Active Directory: configuración de suscripciones al registro de eventos (reenvío)

El Visor de eventos le permite ver eventos y registros en su computadora. Y para solucionar un problema es posible que sea necesario ver archivos de registro desde otras computadoras remotas. Las suscripciones al registro de eventos entran en juego... La suscripción le permite guardar eventos desde computadoras remotas. En este artículo voy a configurar un recopilador y un sistema de destino.

Suponga que desea recopilar eventos de registro de eventos de su controlador de dominio en su computadora cliente. Por lo tanto, su computadora cliente es el recolector y su controlador de dominio es el objetivo.

Computadora cliente (colector)

Inicie sesión en su computadora cliente (Windows Vista y superior) con una cuenta que sea miembro del grupo de administradores de dominio. Abra Windows PowerShell y escriba wecutil qc. Presione enter.

wecutil qc

Esto iniciará el servicio de recopilador de eventos.

Computadora servidor (sistema de destino)

En Windows Server 2012 y 2016, la administración remota está habilitada de forma predeterminada. Sólo para asegurarse de que esté habilitado, escriba


Configure-SMRemoting.exe -GET

Si la comunicación remota no está habilitada, simplemente puede habilitarla ejecutando


Configure-SMRemoting.exe -ENABLE

Antes de pasar al siguiente paso, abra el Administrador del servidor y asegúrese de que la Administración remota esté configurada en Habilitada.

Ahora tenemos que agregar la cuenta de computadora del recopilador al grupo de lectores de registro de eventos del servidor. Puedes hacerlo en cmd o PowerShell.


Add-ADGroupMember -Identity "Event Log Readers" -Members "client01$"


net localgroup "Event Log Readers" sid-500\client01$ /add

Esto agregará client01 al grupo de lectores de registro de eventos. Ahora estamos listos para configurar la parte principal.

Configuración de suscripciones al registro de eventos

Inicie sesión en su computadora recopiladora (Windows 10). Abra el Visor de eventos (eventvwr). Haga clic en Suscripciones y seleccione Crear suscripción.

Ingrese un nombre de suscripción y haga clic en Seleccionar computadoras.

Haga clic en Agregar computadoras de dominio y escriba el nombre de la computadora de su sistema de destino. Tiene sentido probar la conexión antes de continuar.

Luego haga clic en Seleccionar eventos.

Defina un filtro de consulta. Seleccione los eventos que desea recopilar.

Haga clic en Aceptar.

Prueba de la funcionalidad de las suscripciones al registro de eventos

Espere unos minutos y haga algo en su sistema de destino. Por ejemplo, reinicie la computadora para activar entradas del registro de eventos. Luego regrese a su sistema cliente y haga clic en Registros de Windows. Seleccione Reenviar eventos y revise los registros de su computadora de destino.

Lindo. Esto completa la configuración de reenvío.

Configurar ajustes avanzados

Pero hay más. Puedes configurar Ancho de banda, Latencia y más… Vuelve a tu suscripción configurada recientemente y haz doble clic en ella. Seleccione Avanzado.

Preste atención a la optimización de la entrega de eventos.

Usando el modo normal se entregan 5 artículos a la vez. Es un poco complicado encontrar una configuración adecuada que cumpla con sus requisitos. Recomiendo leer el artículo oficial de Microsoft:

https://technet.microsoft.com/en-us/library/cc749167%28v=ws.11%29.aspx?f=255&MSPPError=-2147217396