विंडोज सर्वर 2003 या विंडोज XP में, आप सिस्टम इवेंट लॉग व्यूअर में इवेंट को आसानी से एक विशिष्ट उपयोगकर्ता खाते से फ़िल्टर कर सकते थे यदि आप लॉग फ़िल्टर के उपयोगकर्ता फ़ील्ड में वांछित उपयोगकर्ता नाम दर्ज करते थे। लेकिन विंडोज सर्वर 2008 / विंडोज 7 में, किसी विशिष्ट उपयोगकर्ता से संबंधित इवेंट खोजने का यह सरल तरीका काम नहीं करता।
विंडोज सर्वर 2008 में, इवेंट लॉग के मानक प्रस्तुति में कोई उपयोगकर्ता फ़ील्ड नहीं है। आइए इसे दृश्य -> कॉलम जोड़ें/निकालें मेनू विकल्प का उपयोग करके जोड़ने का प्रयास करें।
अब लॉग प्रस्तुति में उपयोगकर्ता कॉलम दिखाई दिया है, लेकिन इस कॉलम में इवेंट शुरू करने वाले उपयोगकर्ता का नाम प्रदर्शित नहीं होता है। हम N/A देख सकते हैं। खाते के बारे में जानकारी अब इवेंट के विवरण में ही निहित है (इस उदाहरण में सुरक्षा आईडी और खाता नाम के मानों में)। अब लॉग में इवेंट को कैसे फ़िल्टर करें?
विंडोज सर्वर 2008 या उच्चतर में उपयोगकर्ता नाम (या किसी अन्य इवेंट विशेषता) से इवेंट फ़िल्टर करने के लिए, आप XML क्वेरी (XPath) के मैन्युअल संशोधन का उपयोग कर सकते हैं।
नोट. पहले XPath का उपयोग करके लॉग में विशिष्ट इवेंट खोजने पर लेख "रनिंग ए शेड्यूल्ड टास्क आफ्टर अनदर" में विचार किया गया था।
तो, इवेंट व्यू में आवश्यक लॉग खोलें (हमारे मामले में, यह सुरक्षा लॉग है) और संदर्भ मेनू में वर्तमान लॉग फ़िल्टर करें… चुनें।
XML टैब पर जाएं और क्वेरी मैन्युअल रूप से संपादित करें चेक करें।
निम्न कोड कॉपी और पेस्ट करें जो लॉग में विशिष्ट उपयोगकर्ता के सभी इवेंट का चयन करने की अनुमति देता है (username को आवश्यक खाता नाम से बदलें)।
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">* [EventData[Data[@Name='subjectUsername']='username']]</Select>
</Query>
</QueryList>
फ़िल्टर में परिवर्तन सहेजें और लॉग देखें। केवल आपके द्वारा निर्दिष्ट खाते से संबंधित इवेंट लॉग में रहने चाहिए।
यदि आपको उदाहरण के लिए, किसी उपयोगकर्ता के लिए इवेंट और इवेंट आईडी 4624 (खाते में सफलतापूर्वक लॉग ऑन किया गया) और 4625 (खाता लॉग ऑन करने में विफल) के लिए अतिरिक्त फ़िल्टर करने की आवश्यकता है, तो XPath फ़िल्टर इस तरह दिखाई देगा:
<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(EventID=4624 or EventID=4625)]]</Select>
<Select Path="Security">* [EventData[Data[@Name='subjectUsername']='username']]</Select>
</Query>
</QueryList>
