Роман Клименко - Windows Vista. Для профессионалов

«EventMessageFile»=hex(2):25,53,79,73,74,65,6d,52,6f,6f,74,25,5c,53,79,73,74,65,6d,33,32,

5c,64,73,6b,71,75,6f,74,61,2e,64,6c,6c,00

«TypesSupported»="0x00000007"

Еще одним изменением оснастки Просмотр событий является отображение сведений о записи непосредственно в ее окне. Однако те же сведения можно отобразить в отдельном окне, дважды щелкнув кнопкой мыши на нужной записи (рис. 5.13). Отображаемое после этого окно содержит две вкладки: Общие и Подробности. Первая отображает информацию о записи и создавшей ее программе или службе, а также общее описание записи. Вторая же вкладка включает в себя расширенные сведения о записи. При этом она содержит переключатель, который можно установить в одно из следующих положений: Понятное представление и Режим XML. Установив его в первое положение, можно отобразить только сведения о записи, тогда как установка во второе положение отображает также саму структуру XML-файла, который генерирует эти сведения.

Рис. 5.13. Окно сведений о записи

Раздел Журналы приложений и служб

Данный раздел содержит записи из других журналов, которые не являются системными, но создаются стандартными программами и службами операционной системы Windows Vista. Иначе говоря, если раньше вам приходилось каждый день просматривать множество файлов журналов, расположенных в каталоге %systemroot% и его подкаталогах, то теперь содержимое всех этих файлов журналов отображается в оснастке Просмотр событий, что позволяет упростить процесс администрирования операционной системы.

Раздел Журналы приложений и служб включает в себя следующие подразделы.

• Репликация DFS – определяет события, которые произошли при работе службы Репликация DFS.

• События оборудования – указывает события, которые возникли при работе компонентов компьютера.

• Internet Explorer – определяет записи, которые получены от браузера Internet Explorer.

• Media Center – указывает записи, которые получены от оболочки Windows Media Center.

Работа со всеми этими журналами аналогична работе со стандартными журналами операционной системы.

Раздел Подписки

С помощью данного раздела можно подписаться на события (под событием понимается создание записи от определенной службы или компонента операционной системы в системном журнале удаленного компьютера), возникающие на удаленных компьютерах. Когда событие, на которое вы подписались, произойдет, будет создана соответствующая запись в журнале Пересланные события (по умолчанию, но его можно изменить).

Чтобы подписаться на событие, нужно в контекстном меню раздела Подписки выбрать команду Создать подписку. После этого отобразится окно, представленное на рис. 5.14.

В окне расположены следующие элементы. • Название подписки – определяет название подписки. Можете указать любое.

• Описание – указывает описание подписки.

• Журнал на конечном компьютере – этот раскрывающийся список позволяет указать журнал, в который будут помещаться записи о возникающих событиях, указанных в данной подписке. По умолчанию используется стандартный журнал Пересланные события. Однако вы можете выбрать любой другой несистемный журнал.

• Исходные компьютеры – поле содержит список компьютеров, на которых будет отслеживаться возникновение определенных событий. С помощью кнопки Добавить можно добавить в список новый компьютер. С помощью кнопки Удалить можно удалить определенный компьютер из списка. С помощью кнопки Проверить можно послать запрос WinRM, чтобы проверить корректность работы необходимых служб.

• Выбрать события – этот раскрывающийся список позволяет создать новый фильтр либо воспользоваться уже существующим. Если вы выберете элемент Изменить данного списка, то откроется уже знакомое вам окно создания фильтра. Именно на основе данного фильтра будут определяться записи журналов удаленного компьютера, которые будут отображаться в журнале Пересланные события локального компьютера.

• Дополнительно – после нажатия данной кнопки перед вами отобразится окно Дополнительные параметры подписки. С его помощью можно изменить учетную запись, от имени которой будет выполняться подписка на события, а также порт, по которому будет установлено соединение с удаленным компьютером, и один из режимов оптимизации использования пропускной способности сети.

Существует несколько режимов оптимизации: Настраиваемая, Уменьшенная пропускная способность, Уменьшенная задержка и Обычная. Друг от друга они отличаются значениями четырех параметров реестра , которые расположены соответственно в подразделах Custom, MinBandwidth, MinLatency и Normal ветви HKEY_LOCAL_MACHINE\ SOFTWARE\Microsoft\Windows\CurrentVersion\EventCollector\ Conf igurationModes. Вот эти параметры реестра.

• DeliveryMode – имеет строковый тип и может принимать значения push (используется режимами оптимизации Уменьшенная пропускная способность и Уменьшенная задержка) или pull (используется режимами оптимизации Настраиваемая и Обычная). Он определяет способ доставки событий (кто именно инициирует процесс доставки сведений о событии).

• HeartBeatlnterval – параметр имеет тип REG_DWORD и определяет интервал проверки возникновения событий. Значение данного параметра равно 3600000, 21600000, 3600000 и 900000, соответственно, для режимов оптимизации Настраиваемая, Уменьшенная пропускная способность, Уменьшенная задержка и Обычная.

• MaxI terns – параметр REG_DWORD-типа. Он определяет максимальное количество событий в коллекции. Для режима оптимизации Обычная значение данного параметра равно 5, а для остальных режимов – 2 0.

• MaxLatencyTime – имеет тип REG_DWORD и определяет максимальное время ожидания возникновения событий. Значение данного параметра равно 900000, 21600000, 30000 и 900000, соответственно, для режимов оптимизации Настраиваемая, Уменьшенная пропускная способность, Уменьшенная задержка и Обычная.