代理管理
最后更新于：
在事件日志分析器中，以下两种情况可能需要安装代理：
- 若需监控Windows文件服务器中的文件。
- 若日志源与事件日志分析器服务器之间存在RPC连接问题。
- 在Linux操作系统上部署的EventLog Analyzer必须安装Windows代理程序才能收集Windows事件日志。
支持的操作系统：
EventLog Analyzer代理程序可在下列操作系统上安装运行
Windows客户端操作系统：Windows XP及更高版本
Windows服务器操作系统：Windows Server 2003及以上版本
Linux：
- Linux RedHat RHEL
- Linux SuSE
- Linux Fedora
- Linux CentOS
- Linux Ubuntu
- Linux Debian
安装事件日志分析器代理
注意：有关Windows代理正常运行所需条件的详细信息，请点击此处。
以下是您在设备中部署事件日志分析器代理的不同方式：
使用事件日志分析器控制台：
通过产品控制台安装EventLog Analyzer代理时，
- 在“设置”选项卡中，导航至管理设置 → 管理代理。
- 点击“+ 安装代理”，然后点击对应设备的“+”图标。
- 选择需要安装代理的设备。
- 输入访问设备的登录名和密码。该账户需具备管理员权限才能成功安装代理。您也可选择"使用默认凭据"选项。
- 使用验证凭据链接验证输入的凭据。
- 最后点击安装代理程序以启动安装流程。
使用组策略对象（GPO）：
在通过组策略对象安装EventLog Analyzer代理前，请将以下文件放置于服务器的网络共享文件夹中：
- InstallEventLogAgent.vbs（路径：<安装目录>\ManageEngine\EventLog Analyzer\tools\scripts）
- EventLogAgent.msi（路径：<安装目录>:\EventLog Analyzer\lib\native）
通过组策略对象安装代理：
步骤 1：创建 GPO
根据Windows Server版本创建新GPO：
- 打开组策略管理。
- 在左侧窗格中，右键单击“组策略对象”容器，然后选择“新建”。
- 为 GPO 命名并单击“确定”。
步骤 2：配置脚本设置
- 右键单击新创建的 GPO，然后单击“编辑”。
- 对于 Windows Server 2003，在 GPO 编辑器的右侧窗格中，双击“计算机配置”，然后导航至“Windows 设置”→“脚本（启动/关闭）”→“启动”。
- 对于 Windows Server 2008 及更高版本，导航至计算机配置 → 策略 → Windows 设置 → 脚本（启动/关闭）→ 启动。
- 右键单击“启动”，在弹出的对话框中点击“添加”。
- 在“添加脚本”对话框中，单击“浏览”，从共享位置选择InstallEventLogAgent.vbs。
- 在脚本参数字段中输入以下参数：
复制到剪贴板
/MSIPATH:"<msi文件共享路径>" /SERVERNAME:" <ELA服务器名称>"
/SERVERIPADDRESS:" <服务器IP地址>" /SERVERPORT: "<服务器占用的端口>"
/SERVERPROTOCOL:" <协议类型 (http/https)>" - 单击"确定"返回"启动属性"对话框。
- 单击应用，然后单击确定。
示例：
步骤 3：配置管理模板设置
- 在组策略管理编辑器的左窗格中，依次导航至计算机配置 → 管理员模板 → 系统。
- 在系统下，选择脚本。
- 在 GPO 编辑器的右侧窗格中，双击“同步运行登录脚本”并启用该策略。
- 单击“应用”，然后单击“确定”。
- 同样，启用“组策略脚本的最大等待时间”。
- 接着，在系统项下导航至登录。
- 在右侧窗格中，双击“启动和登录时始终等待网络”并启用该选项。
- 单击“应用”，然后单击“确定”。
- 接着，导航至系统下的组策略。
- 在右侧窗格中，双击“组策略慢速链接检测”并启用该选项。
- 点击应用，然后确定。
步骤 4：应用 GPO
提示：若需一次性在多台计算机上安装代理程序，请创建一个AD组，并将所有需安装代理的计算机添加至该组，随后将GPO应用至该组。
- 在组策略管理编辑器的左侧窗格中，右键单击正在操作的 GPO，选择“属性”。
- 导航至“安全”选项卡，取消勾选“为经过身份验证的用户应用组策略”权限。
- 单击“添加”，在弹出的对话框中选择“对象类型”。
- 若需直接将GPO应用于计算机，请确保选择"计算机"后点击"确定"；若需应用于组，请确保选择"组"后点击"确定"。
- 输入目标计算机名称和/或组名称，点击“检查名称”。
- 选中目标计算机和/或组，单击“确定”返回属性对话框。
- 在“安全”选项卡中，为所选组和/或计算机应用以下权限：
- (i) 读取 > 允许
- (ii) 应用组策略 > 允许
- 点击应用，然后点击确定。
- 右键单击域，选择“链接现有组策略对象...”选项
- 现在选择您正在操作的组策略对象，然后单击“确定”。
- 重启计算机以完成组策略对象的应用，并等待重置密码/解锁账户链接出现在Windows登录界面。
使用 Microsoft System Center Configuration Manager (SCCM) 或类似软件部署工具：
将对应安装程序文件（Linux 系统为 EventLogAgent_<架构>.bin，Windows 系统为 Eventlogagent.msi）放置于网络共享文件夹。随后在需安装代理的设备上执行以下命令：
Windows系统：
msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME=<eventlog_server_name> SERVERIPADDRESS=<eventlog_server_ip> SERVERPORT=<eventlog_server_port> SERVERPROTOCOL=<eventlog_server_protocol> ENABLESILENT=yes ALLUSERS=1
示例：msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME="me-eventlog" SERVERIPADDRESS="10.51.241.163" SERVERPORT="8095" SERVERPROTOCOL="http" ENABLESILENT=yes ALLUSERS=1
适用于 Linux：
./EventLogAgent_<架构>.bin --silent SERVERNAME=<事件日志服务器名称> SERVERIPADDRESS=<事件日志服务器IP> SERVERPORT=<事件日志服务器端口> SERVERPROTOCOL=<事件日志服务器协议> > ./ELAAgent_InstallationLog.log 2>&1
示例：./EventLogAgent_64.bin --silent SERVERNAME="me-eventlog" SERVERIPADDRESS="10.51.241.163" SERVERPORT="8095" SERVERPROTOCOL="http" > ./ELAAgent_InstallationLog.log 2>&1
通过终端管理中心（原名桌面管理中心）安装代理
创建 MSI 包：
MSI 是 Windows 使用的安装程序包文件格式。
- 以管理员身份登录 Endpoint Central 控制台。
- 导航至软件部署 > 软件包 > 添加软件包，从下拉菜单中选择Windows。
按以下方式填写可用字段的详细信息：
- 包名称：选择名称，例如 ELA 代理。
- 软件包类型：选择 EXE / APPX / MSIEXEC / MSU
- 许可类型：从下拉菜单中选择商业版。
- 安装文件位置：根据事件日志代理安装文件所在位置选择共享文件夹或本地计算机。
- 在“安装”选项卡中，浏览并选择所需的 MSI 文件，填入EXE/APPX/MSIEXEC/MSU 文件名字段。
- 在“EXE/APPX/MSIEXEC/MSU安装属性”字段中更新并输入以下文本。
复制到剪贴板
msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME=<eventlog_server_name> SERVERIPADDRESS=<eventlog_server_ip> SERVERPORT=<eventlog_server_port> SERVERPROTOCOL=<eventlog_server_protocol> ENABLESILENT=yes ALLUSERS=1
示例：
msiexec.exe /i "EventLogAgent.msi" /qn /norestart /L*v "Agent_Install.log" SERVERNAME="me-eventlog" SERVERIPADDRESS="10.51.241.163" SERVERPORT="8095" SERVERPROTOCOL="http" ENABLESILENT=yes ALLUSERS=1
- 点击“添加软件包”进行保存。
上图为 Windows 系统的安装界面。
手动安装：
适用于 Windows 设备：
- 在安装代理的计算机上，打开浏览器并将以下命令粘贴到浏览器的地址栏中
- <eventlog_server> = 安装EventLog Analyzer的服务器名称
- <eventlog_server_port> = EventLog Analyzer使用的Web服务器端口（默认使用8095端口进行HTTP通信）
- EventLogAgent.msi将自动下载。双击EventLogAgent.msi启动安装程序。
- 在欢迎界面和安装确认对话框中点击"下一步"后，将显示以下对话框。填写详细信息并点击"确定"。
<eventlog_server>:<eventlog_server_port>/event/downloadMsi.nms?platform=windows
此处：
例如：localhost:8095/event/downloadMsi.nms?platform=windows
- 安装即告完成。
对于 Linux 设备，
需在EventLog Analyzer的"管理文件完整性监控"页面配置代理程序。请参阅《配置文件完整性监控》指南，了解在Linux设备上配置代理程序的方法。若因权限拒绝导致安装失败，可通过执行以下命令手动安装：
安装命令：
HTTP命令：
eval "wget http://<eventlog_server>:<eventlog_server_port>/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller http://<eventlog_server>:<eventlog_server_port> lesssecure"
HTTPS命令：
eval "wget --no-check-certificate https://<eventlog_server>:<eventlog_server_port>/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller https://<eventlog_server>:<eventlog_server_port> secured"
示例：
Sudo用户：
sudo -s eval "wget http://ubuntu:8095/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller http://ubuntu:8095 低安全性"
非超级用户：
eval "wget http://ubuntu:8095/downloadMsi.nms?platform=agentInstaller -O AgentInstaller && sh AgentInstaller http://ubuntu:8095 lesssecure"
对于具有超级用户权限的用户：
执行安装命令前请务必添加前缀"sudo -s"。
注意：对于非 Sudo 用户，请确保以审计用户身份登录。此操作至关重要，因为代理程序会自动将当前用户视为审计用户。若未以审计用户身份登录，请参考故障排除指南设置代理程序文件夹权限。
管理事件日志分析器代理
通过事件日志分析器控制台，可执行卸载、升级及强制重启代理程序。
卸载EventLog Analyzer代理
若需从设备卸载EventLog Analyzer，
- 在“设置”选项卡中，导航至“管理员设置”>“管理代理”。
- 选择要卸载代理的设备。
- 点击“卸载”，并在弹出框中选择“是”。
另一种卸载方法是通过"添加或删除程序"功能操作，
- 在桌面导航至Windows 开始菜单 > 添加或删除程序。
- 选择"ManageEngine EventLog Analyzer Agent"。
- 点击“卸载”。
强制重启EventLog Analyzer代理
要强制重启EventLog Analyzer，
- 在“设置”选项卡中，导航至管理设置 > 管理代理。
- 选择需要重启代理的设备。
- 选择更多操作，并在出现的下拉框中 点击强制重启 。
- 在弹出的对话框中选择“是”。
强制升级事件日志分析器代理
通过强制升级功能更新EventLog Analyzer代理程序，
- 在“设置”选项卡中，导航至管理员设置 > 管理代理。
- 选择需要升级代理的设备。
- 选择“更多操作”，在出现的下拉框中点击“强制升级”。
- 在弹出的对话框中选择是。