本地 云
下载PDF
此功能适用于EventLog Analyzer、Log360和Log360 Cloud

# 先决条件

最后更新于：2025年9月12日

无代理通信所需端口

端口 | 入站 | 出站 | 服务 | 附加权限
--- | --- | --- | --- | ---
TCP/135 | Windows 设备 | 事件日志分析器服务器 | RPC | 用户组： 事件日志读取者 分布式 COM 用户 用户权限：针对WMI属性中的root\cimv2： 启用账户 远程启用 读取安全性。 防火墙权限：预定义规则：Windows管理工具（WMI）
TCP/139 | Windows 设备 | 事件日志分析器服务器 | NetBIOS 会话RPC/NP
TCP/445 | Windows 设备 | 事件日志分析器服务器 | SMB RPC/NP
RPC 端口的动态范围 - TCP/49152 至 65,535 | Windows设备 | 事件日志分析器服务器 | RPC 为 Windows Server 2008 及更高版本以及 Windows Vista 及更高版本随机分配高 TCP 端口

## 服务账户权限

- 域设置
- 工作组设置

### 域设置

#### 针对管理员用户

在域设置中，域管理员权限允许管理员在 Windows 设备上收集日志。

#### 针对非管理员用户

在域环境中收集日志时，需创建权限最低的服务账户。创建最低权限服务账户请按以下步骤操作：

#### 步骤 1：创建新用户

1. 使用域管理员权限登录域控制器。
2. 打开“运行”命令，输入 dsa.msc 打开 Active Directory 用户和计算机。
3. 右键单击您的域 → 新建 → 用户。

#### 步骤 2：创建新的域级 GPO 并链接该 GPO

1. 在域控制器中打开“运行”命令，输入 gpmc.msc 打开组策略管理控制台。
2. 右键单击域 → 在此域中创建 GPO 并将其链接在此处。
3. 将GPO命名为"ELA GPO"并点击确定。

#### 步骤 3：将用户添加至事件日志读取者组和分布式 COM 用户组

1. 在域控制器中打开“运行”命令，输入 gpedit.msc 打开组策略管理控制台。
2. 右键单击创建的GPO → 编辑。
3. 在组策略管理编辑器中，依次点击用户配置→首选项→控制面板设置→本地用户和组。
4. 右键单击本地用户和组 → 新建 → 本地组。
5. 在组名下选择“事件日志阅读者”组→添加当前用户→添加并选择创建的用户。
6. 要添加分布式 COM 用户，请重复步骤 5，在组名下选择分布式 COM 用户组。

注意

事件日志阅读者：该组成员可读取事件日志。

分布式 COM 用户：该组成员可启动、激活并使用计算机上的分布式 COM 对象。

#### 步骤 4：通过防火墙启用 WMI 和远程事件日志管理流量

1. 打开“运行”命令，输入 gpmc.msc 以打开组策略管理控制台。
2. 在创建的 GPO 上单击鼠标右键→编辑。
3. 选择计算机配置 → 策略 → Windows 设置 → 安全设置 → 带高级安全性的 Windows 防火墙 → 入站规则。
4. 右键单击入站规则 → 新建规则，在预定义字段中选择WMI → 选择所有规则 → 允许连接。
5. 为允许远程事件日志管理连接，请重复步骤4，在预定义字段中选择"远程事件日志管理"。

注意：这些规则将开放49152-65535端口范围，该范围专用于WMI通信，因此其他应用程序无法访问。

#### 步骤 5：强制执行组策略

1. 在域控制器上打开命令提示符，输入 →gpupdate /force。
2. 对所有具有管理员权限的域计算机重复上述步骤。

#### 步骤 6：授予必要的 WMI 权限

a. 单台计算机（域/工作组）

1. 从开始菜单搜索计算机管理，选择以管理员身份打开。
2. 选择“服务和应用程序”→“WMI控制器”
3. 右键单击WMI控制器→属性→安全选项卡→在命名空间中选择Root\cimv2→安全。
4. 添加非管理员用户并授予权限，包括启用账户、远程启用、读取安全信息和执行方法。
5. 选择“高级”→“用户名”→“添加”→“应用于：此命名空间及其子命名空间”，然后单击“确定”。

注

启用帐户：允许用户启用WMI帐户。

远程启用：允许用户启用对WMI资源的远程访问。

读取安全性：允许用户读取WMI资源的安全设置。

执行方法：允许用户执行WMI类中定义的方法。

这些权限适用于命名空间及其子命名空间。

b. 多域计算机（Windows 服务器和工作站）

通过GPO授予WMI命名空间安全权限（PowerShell脚本）

请确保用户在工作站中具有运行脚本的权限。若无权限，请参照以下步骤启用：

在本地组策略编辑器中，

- 导航至计算机配置 > 管理模板 > Windows 组件 > Windows PowerShell。
- 双击“启用脚本执行”选项。

脚本下载链接

1. 在域共享位置添加脚本文件 WMIrights.ps1。
2. 右键单击创建的WMI命名空间安全权限GPO→编辑。
3. 选择 PowerShell 脚本选项卡 → 添加。
4. 在添加脚本对话框中，单击浏览并从共享位置选择PowerShell脚本（WMIrights.ps1）文件，并将参数设置为"域名称\用户名"。
5. 单击“确定”返回“启动属性”对话框 → 应用 → 确定。

配置管理模板设置

1. 在组策略管理编辑器的左窗格中，导航至计算机配置管理员模板系统。
2. 在系统下，选择脚本。
3. 在 GPO 编辑器的右侧窗格中，双击“同步运行登录脚本”，启用该选项 → 应用 → 确定。
4. 启用“组策略脚本最大等待时间”，并将最大时间设置为10秒。
5. 在系统项下导航至登录，在右侧窗格双击“启动和登录时始终等待网络”，启用该策略 → 应用 → 确定
6. 导航至系统下的组策略，在右侧窗格双击配置组策略慢速链接检测，启用该选项 → 应用 → 确定。

应用组策略对象

1. 在组策略管理编辑器的左侧窗格中，右键单击所需的组策略对象 → 属性。
2. 导航至“安全”选项卡，取消勾选“为已验证用户应用组策略”权限 → 添加。
3. 在弹出的对话框中，单击对象类型。
4. 输入所需计算机和组的名称，然后单击“检查名称”。
5. 选择所需计算机和组后单击“确定”返回属性对话框。
6. 在“安全”选项卡中，为所选计算机和组授予“应用组策略”权限 → 应用 → 确定。
7. 重新启动计算机，并重复步骤 5 以激活授予 WMI 权限的组策略对象。

注意：

- 在所有必需设备授予WMI权限后，请从"计算机配置策略→Windows设置→脚本(启动/关闭)→启动"路径移除脚本，否则脚本将在每次启动时运行。
- 不适用于多工作组设备。

## 工作组设置

#### 步骤1：将用户添加至EventLogReader和Distributed COM用户组

1. 使用管理员权限登录工作组，打开“运行”命令，输入 compmgmt.msc 打开“计算机管理”→“本地用户和组”。
2. 右键单击用户并添加新用户。
3. 右键单击“组”→选择“分布式 COM 用户”→属性→添加创建的用户。
4. 若需将用户添加至事件日志读取者组，请重复步骤3并选择事件日志读取者组。

#### 步骤2：授予必要WMI权限：

1. 参照步骤6：授予必要的WMI权限。

#### 步骤 3：通过防火墙启用 WMI 和远程事件日志管理流量

1. 打开运行命令，输入 wf.msc 打开 Windows 防火墙（高级安全）。
2. 右键单击入站规则 → 新建规则，在预定义字段中选择Windows 管理工具→ 选择所有规则 → 允许连接
3. 要允许远程事件日志管理连接，请重复步骤 2，在预定义字段中选择远程事件日志管理。