進(jìn)行集中日志管理的計(jì)算機(jī)要求和配置
任何Windows Server 2008或者windows Vista都可以成為你的集中日志計(jì)算機(jī)，這就意味著，你在Windows Server 2008、Windows Server 2003、Windows Vista或者Windows XP等計(jì)算機(jī)上配置的所有日志都可以發(fā)送到集中日志計(jì)算機(jī)進(jìn)行一站式處理。
如果你希望利用你的Windows Server 2008或者windows Vista來(lái)集中處理日志，真的不需要進(jìn)行太多的工作，不過(guò)你至少需要將計(jì)算機(jī)配置為支持日志，你可以通過(guò)從提升的命令提示符中運(yùn)行一些命令來(lái)實(shí)現(xiàn)。
注意：
當(dāng)用戶帳戶控制(User Account Control)已經(jīng)啟用時(shí)，命令提示符必須被提升。
你需要運(yùn)行的第一個(gè)命令將在計(jì)算機(jī)上建立遠(yuǎn)程管理器(Remote Management)，就是以下命令：
| winrm qc |
該命令將會(huì)生成一個(gè)響應(yīng)信息，告訴你某些任務(wù)需要由系統(tǒng)來(lái)執(zhí)行，你只需要確認(rèn)“Yes”，該信息可以在圖1中看到。
注意：
如果你在命令結(jié)尾處使用-q switch，命令和行動(dòng)將自動(dòng)安靜的進(jìn)行執(zhí)行。
圖1：在Windows Vista計(jì)算機(jī)上配置遠(yuǎn)程管理
當(dāng)你輸入Y來(lái)進(jìn)行更改時(shí)，將會(huì)立即顯示結(jié)果告訴你操作成功。
第二個(gè)命令將會(huì)配置Event Collector服務(wù)，這個(gè)命令很類似，但是可以控制Event Collector服務(wù)：
| wecutil qc /q |
再一次，你會(huì)收到操作成功的確認(rèn)信息。
集中日志管理的計(jì)算機(jī)要求和配置
如果你使用Windows Server 2008 或者Windows Vista作為源計(jì)算機(jī)，那么你只需要運(yùn)行一個(gè)命令讓計(jì)算機(jī)隨時(shí)準(zhǔn)備向中央日志計(jì)算機(jī)發(fā)送信息，使用的命令與上文中所說(shuō)的安裝遠(yuǎn)程管理器的命令相同：
| winrm qc –q |
如果你使用的是Windows Server 2003或者 XP，你將需要為操作系統(tǒng)下載并安裝遠(yuǎn)程管理的Forwarding部分。
注意：
在正確配置發(fā)送日志功能時(shí)，你必須在Windows Server 2003上安裝SP1，Windows XP系統(tǒng)上安裝SP2。
安裝好后，接著你再執(zhí)行相同的遠(yuǎn)程管理配置字符串?！?/p>
| winrm qc –q |
注意：
你必須具備管理權(quán)限才能執(zhí)行此配置。
你可以通過(guò)啟動(dòng)Event Viewer來(lái)檢查配置情況，當(dāng)開(kāi)啟Event Viewer，你需要查看以下名為Microsoft-Windows-Forwarding/Operational新節(jié)點(diǎn)，如圖2所示。
圖2：Event Viewer中的 Windows XP轉(zhuǎn)發(fā)日志
#p#副標(biāo)題#e#
安裝Subscription
對(duì)subscription的配置需要在中央日志計(jì)算機(jī)上執(zhí)行，對(duì)于這些步驟泥漿需要進(jìn)行以下配置：
·Computer name：你想要收集日志信息的計(jì)算機(jī)
·Event type (例如關(guān)鍵、錯(cuò)誤和警告等)
·By log (例如系統(tǒng)和應(yīng)用程序等)
·By source
·Event ID(s)(通常不會(huì)想要收集所有時(shí)間，那么就應(yīng)該把這些事件都列出來(lái))
·Keywords
·User or Computer
注意：
并不是上述所有都是必須的，但是可以作為選擇。
第一步你首先要確定你想要從哪些計(jì)算機(jī)收集信息，這可以通過(guò)右鍵單擊事件查看器中的Subscription節(jié)點(diǎn)來(lái)實(shí)現(xiàn)，然后選擇新建Subscription，在Subscription Properties框中，選擇Select Computers按鈕，如圖3所示。
圖3：Subscription Properties對(duì)話框可以讓你配置想要收集的計(jì)算機(jī)日志
在計(jì)算機(jī)對(duì)話框中，你可以添加Domain Computers到想要收集日志信息的計(jì)算機(jī)列表中，這是很有用的，因?yàn)槟憧梢詣?chuàng)建一個(gè)Subscription來(lái)收集來(lái)自很多計(jì)算機(jī)的類似事件，并將其卻認(rèn)為一組事件。同時(shí)還有一個(gè)Test選項(xiàng)，為了確保中央計(jì)算機(jī)可以查看其收集事件的遠(yuǎn)程計(jì)算機(jī)，如圖4所示。
圖4：你可以測(cè)試以確保你收集日志的計(jì)算機(jī)進(jìn)行了正確的配置
在配置好這些源計(jì)算機(jī)后，現(xiàn)在你只需要配置事件以及你想要收集的詳細(xì)細(xì)節(jié)，圖5中顯示的是你的可選項(xiàng)。
圖5：每個(gè)subscription都可以允許你對(duì)收集的信息提出細(xì)節(jié)要求
在配置好想要收集的事件類型后，基于眾多可用的選項(xiàng)，你只需要等待收集到源計(jì)算機(jī)的事件并發(fā)送到中央日志計(jì)算機(jī)即可。
#p#副標(biāo)題#e#
查看收集的事件
要想查看收集到中央日志計(jì)算機(jī)的事件，你只需要到事件查看器即可查看。在這里，你將會(huì)看到Windows Logs下名為Forwarded Events的節(jié)點(diǎn)，源計(jì)算機(jī)配置為發(fā)送所有事件到該位置，你當(dāng)然也可以設(shè)置自定義試圖分割以及將事件按照自定義的格式進(jìn)行排列(如果你收集的是來(lái)自很多計(jì)算機(jī)和不同類型的事件的話，這樣做將很有幫助)。圖6顯示的是從Windows XP計(jì)算機(jī)收集來(lái)的事件信息，顯示在Windows Server 2008計(jì)算機(jī)上。
圖6：由Windows XP收集的事件并發(fā)送到Windows Server 2008中央日志計(jì)算機(jī)
總結(jié)
對(duì)于負(fù)責(zé)管理和查看事件日志的人員，現(xiàn)在可以利用Windows Server 2008 和Windows Vista中的新技術(shù)來(lái)創(chuàng)建集中式日志管理計(jì)算機(jī)。只要安裝好了這種集中式日至管理計(jì)算機(jī)，你就只需要初始化源計(jì)算機(jī)上的遠(yuǎn)程管理組件即可。源計(jì)算機(jī)可以是Windows XP SP2、Windows Server 2003 SP1、Windows Vista或者 Windows Server 2008。另外可以在中央日志管理計(jì)算機(jī)上安裝Subscription，你只需要確定你想要收集來(lái)自哪些計(jì)算機(jī)的事件以及收集的事件類型。至于其他計(jì)算機(jī)，你只需要查看中央日志管理計(jì)算機(jī)的事件查看器就可以看到網(wǎng)絡(luò)中各地的事件情況。
