事件查看器进阶管理

无论是在审核的管理上或是其它系统、应用程序的故障排除上，事件查看器是系统管理员最经常会去使用到的管理工具，因此接下来笔者要针对几个操作上的小技巧多作一些介绍。

无论是在审核的管理上或是其它系统、应用程序的故障排除上，事件查看器是系统管理员最经常会去使用到的管理工具，因此接下来笔者要针对几个操作上的小技巧多作一些介绍。如图5所示，在一般我们所开启的事件查看器接口中，无论准备针对哪一类型的事件项目进行检视时，通常都会发现事件的项目琳琅满目，而真正所要检视的重要事件却可能埋藏于其中，这时候我们应该怎么办呢？请选择动作窗口中的“筛选目前的记录”链接继续。

紧接着将会开启筛选目前的记录设定页面，在此我们可以依照实际的需要，设定所要筛选的时间范围、事件等级（例如：重大、警告）、事件日志（例如：安全性）、事件来源、事件编号、关键词、用户以及计算机等等来设定筛选的条件，以从众多的事件中迅速找到我们所需要的相关事件。范例中笔者以惟一输入事件编号5137来作为筛选的条件，选择确定完成设定。

当我们完成了筛选目前的记录事件设定之后，您将会发现根据条件的定义，我们实际上所需要检视的事件项目在窗口中只剩下一个。在上述的事件管理中，我们是针对本机的计算机事件类别进行筛选，以加速故障排除或审核管理检视上的效率，可是如果今天所要同时监控管理的相关服务器或客户端计算机不只一部时，该怎么办呢？

相信读者可能会联想到使用System Center家族产品中的Operations Manager 2007来进行集中监控，在一个ITIL架构领域中这的确是一个最佳的解决方案，但是这毕竟是另一门技术上的领域与经验，更重要的是您还必须要有额外的信息预算编列才能够真正做到。如果今天我们只想透过Windows Server 2008所提供的现有功能，来达到这项管理需求时该怎么呢？很简单！请同样在事件查看器的界面中选择最下方的订阅项目节点继续，执行之后将会出现警告讯息，然后选择“是”即可。

然后，我们可以新增一个自定义的订阅项目，执行之后将会开启订阅内容的页面，首先输入一个惟一的订阅名称，然后在目的地记录文件下拉菜单中确认选取“转送的事件”，紧接着请选择“选取计算机”按钮继续。之后在开启了 计算机列表的页面中，您可以选择“新增网域计算机”来将所要收集事件来源的计算机一一加入即可，完成设定之后选择确定按钮。

接下来，在前两个步骤的页面中选择“选取事件”的按钮，接着系统将会开启查询筛选器的页面，在此您可以针对前面所选择的来源计算机，设定所要收集的事件筛选条件，这包括了时间范围、事件等级、事件日志、事件来源、事件编号、用户以及计算机等等条件即可。最后您还可以选择进阶按钮来开启“进阶订阅设定”页面，来设定负责取得来源计算机事件的用户账户，注意：该账户必须具备有网域管理员的权限才可以，此外还可以设定“事件传递优化”的类型，在此建议采用预设的标准即可。

这样，就成功完成了一个位在相同网域中，但是针对不同计算机的事件转送的订阅设定，这样便可以轻松管理一些重要的事件在一部计算机的事件查看器当中，而不需要总是透过远程桌面的联机到每一部去查看了。

虽然Windows Server 2008或Windows Server 2012在网域服务的审核管理上，相比过去已经大幅改善了许多，但是对于大型企业来说，审核管理还必须要能够提供集中控管与分析，才能够符合实务上的需求。根据这一项需求，在Microsoft的解决方案中便需要进一步透过与System Center Operations Manager 2012 R2整合即可达到。