Suscripciones del Visor de Sucesos (Event Viewer Subscription) en Windows Server 2008

(o Cómo mirar todos los eventos de múltiples servidores desde una sola consola)

Windows Server 2008 nos ofrece la posibilidad de suscribir a Visores de Sucesos remotos para ser visualizados conjuntamente desde una consola.
Por ende, en vez de tener que conectarse servidor por servidor para ver los eventos de nuestros servidores administrados, podemos, solamente con una mano - la del mouse! - ir viendo los eventos que puedan llegar a indicarnos problemas, Mientras con la otra... tomamos el café de la mañana!.

Event Viewer Subscription

Existen dos maneras de configurar una suscripción de Event Viewer. La primera iniciada desde el Colector (el servidor o estación de trabajo que visualizará los eventos) - la otra es iniciada desde la Computadora Origen, es decir desde la que genera el evento.

Configurando el Servicio Windows Event Collector

Lo primero que hay que hacer, sea creando una suscripción en Modo "Collector Initiated" o en modo "Source Computer Initiated" es configurar el servicio Windows Event Collector. Para hacerlo iniciar una ventana de Línea de Comando (el Viejo y Querido - Inicio Ejecutar CMD ENTER!) y escibir el siguiente comando:

wecutil qc

Este comando preguntará si configuraremos el servicio Windows Event Collector en modo Automatic - Delayed Start. Responder que Sí y listo. Ya está configurado e iniciado el servicio.

Configurando una Suscripción

Desde la nueva herramienta Server Manager, hay que expandir Diagnostic y ahí se encuentra el nuevo Event Viewer. Al Expandir Event Viewer aparecerán 4 entradas, la última es Suscriptions. Para crear una nueva Subscription hacer click con botón derecho del mouse sobre esa entrada y seleccionar New Subscription. En esta ventana se debe configurar un Nombre a la Suscripción y una descripción Opcional. Tambien tengo que decir en que LOG se guardarán estos eventos. Windows trae un log llamado Forwarded Events, que podría utilizar para el caso Luego se debe seleccionar si la suscripción es "Collector Initiated" o "Source Computer Initiated" - Veremos como configurar cada una de ellas más adelante.

Filtrando los Eventos

Clickeando en el Boton Select Events nos permitirá crear un filtro para esta suscripción (este filtro puede ser Custom Filter grabado previamente). En este filtro definiremos el tiempo máximo que deberpa tener el evento para que sea enviado (Cualquier Momento, 24 horas, 48 Horas, etc) Tambien tendremos la posibilidad de elegir el nivel del evento (Error, Warning, Information, etc) El log en el que se originó el evento (System, Application, Security, etc) o también el origen (Event Source) del evento (es decir, el proceso que lo originó) Otras opciones pueden ser el ID del evento (se puede separar por comas para múltiples o por - para rangos ej. 1,3,4-10), Palabras Clave, Que usuario lo generó o que computadora lo generó. Una vez conforme hay que clickear en OK para guardar el filtro.

Opciones Avanzadas

Clickeando en el Botón Advanced se pueden configurar más opciones. Como por ej, la cuenta que se va a utilizar (puede ser la misma cuenta de máquina o un usuario al que se le haya delegado permisos de lectura sobre el log a mirar) o tambien la eficiencia en el envío de los eventos. Normal: Enviará los eventos cada 15 minutos, de a 5 por ves.
Minimize Bandwidth: Traerá los eventos en intervalos de 6 horas según filtro.
Maximize Latency: Enviará los eventos en un intervalo de 30 segundos.
Por último se puede seleccionar el método de conexión. En el caso de seleccionar HTTPS, las máquinas origen o la máquina destino (dependiendo el método) deberán tener configurado un certificado digital que sea confiable para las máquinas intervinientes en esta acción.

Configurando el origen de la Suscripción

Para configurar la suscripción como "Collector Initiated"
Para configurar la suscripción en modo clickear en "Sorce Computer Initiated"

Una vez seleccionadas las máquinas (sean Collector Initiated o Source Computer Initiated, al clickear en OK aparecerá la suscripción en la lista de suscripciones.

Verificando el funcionamiento de la suscripción y mirando los eventos

Desde la máquina que inicia la recolección de eventos (o la máquina en donde configuramos la suscripción!) podemos ejecutar el siguiente comando desde la consola de Línea de Comandos para ver el estado de la suscripción:

wecutil gr "Nombre de la suscripción"

Clickeando en el Event Viewer podemos ver los eventos y opcionalmente podremos hacer un filtro con la funcionalidad de "Custom Views"