wevtutil требует запуска от имени администратора для журнала безопасности (но не для системы), или как запустить от имени администратора для задачи

Question

Я использую этот запрос для проверки определенных изменений учетной записи Exchange на моем основном сервере AD Windows 2008 R2:

wevtutil qe Security /q:"*[System/EventID=5136]" /f:text /rd:true /c:1

Я создам из этого пакетный файл, чтобы отправить содержимое события в виде вложения по электронной почте с помощью Планировщика заданий, как описано в этом посте: http://blogs.technet.com/b/jhoward/archive/2010/06/16/getting-event-log-contents-by-email-on-an-event-log-trigger.aspx

Проблема: я могу делать это wevtutil qe Systemвесь день, но если я делаю wevtutil qe Securityтак, как мне нужно, мне нужно быть в командной строке с повышенными правами (те же учетные данные администратора домена, просто CMD запущен от имени администратора). Поэтому, когда моя запланированная задача вызывает пакетный файл, даже если у задачи есть опция, установленная на «запуск с наивысшими привилегиями» под учетной записью SYSTEM, она не запускается в командной строке с повышенными правами, то есть возникает ошибка: «Не удалось открыть запрос событий. Доступ запрещен».

Итак, один из этих вариантов может решить мою проблему:

1. Откройте журнал безопасности, чтобы он был похож на системный журнал, и вам не нужны повышенные привилегии для доступа к его содержимому с помощью wevtutil.

2. Запустите действие «Запланированная задача» в командной строке с повышенными привилегиями, каким-либо образом

3. Что-то третье, о чем я не подумал.

Answer 1

Используйте учетную запись, которая является членом группы читателей журнала событий.