Windows イベント チャネルのフィルタを設定して、ログ イベントを明示的に含めるか、除外します。
フィルタ式を評価するには、whitelistおよびblacklist パラメータを使用します。フィルタ式は、イベント フィールドおよび演算子で構成されるブール式です。
注:
blacklist オプションはフィールドに対してのみ機能し、テキストをブロックするためには使用できません。
- whitelist パラメータは、フィルタ式が非ゼロと評価されたログ イベントのみを収集します。このパラメータを省略する場合、値は暗黙の値 1 です。
- blacklist パラメータは、フィルタ式が非ゼロと評価されたログ イベントを除外します。デフォルト値は 0 です。
Windows イベントおよび演算子の完全なリストについては、イベントのフィールドおよび演算子 を参照してください。
前提条件
VMware Aria Operations for LogsWindows エージェントをインストールした Windows マシンにログインし、サービス マネージャを起動して VMware Aria Operations for Logs エージェント サービスがインストールされていることを確認します。
手順
例: フィルタ構成
たとえば次のように、エラー イベントのみを収集するようにエージェントを構成できます。
[winlog|Security-Error] channel = Security whitelist = Level == WINLOG_LEVEL_CRITICAL or Level == WINLOG_LEVEL_ERROR
たとえば次のように、アプリケーション チャネルから VMware ネットワーク イベントのみを収集するようにエージェントを構成できます。
[winlog|VMwareNetwork] channel = Application whitelist = ProviderName == "VMnetAdapter" or ProviderName == "VMnetBridge" or ProviderName == "VMnetDHCP"
たとえば次のように、セキュリティ チャネルから特定のイベント以外のすべてのイベントを収集するようにエージェントを構成できます。
[winlog|Security-Verbose] channel = Security blacklist = EventID == 4688 or EventID == 5447