从一个2012R2域控制器收集“目录服务”事件日志并发送到一个2012R2成员服务器

Question

我有两个Server2012R2域控制器(我们将称它们为DC01和DC02)。我还有一个Server2012R2成员服务器(我们称之为收集器)，我将使用它从各种服务器收集特定的事件日志。我已经设置了事件日志收集，我能够成功地从多个服务器为“应用程序”、“系统”等日志设置订阅。

我的问题是，我想从域控制器的“目录服务”日志中收集事件。但是，当我在收集器上设置新订阅时，在“查询筛选器”下，由于收集器没有安装AD DS角色，因此没有与域控制器关联的日志(例如“目录服务”)，所以我没有“目录服务”日志作为选项。

知道如何从成员服务器事件收集器收集特定日志中的事件吗？

Answer 1

创建自定义XML筛选器：

<QueryList>
  <Query Id="0" Path="Directory Service">
    <Select Path="Directory Service">*</Select>
  </Query>
</QueryList>