Como habilitar o rastreamento WPP por meio do serviço de log de eventos do Windows

O serviço Registo de Eventos do Windows suporta o registo e a descodificação WPP. Este tópico descreve como habilitar o rastreamento WPP por meio do serviço Log de Eventos do Windows.

Habilitar o rastreamento WPP neste cenário não requer trabalho extra para o provedor WPP. No entanto, para usar o serviço de log de eventos do Windows, você deve fornecer um manifesto e um provedor de log de eventos. Para ativar o rastreamento WPP, declare um canal de depuração e especifique o GUID de controle associado conforme especificado pelo seu provedor WPP.

Por exemplo:

<instrumentationManifest
    xmlns="http://schemas.microsoft.com/win/2004/08/events"
    xmlns:win="http://manifests.microsoft.com/win/2004/08/windows/events"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema"  xsi:schemaLocation="http://schemas.microsoft.com/win/2004/08/events eventman.xsd"  
    >
   <instrumentation>
        <events>
            <provider name="Microsoft-Windows-mySampleProvider"
                guid="{61CE3EC9-E5E8-4b96-A451-74631A6E0D5C}"
                >
          <channel
        chid="MS_WINDOWS_GE_DEBUG"
        enabled="false"
        isolation="System"
        message="$(string.Microsoft-Windows-GenerateEvent.channel.CHANNEL_DEBUG.message)"
        name="Microsoft-Windows-GenerateEvent/Debug"
        symbol="CHANNEL_DEBUG"
        type="Debug"
        >
        <publishing>
          <level>2</level>
          <keywords>0xFFFFFFFF</keywords>
          <controlGuid>{d58c126f-b309-11d1-969e-0000f875a5bc}</controlGuid>
        </publishing>
        </channel>
       </provider>
    </events>
   </instrumentation>
</instrumentationManifest>

O rastreamento WPP não deve ser habilitado o tempo todo, portanto, por padrão, o atributo enable no manifesto deve ser definido como false. Quando o rastreamento WPP for necessário, altere o atributo no manifesto, para que enabled="true".

Não é possível especificar ou selecionar individualmente bits de controle. Para habilitar todos os eventos WPP para esse canal, especifique um valor de palavra-chave de 0XFFFFFFFF. Internamente, os bits de controlo estão associados a palavras-chave; se souber qual bit está associado a uma palavra-chave específica, poderá selecionar essa palavra-chave para obter um conjunto específico de eventos. No manifesto de exemplo, o valor da palavra-chave é 0xFFFF porque menos de 16 bits de controle WPP são necessários. Para obter um conjunto específico de eventos após a instalação, você pode alterar as palavras-chave usando o utilitário de linha de comando wevtutil.exe. O comando é:

wevtutilsl<nome do canal>/k:<valor da palavra-chave correspondente ao bit> de controle

Observe que o canal deve primeiro ser desativado para alterar o valor da palavra-chave.

Declarar um canal desta maneira permite que o fornecedor WPP (cujo GUID de controlo é especificado) e o fornecedor de Registo de Eventos (sob o qual este canal é declarado) acedam ao canal de depuração, para que qualquer fornecedor possa escrever neste canal. Eventos WPP ou eventos ETW normais agora podem ser vistos neste canal através do visualizador de eventos.

Os eventos WPP não são decodificados. Para obter cadeias de caracteres de mensagem associadas a esses eventos, coloque os arquivos TMF no diretório %windir%\System32\winevt\TraceFormat. Você pode obter os arquivos TMF usando um utilitário como Tracepdb.exe, que pega o arquivo PDB para entrada e retorna arquivos TMF.