先决条件

    最后更新于：

    无代理通信所需端口

    端口 入站 出站 服务 附加权限
    TCP/135 Windows 设备 事件日志分析器服务器 RPC 用户组：
    • 事件日志读取者
    • 分布式 COM 用户
    用户权限：针对WMI属性中的root\cimv2：
    • 启用账户
    • 远程启用
    • 读取安全性。
    防火墙权限：预定义规则：Windows管理工具（WMI）
    TCP/139 Windows 设备 事件日志分析器服务器 NetBIOS 会话RPC/NP
    TCP/445 Windows 设备 事件日志分析器服务器 SMB RPC/NP
    RPC 端口的动态范围 - TCP/49152 至 65,535 Windows设备 事件日志分析器服务器 RPC 为 Windows Server 2008 及更高版本以及 Windows Vista 及更高版本随机分配高 TCP 端口

    服务账户权限

    域设置

    针对管理员用户

    在域设置中，域管理员权限允许管理员在 Windows 设备上收集日志。

    针对非管理员用户

    在域环境中收集日志时，需创建权限最低的服务账户。创建最低权限服务账户请按以下步骤操作：

    步骤 1：创建新用户

    1. 使用域管理员权限登录域控制器。
    2. 打开“运行”命令，输入 dsa.msc 打开 Active Directory 用户和计算机。
    3. 右键单击您的域 → 新建 → 用户。

    步骤 2：创建新的域级 GPO 并链接该 GPO

    1. 在域控制器中打开“运行”命令，输入 gpmc.msc 打开组策略管理控制台。
    2. 右键单击域 → 在此域中创建 GPO 并将其链接在此处。
    3. 将GPO命名为"ELA GPO"并点击确定。
    Prerequisites

    步骤 3：将用户添加至事件日志读取者组和分布式 COM 用户组

    1. 在域控制器中打开“运行”命令，输入 gpedit.msc 打开组策略管理控制台。
    2. 右键单击创建的GPO → 编辑。
    3. 在组策略管理编辑器中，依次点击用户配置→首选项→控制面板设置→本地用户和组。
    4. 右键单击本地用户和组 → 新建 → 本地组。
    5. 在组名下选择“事件日志阅读者”组→添加当前用户→添加并选择创建的用户。
    6. 要添加分布式 COM 用户，请重复步骤 5，在组名下选择分布式 COM 用户组。
    Prerequisites
    注意

    事件日志阅读者：该组成员可读取事件日志。

    分布式 COM 用户：该组成员可启动、激活并使用计算机上的分布式 COM 对象。

    步骤 4：通过防火墙启用 WMI 和远程事件日志管理流量

    1. 打开“运行”命令，输入 gpmc.msc 以打开组策略管理控制台。
    2. 在创建的 GPO 上单击鼠标右键→编辑。
    3. 选择计算机配置 → 策略 → Windows 设置 → 安全设置 → 带高级安全性的 Windows 防火墙 → 入站规则。
    4. 右键单击入站规则 → 新建规则，在预定义字段中选择WMI → 选择所有规则 → 允许连接。
    5. 为允许远程事件日志管理连接，请重复步骤4，在预定义字段中选择"远程事件日志管理"。
    Prerequisites
    注意：这些规则将开放49152-65535端口范围，该范围专用于WMI通信，因此其他应用程序无法访问。

    步骤 5：强制执行组策略

    1. 在域控制器上打开命令提示符，输入 →gpupdate /force。
    2. 对所有具有管理员权限的域计算机重复上述步骤。

    步骤 6：授予必要的 WMI 权限

    a. 单台计算机（域/工作组）

    1. 从开始菜单搜索计算机管理，选择以管理员身份打开。
    2. 选择“服务和应用程序”→“WMI控制器”
    3. 右键单击WMI控制器→属性→安全选项卡→在命名空间中选择Root\cimv2→安全。
    4. 添加非管理员用户并授予权限，包括启用账户、远程启用、读取安全信息和执行方法。
    5. 选择“高级”→“用户名”→“添加”→“应用于：此命名空间及其子命名空间”，然后单击“确定”。
    Prerequisites
    注

    启用帐户：允许用户启用WMI帐户。

    远程启用：允许用户启用对WMI资源的远程访问。

    读取安全性：允许用户读取WMI资源的安全设置。

    执行方法：允许用户执行WMI类中定义的方法。

    这些权限适用于命名空间及其子命名空间。

    b. 多域计算机（Windows 服务器和工作站）

    通过GPO授予WMI命名空间安全权限（PowerShell脚本）

    请确保用户在工作站中具有运行脚本的权限。若无权限，请参照以下步骤启用：

    在本地组策略编辑器中，

    • 导航至计算机配置 > 管理模板 > Windows 组件 > Windows PowerShell。
    • 双击“启用脚本执行”选项。

    脚本下载链接

    1. 在域共享位置添加脚本文件 WMIrights.ps1。
    2. 右键单击创建的WMI命名空间安全权限GPO→编辑。
    3. 选择 PowerShell 脚本选项卡 → 添加。
    4. 在添加脚本对话框中，单击浏览并从共享位置选择PowerShell脚本（WMIrights.ps1）文件，并将参数设置为"域名称\用户名"。
    5. 单击“确定”返回“启动属性”对话框 → 应用 → 确定。

    配置管理模板设置

    1. 在组策略管理编辑器的左窗格中，导航至计算机配置管理员模板系统。
    2. 在系统下，选择脚本。
    3. 在 GPO 编辑器的右侧窗格中，双击“同步运行登录脚本”，启用该选项 → 应用 → 确定。
    4. 启用“组策略脚本最大等待时间”，并将最大时间设置为10秒。
    5. 在系统项下导航至登录，在右侧窗格双击“启动和登录时始终等待网络”，启用该策略 → 应用 → 确定
    6. 导航至系统下的组策略，在右侧窗格双击配置组策略慢速链接检测，启用该选项 → 应用 → 确定。

    应用组策略对象

    1. 在组策略管理编辑器的左侧窗格中，右键单击所需的组策略对象 → 属性。
    2. 导航至“安全”选项卡，取消勾选“为已验证用户应用组策略”权限 → 添加。
    3. 在弹出的对话框中，单击对象类型。
    4. 输入所需计算机和组的名称，然后单击“检查名称”。
    5. 选择所需计算机和组后单击“确定”返回属性对话框。
    6. 在“安全”选项卡中，为所选计算机和组授予“应用组策略”权限 → 应用 → 确定。
    7. 重新启动计算机，并重复步骤 5 以激活授予 WMI 权限的组策略对象。

    注意：
    • 在所有必需设备授予WMI权限后，请从"计算机配置策略→Windows设置→脚本(启动/关闭)→启动"路径移除脚本，否则脚本将在每次启动时运行。
    • 不适用于多工作组设备。

    工作组设置

    步骤1：将用户添加至EventLogReader和Distributed COM用户组

    1. 使用管理员权限登录工作组，打开“运行”命令，输入 compmgmt.msc 打开“计算机管理”→“本地用户和组”。
    2. 右键单击用户并添加新用户。
    3. 右键单击“组”→选择“分布式 COM 用户”→属性→添加创建的用户。
    4. 若需将用户添加至事件日志读取者组，请重复步骤3并选择事件日志读取者组。
    Prerequisites

    步骤2：授予必要WMI权限：

    1. 参照步骤6：授予必要的WMI权限。
    Prerequisites

    步骤 3：通过防火墙启用 WMI 和远程事件日志管理流量

    1. 打开运行命令，输入 wf.msc 打开 Windows 防火墙（高级安全）。
    2. 右键单击入站规则 → 新建规则，在预定义字段中选择Windows 管理工具→ 选择所有规则 → 允许连接
    3. 要允许远程事件日志管理连接，请重复步骤 2，在预定义字段中选择远程事件日志管理。
    Prerequisites