Remover PCs do encaminhamento de eventos do Windows iniciado por fonte?

Question

Eu pesquisei isso e não encontrei nenhuma resposta.

(sim, também postei no TechNet sobre isso)

Eu tenho algumas estações de trabalho que foram desativadas e estão sendo mostradas como "Inativas". Gostaria de removê-los da assinatura para minimizar a aparência de erros.

A resposta aqui era para configurações iniciadas pelo coletor, (o que requer que você execute o código C ++ ??).

Alguém encontrou uma maneira fácil de remover PCs INICIADOS POR FONTE ?

    

Answer 1

Verifique a nota "tamanho do registro" em esta página .

For each unique device that connects to a WEF subscription, there is a registry key (corresponding to the FQDN of the WEF Client) created to store bookmark and source heartbeat information. If this is not pruned to remove inactive clients this set of registry keys can grow to an unmanageable size over time.

É tão fácil quanto excluir a chave do Registro no servidor do Coletor de Eventos do Windows. Você poderia escrever um script para comparar a lista de clientes no registro com a lista de clientes ativos em seu diretório ativo. Em seguida, exclua as chaves dos clientes que não existem no AD ou que não foram autenticados há algum tempo.

Essas chaves estão localizadas aqui em cada um dos seus servidores do Coletor de Eventos do Windows: HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\Subscriptions\<SubscriptionName>

    

Answer 2

Existe um comando do windows para gerenciar assinaturas, o wecutil.exe.

link

wecutil ss "Event subscription name" /res /esa:eventsourcecomputername.domain.com