Estou com um problema ao tentar usar um diário de log personalizado para armazenar eventos encaminhados (por meio de inscrição) em um servidor Windows 2008 R2, sendo o log personalizado descrito como não sendo um "log de destino válido".
Atualmente, estou configurando uma arquitetura para centralizar eventos do Windows usando os recursos internos de encaminhamento e coleta de eventos (via WS-management e wecutil).
Um dos meus requisitos é ser capaz de criar várias assinaturas na máquina coletora e armazenar eventos encaminhados em diferentes arquivos de log. Para isso, testei a criação de um log personalizado (chamado CustomLog). Esse log aparece no Visualizador de Eventos, na categoria "Logs de Aplicativos e Serviços".
No entanto, não consigo redirecionar os eventos encaminhados para esse CustomLog. O CustomLog não aparece na lista de possíveis destinos ao criar uma assinatura na interface do usuário do Visualizador de Eventos.
Para tentar o que poderia estar errado, deixei-o com o ForwardedEvents padrão como destino e tentei alterá-lo via Powershell. Eu corri o seguinte comando, que é suposto para definir o log de destino como CustomLog:
wecutil ss "Collect from both sources" /lf:CustomLog
Ele foi executado sem erro. No entanto, nenhum evento é registrado no CustomLog, e quando eu volto para a GUI para criar / modificar assinaturas e tento abrir a assinatura que eu configuro, recebo um pop-up indicando o seguinte:
The destination log defined in this subscription cannot be found in the list of valid destination logs on this computer. verify that this log exists on the computer and is valid as a destination for forwarded events. Note that classic logs, analytic and debug logs and the Security log cannot be used as destination.
Alguém sabe o que é um "log de destino válido" e como eu poderia transformar meu CustomLog em um destino tão válido?
O seguinte blog da Microsoft detalha as etapas para criar arquivos de log separados. Na verdade, você pode criar qualquer número de arquivos de log. Acabei de concluir os passos e posso confirmar que funciona no Windows 10.
Criando logs personalizados de encaminhamento de eventos do Windows
Levando as coisas um passo adiante, achei o seguinte blog da Microsoft útil para configurar uma arquitetura em camadas.
Monitoramento de clientes DIY - Configurando o encaminhamento de eventos em camadas
O wecutil permite que um arquivo XML seja usado para fornecer informações de configuração. Você poderia tentar colocar o CustomLog como destino de destino.
Veja o link
Ele contém um arquivo XML de amostra que você pode usar
Consulte também link
Isso sugere que pode não ser possível, mas oferece a solução XML como uma opção, mas sem qualquer confirmação de sucesso.