可以将 Windows 事件通道添加到 Log Insight Windows Agent配置。 Log Insight Windows Agent 将收集日志事件并将其发送到 vRealize Log Insight 服务器。

字段名称受到一定的限制。以下名称是保留名称,因此不能用作字段名称。

  • event_type
  • hostname
  • source
  • text

前提条件

登录到已安装 vRealize Log InsightWindows 代理的 Windows 计算机,启动“服务”管理器以验证是否已安装 vRealize Log Insight 代理服务。

过程

  1. 导航到 vRealize Log InsightWindows 代理的程序数据目录。
    %ProgramData%\VMware\Log Insight Agent
  2. 在任意文本编辑器中打开 liagent.ini 文件。
  3. 添加以下参数,并设置用于您环境的值。
    参数 描述
    [winlog|section_name] 配置部分的唯一名称。
    channel 事件通道的完整名称(显示在内置 Windows 应用程序“事件查看器”中的名称)。要复制正确的通道名称,请在事件查看器中右键单击通道,选择属性并复制完整名称字段的内容。
    enabled 用于启用或停用配置部分的一个可选参数。可能的值为 yes 或 no(不区分大小写)。默认值为 yes。
    tags

    用于向所收集事件的字段添加自定义标记的可选参数。使用 JSON 表示法定义标记。标记名称可以包含字母、数字和下划线。标记名称只能以字母或下划线开头,并且不能超过 64 个字符。标记名称不区分大小写。例如,如果使用 tags={"tag_name1" : "tag value 1", "Tag_Name1" : "tag value 2" },则将 Tag_Name1 作为重复项忽略。不能将 event_type 和时间戳用作标记名称。同一个声明中的所有重复项都将被忽略。

    如果目标是 syslog 服务器,标记可能会覆盖 APP-NAME 字段。例如,tags={"appname":"VROPS"}。

    whitelist, blacklist 显式包括或排除日志事件的可选参数。
    注: blacklist 选项仅适用于字段;不可用于块文本。
    exclude_fields (可选)用于从收集中排除各个字段的一个参数。可以通过分号分隔的列表的形式提供多个值。例如,exclude_fields=EventId; ProviderName
    [winlog|section_name]
    channel=event_channel_name
    enabled=yes_or_no
    tags={"tag_name1" : "Tag value 1", "tag_name2" : "tag value 2" }
  4. 保存并关闭 liagent.ini 文件。

示例: 配置

请参见下面的 [winlog| 配置示例。

[winlog|Events_Firewall ]
channel=Microsoft-Windows-Windows Firewall With Advanced Security/Firewall 
enabled=no
[winlog|custom]
channel=Custom
tags={"ChannelDescription": "Events testing channel"}