Inoltro di eventi di Windows tramite https senza dominio di Windows: nessun evento 104

Jan 12 2021

Seguendo il suggerimento in questa risposta , sto cercando di configurare l'inoltro di eventi di Windows seguendo questa guida di Microsoft:

Configurazione di una sottoscrizione avviata dall'origine in cui le origini evento non si trovano nello stesso dominio del computer del raccoglitore di eventi .

Ci sono bloccato per giorni, e ho letto questa guida decine di volte, ogni tanto superando un altro piccolo ostacolo. Sono andato abbastanza lontano, ma ora mi sento davvero bloccato.

Sono bloccato al punto 7 della configurazione del computer di origine evento :

  1. Questi passaggi dovrebbero produrre l'evento 104 nel computer di origine Visualizzatore eventi Applications and Services Logs \ Microsoft \ Windows \ Eventlog-ForwardingPlugin \ Operational log con il seguente messaggio:
    "Il server di inoltro si è connesso correttamente al gestore delle sottoscrizioni all'indirizzo seguito dall'evento 100 con il messaggio: "La sottoscrizione <sub_name> è stata creata correttamente."
  2. In Event Collector, lo stato di runtime della sottoscrizione mostrerà ora 1 computer attivo.

Inoltre, non sono sicuro di cosa significhi il punto 8. Per il comando Stato runtime sottoscrizione ( wecutil gr SubscriptionId), ho bisogno di un ID sottoscrizione, ma la guida non ha detto di crearne uno.

Non ho capito bene. Puoi indicarmi la giusta direzione? Grazie.

Risposte

1 Swisstone Jan 12 2021 at 00:20

Devi prima creare un abbonamento, altrimenti l'ID evento 100 non verrà visualizzato. Questo passaggio è l'ultimo capitolo della documentazione ( Configurazione della sottoscrizione agli eventi )

[...]Right-click Subscriptions and choose “Create Subscription…”  
Give a name and an optional description for the new Subscription.  
Select “Source computer initiated” option and click “Select Computer Groups…”.  
In Computer Groups click on “Add Non-Domain Computers…” and type the event source hostname.[...]

Una volta creata la sottoscrizione sul server, i computer potranno sottoscriverla (dopo l'intervallo di aggiornamento impostato nell'oggetto Criteri di gruppo se hanno già scaricato l'oggetto Criteri di gruppo prima della creazione della sottoscrizione)

Il passaggio 8 nella documentazione ti dice solo che dopo aver creato l'abbonamento sarai in grado di elencare i computer attivi direttamente nel visualizzatore di eventi dei collezionisti, tuttavia ti consiglio di utilizzare lo strumento della riga di comando perché la GUI non si comporterà bene quando ne hai diverse migliaia computer collegati: wecutil esper elencare gli abbonamenti esistenti e wecutil gs <subscriptionName>per mostrare i dettagli sull'abbonamento,