Memfilter peristiwa dalam log Windows dengan nama pengguna (Windows Server 2008)

Di Windows Server 2003 / Windows XP, mudah untuk memfilter peristiwa oleh akun sistem di log peristiwa sistem dengan menentukan nama akun yang diperlukan di bidang Filter pengguna pada filter log. Tetapi di Windows Server 2008 / Windows 7 dan di atasnya, cara sederhana ini untuk menemukan peristiwa yang terkait dengan pengguna tertentu tidak berfungsi, meskipun bidang Pengguna itu sendiri ada di pengaturan filter (tampaknya, tetap dengan cara yang sama).

Di Windows Server 2008, bidang Pengguna tidak ada dalam tampilan log peristiwa standar. Mari kita coba menambahkannya menggunakan menu Lihat -> Tambah / Hapus Kolom.

Sekarang kolom Pengguna telah muncul di tampilan log, tetapi tidak ada nama pengguna inisiator acara di kolom ini; Tidak ada. Informasi akun sekarang terkandung dalam deskripsi peristiwa itu sendiri (dalam nilai ID Keamanan dan atribut Nama Akun dalam contoh ini). Bagaimana sekarang bisa menyaring peristiwa dalam log? Untuk memfilter acara berdasarkan nama akun pengguna (dan atribut acara lainnya), di Windows Server 2008 (dan lebih tinggi), Anda dapat menggunakan opsi modifikasi manual XML pertanyaan (XPath) untuk sampel.

Catatan. Sebelumnya, menggunakan XPath untuk menemukan peristiwa yang menarik dalam log dipertimbangkan dalam artikel Cara memulai tugas penjadwal setelah menyelesaikan tugas lain.

Jadi, buka majalah yang diinginkan di Tampilan acara (dalam contoh kami, ini adalah log Keamanan) dan dalam menu konteks pilih Saring Log Saat Ini ... .

Buka tab XML dan centang kotak Edit kueri secara manual.

Salin kode berikut untuk memilih semua peristiwa dari log untuk pengguna tertentu (ganti nama pengguna ke akun yang diinginkan).

* [EventData [Data [@ Name = 'subjectUsername'] = 'username']]

Kami menyimpan perubahan dalam filter dan melihat log. Itu harus tetap acara yang terkait dengan akun ini.

Jika, misalnya, Anda perlu memfilter acara tambahan oleh pengguna dan ID Peristiwa 4624 (login berhasil - Akun berhasil masuk) dan 4625 (gagal masuk - Akun gagal masuk)., Filter XPath mungkin terlihat seperti ini: