Wecutil.exe

Wecutil.exe to narzędzie modułu zbierającego zdarzenia systemu Windows, które umożliwia administratorowi tworzenie subskrypcji zdarzeń przekazywanych ze zdalnych źródeł zdarzeń obsługujących protokół WS-Management i zarządzanie nimi. Polecenia, opcje i wartości opcji są niewrażliwe na wielkość liter dla tego narzędzia.

Jeśli zostanie wyświetlony komunikat "Serwer RPC jest niedostępny" lub "Interfejs jest nieznany" podczas próby uruchomienia narzędzia wecutil, musisz uruchomić usługę modułu zbierającego zdarzenia systemu Windows (wecsvc). Aby uruchomić wecsvc, w wierszu polecenia z podwyższonym poziomem uprawnień wpisz net start wecsvc.

Wyświetlanie listy istniejących subskrypcji

Poniższa składnia służy do wyświetlania listy istniejących subskrypcji zdarzeń zdalnych.

wecutil { es | enum-subscription }

Jeśli używasz skryptu do pobierania nazw subskrypcji z danych wyjściowych, musisz pominąć znaki UTF-8 BOM w pierwszym wierszu danych wyjściowych. Poniższy skrypt przedstawia przykład, jak można pominąć znaki BOM.

setlocal enabledelayedexpansion

set bomskipped=
for /f %%i in ('wecutil es') do (
    set sub=%%i
    if not defined bomskipped (
        set sub=!sub:~3!
        set bomskipped=yes
    )
    echo !sub!
)
goto :eof

endlocal

Pobieranie konfiguracji subskrypcji

Poniższa składnia służy do wyświetlania danych konfiguracji subskrypcji zdarzeń zdalnych.

wecutil { gs | get-subscription } SUBSCRIPTION_ID [/f:VALUE 
[/u:VALUE] ...]

Pobieranie parametrów konfiguracji

SUBSCRIPTION_ID

Ciąg, który jednoznacznie identyfikuje subskrypcję. Ten identyfikator jest określony w elemecie SubscriptionId w pliku konfiguracji XML użytym do utworzenia subskrypcji.

/f:VALUE

Wartość określająca dane wyjściowe danych konfiguracji subskrypcji. WARTOŚĆ może mieć wartość "XML" lub "Terse", a wartość domyślna to "Terse". Jeśli wartość to "XML", dane wyjściowe są drukowane w formacie "XML". Jeśli wartość to "Terse", dane wyjściowe są drukowane w parach name-value.

/u: WARTOŚĆ

Wartość określająca, czy dane wyjściowe mają format Unicode. WARTOŚĆ może mieć wartość "true" lub "false". Jeśli wartość VALUE ma wartość "true", dane wyjściowe są w formacie Unicode, a wartość VALUE to "false", dane wyjściowe nie mają formatu Unicode.

Uzyskiwanie stanu środowiska uruchomieniowego subskrypcji

Poniższa składnia służy do wyświetlania stanu środowiska uruchomieniowego subskrypcji.

wecutil { gr | get-subscriptionruntimestatus } SUBSCRIPTION_ID
 [EVENT_SOURCE [EVENT_SOURCE] ...]

Pobieranie parametrów stanu

SUBSCRIPTION_ID

Ciąg, który jednoznacznie identyfikuje subskrypcję. Ten identyfikator jest określony w elemecie SubscriptionId w pliku konfiguracji XML użytym do utworzenia subskrypcji.

EVENT_SOURCE

Wartość identyfikująca komputer, który jest źródłem zdarzeń dla subskrypcji zdarzeń. Ta wartość może być w pełni kwalifikowaną nazwą domeny komputera, nazwy NetBIOS lub adresu IP.

Ustawianie informacji o konfiguracji subskrypcji

Poniższa składnia służy do ustawiania danych konfiguracji subskrypcji przez zmianę parametrów subskrypcji z wiersza polecenia lub przy użyciu pliku konfiguracji XML.

wecutil { ss | set_subscription } SUBSCRIPTION_ID [/e:VALUE] 
[/esa:EVENT_SOURCE [/ese:VALUE] [/aes] [/res] [/un:USERNAME] [/up:PASSWORD]] 
[/d:DESCRIPTION] [/uri:URI] [/cm:CONFIGURATION_MODE] [/ex:DATE_TIME] 
[/q:QUERY] [/dia:DIALECT] [/tn:TRANSPORTNAME] [/tp:TRANSPORTPORT] [/dm:MODE] 
[/dmi:NUMBER] [/dmlt:MS] [/hi:MS] [/cf:FORMAT] [/l:LOCALE] [/ree:[VALUE]] 
[/lf:FILENAME] [/pn:PUBLISHER] [/hn:NAME] [/ct:TYPE] 
[/cun:USERNAME] [/cup:PASSWORD] 
[/ica:THUMBPRINTS] [/as:ALLOWED] [/ds:DENIED] [/adc:SDDL]

wecutil {ss | set_subscription } /c:CONGIG_FILE [/cun:USERNAME] 
[/cup:PASSWORD]

Uwagi

Jeśli w poleceniu wecutil ss zostanie określona nieprawidłowa nazwa użytkownika lub hasło, nie zostanie zgłoszony żaden błąd, dopóki nie zostanie wyświetlony stan środowiska uruchomieniowego subskrypcji przy użyciu polecenia wecutil gr .

Ustawianie parametrów konfiguracji

SUBSCRIPTION_ID

Ciąg, który jednoznacznie identyfikuje subskrypcję. Ten identyfikator jest określony w elemecie SubscriptionId w pliku konfiguracji XML użytym do utworzenia subskrypcji.

/c: CONFIG_FILE

Wartość określająca ścieżkę do pliku XML zawierającego informacje o konfiguracji subskrypcji. Ścieżka może być bezwzględna lub względna względem bieżącego katalogu. Ten parametr może być używany tylko z opcjonalnymi parametrami /cus i /cup i wzajemnie wyklucza się ze wszystkimi innymi parametrami.

/e: WARTOŚĆ

Wartość określająca, czy włączyć, czy wyłączyć subskrypcję. WARTOŚĆ może mieć wartość true lub false. Wartość domyślna to true, która włącza subskrypcję.

/d: OPIS

Wartość określająca opis subskrypcji zdarzeń.

/ex: DATE_TIME

Wartość określająca czas wygaśnięcia subskrypcji. DATE_TIME jest wartością określoną w standardowym formacie XML lub ISO8601 daty i godziny: "rrrr-MM-ddThh:mm:ss[.sss][Z]", gdzie "T" jest separatorem czasu i "Z" wskazuje czas UTC. Jeśli na przykład DATE_TIME to "2007-01-12T01:20:00", czas wygaśnięcia subskrypcji to 12 stycznia 2007, 01:20.

/URI: identyfikator URI

Wartość określająca typ zdarzeń używanych przez subskrypcję. Adres komputera źródłowego zdarzeń wraz z identyfikatorem URI (Uniform Resource Identifier) jednoznacznie identyfikuje źródło zdarzeń. Ciąg identyfikatora URI jest używany dla wszystkich adresów źródłowych zdarzeń w subskrypcji.

/cm: CONFIGURATION_MODE

Wartość określająca tryb konfiguracji subskrypcji zdarzeń. CONFIGURATION_MODE może być jednym z następujących ciągów: "Normal", "Custom", "MinLatency" lub "MinBandwidth". Wyliczenie EC_SUBSCRIPTION_CONFIGURATION_MODE definiuje tryby konfiguracji. /dm, /dmi, /hi i /dmlt parametrów można określić tylko wtedy, gdy tryb konfiguracji jest ustawiony na Wartość niestandardowa.

/q: ZAPYTANIE

Wartość określająca ciąg zapytania dla subskrypcji. Format tego ciągu może być inny dla różnych wartości identyfikatora URI i dotyczy wszystkich źródeł zdarzeń w subskrypcji.

/dia: DIALEKT

Wartość określająca dialekt używany przez ciąg zapytania.

/cf: FORMAT

Wartość określająca format zwracanych zdarzeń. Format może mieć wartość "Events" lub "RenderedText". Gdy wartość to "RenderedText", zdarzenia są zwracane z zlokalizowanymi ciągami (takimi jak ciągi opisu zdarzenia) dołączonymi do zdarzeń. Wartość domyślna formatu to "RenderedText".

/l: USTAWIENIA REGIONALNE

Wartość określająca ustawienia regionalne do dostarczania zlokalizowanych ciągów w formacie renderowanego tekstu. USTAWIENIA REGIONALNE to identyfikator kultury języka/kraju, na przykład "EN-us". Ten parametr jest prawidłowy tylko wtedy, gdy /cf parametr jest ustawiony na "RenderedText".

/ree:[VALUE]

Wartość określająca, które zdarzenia mają być dostarczane dla subskrypcji. WARTOŚĆ może mieć wartość true lub false. Gdy wartość VALUE ma wartość true, wszystkie istniejące zdarzenia są odczytywane ze źródeł zdarzeń subskrypcji. Jeśli wartość ma wartość false, dostarczane są tylko przyszłe (przychodzące) zdarzenia. Wartość domyślna to true, gdy /ree jest określony bez wartości, a wartość domyślna to false, jeśli /ree nie jest określony.

/lf: NAZWA PLIKU

Wartość określająca lokalny dziennik zdarzeń używany do przechowywania zdarzeń odebranych z subskrypcji zdarzeń.

/pn: PUBLISHER

Wartość określająca nazwę wydawcy zdarzeń (dostawcy). Musi być wydawcą, który jest właścicielem lub importuje dziennik określony przez /lf parametru.

/dm: TRYB

Wartość określająca tryb dostarczania subskrypcji. TRYB może być wypychany lub ściągany. Ta opcja jest prawidłowa tylko wtedy, gdy /cm parametr jest ustawiony na Wartość niestandardowa.

/dmi: LICZBA

Wartość określająca maksymalną liczbę elementów do dostarczania wsadowego w subskrypcji zdarzeń. Ta opcja jest prawidłowa tylko wtedy, gdy /cm parametr jest ustawiony na Wartość niestandardowa.

/dmlt: MS

Wartość określająca maksymalne opóźnienie dozwolone w dostarczaniu partii zdarzeń. MS to dozwolona liczba milisekund. Ten parametr jest prawidłowy tylko wtedy, gdy /cm parametr jest ustawiony na Wartość niestandardowa.

/hi: MS

Wartość określająca interwał pulsu dla subskrypcji. MS to liczba milisekund używanych w interwale. Ten parametr jest prawidłowy tylko wtedy, gdy /cm parametr jest ustawiony na Wartość niestandardowa.

/tn: TRANSPORTNAME

Wartość określająca nazwę transportu używanego do łączenia się ze zdalnym komputerem źródłowym zdarzeń.

/esa: EVENT_SOURCE

Wartość określająca adres komputera źródłowego zdarzeń. EVENT_SOURCE to ciąg identyfikujący komputer źródłowy zdarzeń przy użyciu w pełni kwalifikowanej nazwy domeny dla komputera, nazwy NetBIOS lub adresu IP. Ten parametr może być używany z /ese, /aes, /res, lub /un i /up parametrów.

/ese: WARTOŚĆ

Wartość określająca, czy włączyć lub wyłączyć źródło zdarzeń. WARTOŚĆ może mieć wartość true lub false. Wartość domyślna to true, która włącza źródło zdarzeń. Ten parametr jest używany tylko wtedy, gdy /esa parametr jest używany.

/Aes

Wartość, która dodaje źródło zdarzeń określone przez /esa parametru, jeśli źródło zdarzeń nie jest jeszcze częścią subskrypcji zdarzeń. Jeśli komputer określony przez /esa parametr jest już częścią subskrypcji, zostanie wyświetlony błąd. Ten parametr jest dozwolony tylko wtedy, gdy /esa parametr jest używany.

/Res

Wartość, która usuwa źródło zdarzeń określone przez /esa parametru, jeśli źródło zdarzeń jest już częścią subskrypcji zdarzeń. Jeśli komputer określony przez /esa parametr nie jest częścią subskrypcji, zostanie wyświetlony błąd. Ten parametr jest dozwolony tylko wtedy, gdy /esa parametr jest używany.

/un: NAZWA UŻYTKOWNIKA

Wartość określająca nazwę użytkownika używaną w poświadczeniach w celu nawiązania połączenia ze źródłem zdarzeń określonym w /esa parametru. Ten parametr jest dozwolony tylko wtedy, gdy /esa parametr jest używany.

/up: HASŁO

Wartość określająca hasło dla nazwy użytkownika określonej w /un parametru. Nazwa użytkownika i poświadczenia hasła są używane do nawiązywania połączenia ze źródłem zdarzeń określonym w /esa parametru. Ten parametr jest dozwolony tylko wtedy, gdy /un parametr jest używany.

/tp: TRANSPORTPORT

Wartość określająca numer portu używany przez transport podczas nawiązywania połączenia z komputerem źródłowym zdarzeń zdalnych.

/hn: NAZWA

Wartość określająca nazwę DNS komputera lokalnego. Ta nazwa jest używana przez zdalne źródła zdarzeń do wypychania zdarzeń i musi być używana tylko do wypychania subskrypcji.

/ct: TYP

Wartość określająca typ poświadczeń używany do uzyskiwania dostępu do zdalnych źródeł zdarzeń. Typ może mieć wartość "default", "negotiate", "digest", "basic" lub "localmachine". Wartość domyślna to "default". Te wartości są definiowane w wyliczenie EC_SUBSCRIPTION_CREDENTIALS_TYPE .

/cun: NAZWA UŻYTKOWNIKA

Wartość, która ustawia poświadczenia użytkownika udostępnionego używane dla źródeł zdarzeń, które nie mają własnych poświadczeń użytkownika.

/cup: HASŁO

Wartość, która ustawia hasło użytkownika dla poświadczeń użytkownika udostępnionego. Gdy wartość PASSWORD jest ustawiona na * (gwiazdka), hasło jest odczytywane z konsoli programu . Ta opcja jest prawidłowa tylko wtedy, gdy określono /cun parametru.

/ica: ODCISKI PALCA

Wartość ustawiana na liście odcisków palca certyfikatu wystawcy na liście rozdzielanej przecinkami.

/as: ALLOWED

Wartość, która ustawia rozdzielaną przecinkami listę ciągów określających nazwy DNS komputerów niebędących domenami, które mogą inicjować subskrypcje. Nazwy można określić przy użyciu symboli wieloznacznych, takich jak "*.mydomain.com". Domyślnie ta lista jest pusta.

/ds: ODMOWA

Wartość, która ustawia rozdzielaną przecinkami listę ciągów określających nazwy DNS komputerów niebędących domenami, które nie mogą inicjować subskrypcji. Nazwy można określić przy użyciu symboli wieloznacznych, takich jak "*.mydomain.com". Domyślnie ta lista jest pusta.

/adc: SDDL

Wartość, która ustawia ciąg w formacie SDDL, który określa, które komputery domeny są dozwolone lub niedozwolone do inicjowania subskrypcji. Ustawieniem domyślnym jest zezwolenie wszystkim komputerom domeny na inicjowanie subskrypcji.

Tworzenie nowej subskrypcji

Poniższa składnia służy do tworzenia subskrypcji zdarzeń dla zdarzeń na komputerze zdalnym.

wecutil {cs | create-subscription } CONFIGURATION_FILE [/cun:USERNAME]
[/cup:PASSWORD] 

Uwagi

Jeśli w poleceniu wecutil cs zostanie określona nieprawidłowa nazwa użytkownika lub hasło, nie zostanie zgłoszony żaden błąd, dopóki nie zostanie wyświetlony stan środowiska uruchomieniowego subskrypcji przy użyciu polecenia wecutil gr .

Parametry tworzenia

CONFIGURATION_FILE

Wartość określająca ścieżkę do pliku XML zawierającego informacje o konfiguracji subskrypcji. Ścieżka może być bezwzględna lub względna względem bieżącego katalogu.

Poniższy kod XML to przykład pliku konfiguracji subskrypcji, który tworzy subskrypcję zainicjowaną przez moduł zbierający w celu przekazywania zdarzeń z dziennika zdarzeń aplikacji komputera zdalnego do dziennika forwardedEvents.

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>SampleCISubscription</SubscriptionId>
    <SubscriptionType>CollectorInitiated</SubscriptionType>
    <Description>Collector Initiated Subscription Sample</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>

    <!-- Use Normal (default), Custom, MinLatency, MinBandwidth -->
    <ConfigurationMode>Custom</ConfigurationMode>

    <Delivery Mode="Push">
        <Batching>
            <MaxItems>20</MaxItems>
            <MaxLatencyTime>60000</MaxLatencyTime>
        </Batching>
        <PushSettings>
            <HostName>thisMachine.myDomain.com</HostName>
            <Heartbeat Interval="60000"/>
        </PushSettings>
    </Delivery>

    <Expires>2010-01-01T00:00:00.000Z</Expires>

    <Query>
        <![CDATA[
            <QueryList>
                <Query Path="Application">
                    <Select>*</Select>
                </Query>
            </QueryList>
        ]]>
    </Query>

    <ReadExistingEvents>false</ReadExistingEvents>
    <TransportName>http</TransportName>
    <ContentFormat>RenderedText</ContentFormat>
    <Locale Language="en-US"/>
    <LogFile>ForwardedEvents</LogFile>
    <CredentialsType>Default</CredentialsType>

    <EventSources>
        <EventSource Enabled="true">
            <Address>mySource.myDomain.com</Address>
            <UserName>myUserName</UserName>
        </EventSource>
    </EventSources>
</Subscription>

Poniższy kod XML to przykład pliku konfiguracji subskrypcji, który tworzy subskrypcję zainicjowaną przez źródło w celu przekazywania zdarzeń z dziennika zdarzeń aplikacji komputera zdalnego do dziennika usługi ForwardedEvents.

<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>SampleSISubscription</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Source Initiated Subscription Sample</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>

    <!-- Use Normal (default), Custom, MinLatency, MinBandwidth -->
    <ConfigurationMode>Custom</ConfigurationMode>

    <Delivery Mode="Push">
        <Batching>
            <MaxItems>1</MaxItems>
            <MaxLatencyTime>1000</MaxLatencyTime>
        </Batching>
        <PushSettings>
            <Heartbeat Interval="60000"/>
        </PushSettings>
    </Delivery>

    <Expires>2018-01-01T00:00:00.000Z</Expires>

    <Query>
        <![CDATA[
            <QueryList>
                <Query Path="Application">
                    <Select>Event[System/EventID='999']</Select>
                </Query>
            </QueryList>
        ]]>
    </Query>

    <ReadExistingEvents>true</ReadExistingEvents>
    <TransportName>http</TransportName>
    <ContentFormat>RenderedText</ContentFormat>
    <Locale Language="en-US"/>
    <LogFile>ForwardedEvents</LogFile>
    <AllowedSourceNonDomainComputers></AllowedSourceNonDomainComputers>
    <AllowedSourceDomainComputers>O:NSG:NSD:(A;;GA;;;DC)(A;;GA;;;NS)</AllowedSourceDomainComputers>
</Subscription>

Uwaga / Notatka

Podczas tworzenia subskrypcji zainicjowanej przez źródło, jeśli allowedSourceDomainComputers, AllowedSourceNonDomainComputers/IssuerCAList, AllowedSubjectList i DeniedSubjectList są puste, zostanie podana wartość domyślna dla allowedSourceDomainComputers — "O:NSG:NSD:(A;; GA;;; DC)(A;; GA;;; NS)". To domyślne ustawienie SDDL przyznaje członkom grupy domeny Komputery domeny, a także lokalnej grupy usługi sieciowej (dla lokalnego usługi przesyłania dalej), możliwość zgłaszania zdarzeń dla tej subskrypcji.

/cun: NAZWA UŻYTKOWNIKA

Wartość, która ustawia poświadczenia użytkownika udostępnionego używane dla źródeł zdarzeń, które nie mają własnych poświadczeń użytkownika. Ta wartość dotyczy tylko subskrypcji inicjowanych przez moduł zbierający.

Uwaga / Notatka

Jeśli ten parametr zostanie określony, ustawienia nazwy użytkownika i hasła dla poszczególnych źródeł zdarzeń z pliku konfiguracji są ignorowane. Jeśli chcesz użyć różnych poświadczeń dla określonego źródła zdarzeń, możesz zastąpić tę wartość, określając /un i /up parametrów dla określonego źródła zdarzeń w wierszu polecenia innego polecenia set-subscription.

/cup: HASŁO

Wartość, która ustawia hasło użytkownika dla poświadczeń użytkownika udostępnionego. Gdy wartość PASSWORD jest ustawiona na "*" (gwiazdka), hasło jest odczytywane z konsoli programu . Ta opcja jest prawidłowa tylko wtedy, gdy określono /cun parametru.

Usuwanie subskrypcji

Następująca składnia służy do usuwania subskrypcji zdarzeń.

wecutil { ds | delete-subscription } SUBSCRIPTION_ID

Parametry usuwania

SUBSCRIPTION_ID

Ciąg, który jednoznacznie identyfikuje subskrypcję. Ten identyfikator jest określony w elemecie SubscriptionId w pliku konfiguracji XML użytym do utworzenia subskrypcji. Subskrypcja zidentyfikowana w tym parametrze zostanie usunięta.

Ponów próbę subskrypcji

Poniższa składnia służy do ponawiania próby nieaktywnej subskrypcji przez próbę ponownego aktywowania wszystkich lub określonych źródeł zdarzeń przez ustanowienie połączenia z każdym źródłem zdarzeń i wysłanie żądania subskrypcji zdalnej do źródła zdarzeń. Wyłączone źródła zdarzeń nie są ponawiane.

wecutil { rs | retry-subscription } SUBSCRIPTION_ID 
[EVENT_SOURCE [EVENT_SOURCE] ...]

Parametry ponawiania próby

SUBSCRIPTION_ID

Ciąg, który jednoznacznie identyfikuje subskrypcję. Ten identyfikator jest określony w elemecie SubscriptionId w pliku konfiguracji XML użytym do utworzenia subskrypcji. Subskrypcja zidentyfikowana w tym parametrze zostanie ponowiona.

EVENT_SOURCE

Wartość identyfikująca komputer, który jest źródłem zdarzeń dla subskrypcji zdarzeń. Ta wartość może być w pełni kwalifikowaną nazwą domeny komputera, nazwy NetBIOS lub adresu IP.

Konfigurowanie usługi modułu zbierającego zdarzenia systemu Windows

Poniższa składnia służy do konfigurowania usługi modułu zbierającego zdarzenia systemu Windows w celu zapewnienia, że można tworzyć i utrzymywać subskrypcje zdarzeń za pomocą ponownego uruchamiania komputera. Obejmuje to następującą procedurę:

Aby skonfigurować usługę modułu zbierającego zdarzenia systemu Windows

1. Włącz kanał ForwardedEvents, jeśli jest wyłączony.
2. Opóźnij rozpoczęcie usługi modułu zbierającego zdarzenia systemu Windows.
3. Uruchom usługę modułu zbierającego zdarzenia systemu Windows, jeśli nie jest uruchomiona.

wecutil { qc | quick-config } /q:VALUE

Konfigurowanie parametrów modułu zbierającego zdarzenia

/q: VALUE

Wartość określająca, czy polecenie szybkiej konfiguracji wyświetli monit o potwierdzenie. WARTOŚĆ może mieć wartość true lub false. Jeśli wartość value ma wartość true, polecenie wyświetli monit o potwierdzenie. Wartość domyślna to fałsz.

Requirements