本地 云
下载PDF
此功能适用于 EventLog Analyzer 和 Log360

# 代理管理

最后更新于：2025年9月12日

在事件日志分析器中，以下两种情况可能需要安装代理：

- 若需监控Windows文件服务器中的文件。
- 若日志源与事件日志分析器服务器之间存在RPC连接问题。
- 在Linux操作系统上部署的EventLog Analyzer必须安装Windows代理程序才能收集Windows事件日志。

## 支持的操作系统：

EventLog Analyzer代理程序可在下列操作系统上安装运行

Windows客户端操作系统：Windows XP及更高版本

Windows服务器操作系统：Windows Server 2003及以上版本

#### Linux：

- Linux RedHat RHEL
- Linux SuSE
- Linux Fedora
- Linux CentOS
- Linux Ubuntu
- Linux Debian

## 安装事件日志分析器代理

注意：有关Windows代理正常运行所需条件的详细信息，请点击此处。

以下是您在设备中部署事件日志分析器代理的不同方式：

- 使用事件日志分析器控制台
- 使用组策略对象
- 使用 Microsoft System Center Configuration Manager (SCCM) 或类似软件部署工具
- 手动安装

## 使用事件日志分析器控制台：

通过产品控制台安装EventLog Analyzer代理时，

- 在“设置”选项卡中，导航至管理设置 → 管理代理。
- 点击“+ 安装代理”，然后点击对应设备的“+”图标。

- 选择需要安装代理的设备。
- 输入访问设备的登录名和密码。该账户需具备管理员权限才能成功安装代理。您也可选择"使用默认凭据"选项。

注意：若选择多个设备，请确保凭据对所有设备均有效。

- 使用验证凭据链接验证输入的凭据。
- 最后点击安装代理程序以启动安装流程。

## 使用组策略对象（GPO）：

在通过组策略对象安装EventLog Analyzer代理前，请将以下文件放置于服务器的网络共享文件夹中：

- InstallEventLogAgent.vbs（路径：<安装目录>\ManageEngine\EventLog Analyzer\tools\scripts）
- EventLogAgent.msi（路径：<安装目录>:\EventLog Analyzer\lib\native）

通过组策略对象安装代理：

步骤 1：创建 GPO

根据Windows Server版本创建新GPO：

1. 打开组策略管理。
2. 在左侧窗格中，右键单击“组策略对象”容器，然后选择“新建”。

1. 为 GPO 命名并单击“确定”。

步骤 2：配置脚本设置

1. 右键单击新创建的 GPO，然后单击“编辑”。

1. 对于 Windows Server 2003，在 GPO 编辑器的右侧窗格中，双击“计算机配置”，然后导航至“Windows 设置”→“脚本（启动/关闭）”→“启动”。
2. 对于 Windows Server 2008 及更高版本，导航至计算机配置 → 策略 → Windows 设置 → 脚本（启动/关闭）→ 启动。

1. 右键单击“启动”，在弹出的对话框中点击“添加”。
2. 在“添加脚本”对话框中，单击“浏览”，从共享位置选择InstallEventLogAgent.vbs。

1. 在脚本参数字段中输入以下参数：
   复制到剪贴板

   /MSIPATH:"<msi文件共享路径>" /SERVERNAME:" <ELA服务器名称>"
   /SERVERIPADDRESS:" <服务器IP地址>" /SERVERPORT: "<服务器占用的端口>"
   /SERVERPROTOCOL:" <协议类型 (http/https)>"

示例：

/MSIPATH:"\\192.168.1.5\elaagent\EventLogAgent.msi" /SERVERNAME:"DC01" /SERVERIPADDRESS:"192.168.1.5" /SERVERPORT:"8095" /SERVERPROTOCOL:"http"
2. 单击"确定"返回"启动属性"对话框。
3. 单击应用，然后单击确定。

步骤 3：配置管理模板设置

1. 在组策略管理编辑器的左窗格中，依次导航至计算机配置 → 管理员模板 → 系统。
2. 在系统下，选择脚本。
3. 在 GPO 编辑器的右侧窗格中，双击“同步运行登录脚本”并启用该策略。
4. 单击“应用”，然后单击“确定”。

1. 同样，启用“组策略脚本的最大等待时间”。
2. 接着，在系统项下导航至登录。
3. 在右侧窗格中，双击“启动和登录时始终等待网络”并启用该选项。
4. 单击“应用”，然后单击“确定”。

1. 接着，导航至系统下的组策略。
2. 在右侧窗格中，双击“组策略慢速链接检测”并启用该选项。
3. 点击应用，然后确定。

步骤 4：应用 GPO

提示：若需一次性在多台计算机上安装代理程序，请创建一个AD组，并将所有需安装代理的计算机添加至该组，随后将GPO应用至该组。

1. 在组策略管理编辑器的左侧窗格中，右键单击正在操作的 GPO，选择“属性”。
2. 导航至“安全”选项卡，取消勾选“为经过身份验证的用户应用组策略”权限。
3. 单击“添加”，在弹出的对话框中选择“对象类型”。

1. 若需直接将GPO应用于计算机，请确保选择"计算机"后点击"确定"；若需应用于组，请确保选择"组"后点击"确定"。
2. 输入目标计算机名称和/或组名称，点击“检查名称”。
3. 选中目标计算机和/或组，单击“确定”返回属性对话框。
4. 在“安全”选项卡中，为所选组和/或计算机应用以下权限：

1. (i) 读取 > 允许
2. (ii) 应用组策略 > 允许

1. 点击应用，然后点击确定。
2. 右键单击域，选择“链接现有组策略对象...”选项
3. 现在选择您正在操作的组策略对象，然后单击“确定”。
4. 重启计算机以完成组策略对象的应用，并等待重置密码/解锁账户链接出现在Windows登录界面。

注意：通过GPO安装EventLog Analyzer代理后，请务必禁用或删除该GPO，否则脚本将在每次启动时持续运行。

## 使用 Microsoft System Center Configuration Manager (SCCM) 或类似软件部署工具：

将对应安装程序文件（Linux 系统为 EventLogAgent_<架构>.bin，Windows 系统为 Eventlogagent.msi）放置于网络共享文件夹。随后在需安装代理的设备上执行以下命令：

#### Windows系统：

复制到剪贴板

msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME=<eventlog_server_name> SERVERIPADDRESS=<eventlog_server_ip> SERVERPORT=<eventlog_server_port> SERVERPROTOCOL=<eventlog_server_protocol> ENABLESILENT=yes ALLUSERS=1

示例：msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME="me-eventlog" SERVERIPADDRESS="10.51.241.163" SERVERPORT="8095" SERVERPROTOCOL="http" ENABLESILENT=yes ALLUSERS=1

#### 适用于 Linux：

复制到剪贴板

./EventLogAgent_<架构>.bin --silent SERVERNAME=<事件日志服务器名称> SERVERIPADDRESS=<事件日志服务器IP> SERVERPORT=<事件日志服务器端口> SERVERPROTOCOL=<事件日志服务器协议> > ./ELAAgent_InstallationLog.log 2>&1

示例：./EventLogAgent_64.bin --silent SERVERNAME="me-eventlog" SERVERIPADDRESS="10.51.241.163" SERVERPORT="8095" SERVERPROTOCOL="http" > ./ELAAgent_InstallationLog.log 2>&1

## 通过终端管理中心（原名桌面管理中心）安装代理

创建 MSI 包：

MSI 是 Windows 使用的安装程序包文件格式。

- 以管理员身份登录 Endpoint Central 控制台。
- 导航至软件部署 > 软件包 > 添加软件包，从下拉菜单中选择Windows。

按以下方式填写可用字段的详细信息：

- 包名称：选择名称，例如 ELA 代理。
- 软件包类型：选择 EXE / APPX / MSIEXEC / MSU
- 许可类型：从下拉菜单中选择商业版。
- 安装文件位置：根据事件日志代理安装文件所在位置选择共享文件夹或本地计算机。
注意：EventLog Analyzer 为 Windows 系统提供 .msi 文件，为 Linux 系统提供 .bin 文件。

上图为 Windows 系统的安装界面。

- 在“安装”选项卡中，浏览并选择所需的 MSI 文件，填入EXE/APPX/MSIEXEC/MSU 文件名字段。
- 在“EXE/APPX/MSIEXEC/MSU安装属性”字段中更新并输入以下文本。
  复制到剪贴板

  msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME=<eventlog_server_name> SERVERIPADDRESS=<eventlog_server_ip> SERVERPORT=<eventlog_server_port> SERVERPROTOCOL=<eventlog_server_protocol> ENABLESILENT=yes ALLUSERS=1

  示例：

  msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME="me-eventlog" SERVERIPADDRESS="10.51.241.163" SERVERPORT="8095" SERVERPROTOCOL="http" ENABLESILENT=yes ALLUSERS=1

- 点击“添加软件包”进行保存。

## 手动安装：

适用于 Windows 设备：

- 在安装代理的计算机上，打开浏览器并将以下命令粘贴到浏览器的地址栏中
复制到剪贴板

<eventlog_server>:<eventlog_server_port>/event/downloadMsi.nms?platform=windows

此处：

- <eventlog_server> = 安装EventLog Analyzer的服务器名称
- <eventlog_server_port> = EventLog Analyzer使用的Web服务器端口（默认使用8095端口进行HTTP通信）

例如：localhost:8095/event/downloadMsi.nms?platform=windows

- EventLogAgent.msi将自动下载。双击EventLogAgent.msi启动安装程序。
- 在欢迎界面和安装确认对话框中点击"下一步"后，将显示以下对话框。填写详细信息并点击"确定"。

- 安装即告完成。

对于 Linux 设备，

需在EventLog Analyzer的"管理文件完整性监控"页面配置代理程序。请参阅《配置文件完整性监控》指南，了解在Linux设备上配置代理程序的方法。若因权限拒绝导致安装失败，可通过执行以下命令手动安装：

#### 安装命令：

HTTP命令：

复制到剪贴板

eval "wget http://<eventlog_server>:<eventlog_server_port>/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller http://<eventlog_server>:<eventlog_server_port> lesssecure"

HTTPS命令：

复制到剪贴板

eval "wget --no-check-certificate https://<eventlog_server>:<eventlog_server_port>/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller https://<eventlog_server>:<eventlog_server_port> secured"

#### 示例：

Sudo用户：

复制到剪贴板

sudo -s eval "wget http://ubuntu:8095/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller http://ubuntu:8095 低安全性"

非超级用户：

复制到剪贴板

eval "wget http://ubuntu:8095/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller http://ubuntu:8095 lesssecure"

对于具有超级用户权限的用户：

执行安装命令前请务必添加前缀"sudo -s"。

注意：对于非 Sudo 用户，请确保以审计用户身份登录。此操作至关重要，因为代理程序会自动将当前用户视为审计用户。若未以审计用户身份登录，请参考故障排除指南设置代理程序文件夹权限。

## 管理事件日志分析器代理

通过事件日志分析器控制台，可执行卸载、升级及强制重启代理程序。

#### 卸载EventLog Analyzer代理

若需从设备卸载EventLog Analyzer，

- 在“设置”选项卡中，导航至“管理员设置”>“管理代理”。
- 选择要卸载代理的设备。
- 点击“卸载”，并在弹出框中选择“是”。

另一种卸载方法是通过"添加或删除程序"功能操作，

- 在桌面导航至Windows 开始菜单 > 添加或删除程序。
- 选择"ManageEngine EventLog Analyzer Agent"。
- 点击“卸载”。

#### 强制重启EventLog Analyzer代理

要强制重启EventLog Analyzer，

- 在“设置”选项卡中，导航至管理设置 > 管理代理。
- 选择需要重启代理的设备。
- 选择更多操作，并在出现的下拉框中 点击强制重启 。
- 在弹出的对话框中选择“是”。

#### 强制升级事件日志分析器代理

通过强制升级功能更新EventLog Analyzer代理程序，

- 在“设置”选项卡中，导航至管理员设置 > 管理代理。
- 选择需要升级代理的设备。
- 选择“更多操作”，在出现的下拉框中点击“强制升级”。
- 在弹出的对话框中选择是。