ETW EventSource 未在 Windows 服务器上记录事件

Question

我在 Nuget 上使用 Microsoft EventSource Libary 1.1.25 编写了一个 ETW EventSource。 EventSource 的目的是将事件发送到我们维护的安全应用程序的自定义事件日志。该代码在本地运行，但我们无法将事件写入服务器上的事件日志。

EventSource 被命名为（也类似）Company-Security，并将事件发送到 Admin Channel。在我的本地开发机器上，我可以使用 wevtutil 注册事件源清单，并在 Windows 事件查看器中查看带有管理日志的 Company-Security 文件夹。当我运行应用程序时，事件记录在事件日志中。

但是，当我将应用程序部署到测试服务器 (运行ning Windows Server 2012) 时，事件日志记录不起作用。在我使用 wevtutil 注册清单后，日志已创建并在事件查看器中可见，尽管名称略有不同。创建了一个名为 Company-Security/Admin 的文件夹，其中包含一个名为 Company-Security/Admin 的日志。我还可以在服务器上运行 perfview 并查看创建的事件。但是，没有任何内容被写入事件日志。我还在 EventSource 代码中放置了一些调试语句，可以看到 EventSource IsEnabled() 正在返回 true。

以下是我编写的事件源的基础 class 和实现 class 的代码片段。

我已经研究过，但找不到关于为什么事件日志记录在服务器上不起作用，但在开发机器上起作用的任何解释。我想我遗漏了什么，但不确定是什么。

抽象基础 Class:

    public abstract class SecurityEventsBase : EventSource {
    protected unsafe void WriteEvent(int eventId, long arg1, string arg2, string arg3) {
        if (IsEnabled()) {
            if (arg2 == null) {
                arg2 = "[not provided]";
            }
            if (arg3 == null) {
                arg3 = "[not provided]"; ;
            }
            fixed (char* arg2Ptr = arg2) {
                fixed (char* arg3Ptr = arg3) {

                    EventSource.EventData* dataDesc = stackalloc EventSource.EventData[3];
                    dataDesc[0].DataPointer = (IntPtr)(&arg1);
                    dataDesc[0].Size = 8;
                    dataDesc[1].DataPointer = (IntPtr)arg2Ptr;
                    dataDesc[1].Size = (arg2.Length + 1) * 2;
                    dataDesc[2].DataPointer = (IntPtr)arg3Ptr;
                    dataDesc[2].Size = (arg3.Length + 1) * 2;

                    WriteEventCore(eventId, 3, dataDesc);
                }
            }
        }
    }

事件源Class:

  [EventSource(Name="Company-Security",LocalizationResources="Events.Properties.Resources")]
public sealed class AuthorizationEvents : SecurityEventsBase {

    public static AuthorizationEvents Log = new AuthorizationEvents();

    [Event(2000,Level=EventLevel.Informational,Channel=EventChannel.Admin,Message="User '{1}' ({0}) logged in successfully from IP Address {2}")]
    public void Login(long UserId, string UserName, string IPAddress) {
        if (IsEnabled()) {
            WriteEvent(2000, UserId, UserName, IPAddress);
        }
    }
    ** additional events would follow here**
}

Answer 1

我终于解决了这个问题。它与存储清单和二进制清单资源文件的文件夹的权限有关。

我找到了这个帮助我解决问题的 Whosebug 答案：

我必须将文件夹的读取和执行权限授予存储清单文件的文件夹的本地用户组。执行此操作后，事件立即开始记录在事件日志中。

ETW EventSource 未在 Windows 服务器上记录事件

ETW EventSource not logging events on Windows Server

events

etw

etw-eventsource