Encaminhamento de eventos do Windows via https sem domínio do Windows - nenhum evento 104

Jan 12 2021

Seguindo a sugestão desta resposta , estou tentando configurar o Encaminhamento de Eventos do Windows seguindo este guia da Microsoft:

Configurando uma assinatura iniciada pela fonte onde as fontes de eventos não estão no mesmo domínio que o computador coletor de eventos .

Estou preso nele há dias e tenho lido este guia dezenas de vezes, de vez em quando superando outro pequeno obstáculo. Eu fui muito longe, mas agora me sinto muito presa.

Estou preso no ponto 7 da Configuração do computador da Fonte de Eventos :

  1. Essas etapas devem produzir o evento 104 em seu computador de origem Logs de aplicativos e serviços do Visualizador de eventos \ Microsoft \ Windows \ Eventlog-ForwardingPlugin \ Log operacional com a seguinte mensagem:
    "O encaminhador se conectou com êxito ao gerenciador de assinaturas no endereço seguido pelo evento 100 com o mensagem: "A assinatura <sub_name> foi criada com sucesso."
  2. No Event Collector, o Subscription Runtime Status mostrará agora 1 computador ativo.

Também não tenho certeza do que significa o ponto 8. Para o comando Subscription Runtime Status ( wecutil gr SubscriptionId), preciso de um ID de assinatura, mas o guia não disse para criar um.

Estou confuso. Você pode me apontar a direção certa? Obrigado.

Respostas

1 Swisstone Jan 12 2021 at 00:20

Você precisa criar uma assinatura primeiro, caso contrário, o ID do evento 100 não aparecerá. Esta etapa é o último capítulo da documentação ( configuração de assinatura de evento )

[...]Right-click Subscriptions and choose “Create Subscription…”  
Give a name and an optional description for the new Subscription.  
Select “Source computer initiated” option and click “Select Computer Groups…”.  
In Computer Groups click on “Add Non-Domain Computers…” and type the event source hostname.[...]

Depois que a assinatura for criada no servidor, os computadores poderão assiná-la (após o intervalo de atualização que você definiu no GPO se eles já baixaram o GPO antes da assinatura ser criada)

A etapa 8 na documentação apenas informa que, após criar a assinatura, você poderá listar os computadores ativos diretamente no visualizador de eventos dos coletores, no entanto, eu recomendo usar a ferramenta de linha de comando porque a GUI não se comportará bem quando você tiver vários milhares computadores conectados: wecutil espara listar assinaturas existentes e wecutil gs <subscriptionName>mostrar detalhes sobre a assinatura,