Recopilar registros de los canales de eventos de Windows

Puede añadir un canal de eventos de Windows a la configuración de VMware Aria Operations for Logs Windows Agent. El VMware Aria Operations for Logs Windows Agent recopilará los eventos de registro y los enviará al servidor VMware Aria Operations for Logs.

Los nombres de campos están restringidos. Los siguientes nombres están reservados y no se pueden utilizar como nombres de campo.

• event_type
• hostname
• source
• text

Requisitos previos

Inicie sesión en el equipo Windows donde instaló el agente de Windows de VMware Aria Operations for Logs e inicie el administrador de servicios para verificar que el servicio del agente de VMware Aria Operations for Logs esté instalado.

Procedimiento

1. Desplácese hasta el directorio de datos del programa del agente de Windows de VMware Aria Operations for Logs.
   %ProgramData%\VMware\Log Insight Agent
2. Abra el archivo liagent.ini en cualquier editor de texto.
3. Añada los siguientes parámetros y configure los valores para su entorno.

   Parámetro	Descripción
   [winlog|section_name]	Un nombre único para la sección de configuración.
   channel	El nombre completo del canal de eventos como aparece en la aplicación de Windows incorporada del Visor de eventos. Para copiar el nombre de canal correcto, haga clic con el botón derecho en un canal del Visor de eventos, seleccione Propiedades y copie los contenidos del campo Nombre completo.
   enabled	Un parámetro opcional para habilitar o desactivar la sección de configuración. Los valores posibles son sí o no (distingue mayúsculas de minúsculas). El valor predeterminado es sí.
   tags	El parámetro opcional para añadir etiquetas personalizadas a los campos de eventos recopilados. Defina las etiquetas usando la anotación JSON. Los nombres de etiquetas pueden incluir letras, números y guiones bajos. Un nombre de etiqueta solo puede comenzar con una letra o un guion bajo y no puede tener más de 64 caracteres. Los nombres de las etiquetas no distinguen entre mayúsculas y minúsculas. Por ejemplo, si utiliza tags={"tag_name1" : "tag value 1", "Tag_Name1" : "tag value 2" }, Tag_Name1 se ignora como duplicado. No es posible utilizar event_type y timestamp como nombres de etiqueta. Los duplicados dentro de la misma declaración se ignoran. Si el destino es un servidor syslog, las etiquetas pueden anular el campo APP-NAME. Por ejemplo, etiquetas={"appname":"VROPS"}.
   whitelist, blacklist	Los parámetros opcionales para incluir o excluir de manera explícita los eventos de registro. Nota: La opción blacklist sirve únicamente para campos; no se puede usar para bloquear texto.
   exclude_fields	(Opcional) Un parámetro para excluir de la recopilación a los campos individuales. Puede proporcionar múltiples valores como una lista separada por punto y coma. Por ejemplo, exclude_fields=EventId; ProviderName

   [winlog|section_name]
   channel=event_channel_name
   enabled=yes_or_no
   tags={"tag_name1" : "Tag value 1", "tag_name2" : "tag value 2" }

4. Guarde y cierre el archivo liagent.ini.

Ejemplo: Configuraciones

Vea los siguientes ejemplos de configuración [winlog|.

[winlog|Events_Firewall ]
channel=Microsoft-Windows-Windows Firewall With Advanced Security/Firewall 
enabled=no

[winlog|custom]
channel=Custom
tags={"ChannelDescription": "Events testing channel"}