ユーザーアウェアネスのためにWindowsイベント転送を設定する方法

Windowsリモート管理（WS-Management）は、イベントをコレクタに転送するためのMicrosoftサービスです。 このサービスはデフォルトで自動的に実行されます。そうでない場合は、状態を「実行中」、起動種類を「自動」に設定してください。

Windows PowerShellコンソールを開き、コマンドを実行してPowerShellリモートサービスを有効化します: Enable-PSRemoting。 次のコマンドを実行することでPSRemotingが有効化されていることを確認できます: Invoke-Command -ComputerName<COLLECTORHOSTNAME> -ScriptBlock {1}。 エラーが表示されない場合、サービスは実行中です。

サブスクリプションを開始するには：

次のスクリーンショットはサブスクリプションプロパティウィンドウの例を示しています：

転送されたイベントファイルをセキュリティイベントを使用するように設定するには次の手順に従います：

Windows PowerShellコンソールを開き、次のコマンドを実行します：wevtutilgl security。 このコマンドは、セキュリティイベントログに関する情報を提供します。 channelAccess文字列をコピーします。

次のスクリーンショットは、「MyCollector」サーバー用のサブスクリプション マネージャーの例を示しています。

2. コンピューター構成→ポリシー→管理用テンプレート→Windows コンポーネント→イベント ログ サービス→セキュリティ→ログ アクセスの設定 に移動し、有効 を選択して、上記のセクションから channelAccess 文字列をログアクセス ペインに貼り付けます。

以下のスクリーンショットは、channelAccess 値を用いたログアクセス設定の例を示しています：

サーバー管理者 > ツール > Active Directory ユーザーとコンピューター > ドメイン名>組み込み に進み、イベント ログ リーダー グループを右クリックしてプロパティをクリックします。 ウィンドウが開いたら、メンバー タブに移動してネットワーク サービス アカウントを追加し、[OK] をクリックします。

コマンドラインを開き、gpupdate /force コマンドを実行して GPO を更新します。 このグループへの変更には、WinRM が変更を適用するために再起動が必要です。