Server erstellt wurde, können Computer es abonnieren (nach dem im Gruppenrichtlinienobjekt festgelegten Aktualisierungsintervall, wenn sie das Gruppenrichtlinienobjekt bereits heruntergeladen haben, bevor das Abonnement erstellt wurde).

In Schritt 8 der Dokumentation erfahren Sie lediglich, dass Sie nach dem Erstellen des Abonnements aktive Computer direkt in der Ereignisanzeige der Sammler auflisten können. Ich empfehle jedoch die Verwendung des Befehlszeilentools, da sich die GUI bei mehreren Tausend nicht gut verhält verbundene Computer: wecutil esum vorhandene Abonnements aufzulisten und wecutil gs <subscriptionName>Details zum Abonnement anzuzeigen,