核心是配置事件订阅，通过WEC服务器拉取多台Windows服务器日志：一、中心服务器启用WinRM和WecSvc服务并验证；二、源服务器开通WinRM、启用事件转发策略、授权WEC计算机账户读取日志权限；三、中心服务器创建拉取模式订阅，指定ForwardedEvents通道与源机筛选规则；四、用GPO或PowerShell批量部署并定期检查订阅状态。
要汇总多台Windows服务器的日志，核心是配置**事件订阅（Event Subscription）**，让一台中心服务器（WEC服务器）主动拉取或接收其他服务器的事件日志。整个过程不依赖第三方工具，完全使用Windows原生功能，关键在于三步到位：**配好收集器、授好源权限、建好订阅规则**。
一、在中心服务器上启用并验证事件收集服务
这是日志汇聚的“接收端”，必须先让它准备好收日志：
以管理员身份运行powershell：
- 执行 winrm quickconfig -q —— 启用WinRM监听，允许远程管理通信
- 执行 wecutil qc —— 快速配置Windows事件收集器服务（WecSvc），等效于设置为自动启动并启动服务
- 运行 eventvwr.msc，展开左侧“订阅”节点，确认右侧窗格无红色报错，状态栏显示“已连接”
二、在每台源服务器（被收集日志的机器）上开通访问权限
源服务器不是被动“发”，而是被WEC服务器通过WinRM“查”，所以必须授权它读取日志：
同样以管理员身份运行powershell：
- 执行 winrm quickconfig -q —— 确保本机WinRM已就绪
- 运行 gpedit.msc → 计算机配置 → 管理模板 → Windows组件 → 事件转发 → 启用“允许事件转发”
- 运行 secpol.msc → 本地策略 → 用户权限分配 → 找到“管理审核和安全日志” → 添加WEC服务器的计算机账户（如 DOMAIN\WEC-SERVER$）
：这里添加的是**计算机账户**（带$结尾），不是普通用户；若非域环境，可用专用域服务账户替代，但需确保该账户对各源机的安全/系统/应用日志有读取权限。
三、在中心服务器上创建拉取模式订阅
拉取模式最常用，适合多数企业网络（防火墙通常只放开出站，不开放入站）：
打开事件查看器 → 右键“订阅” → “创建订阅”：
- 订阅名称：例如 All-Servers-Errors-Warnings
- 选择目标日志：固定为 ForwardedEvents（系统预置通道，专用于存转发日志）
- 添加源计算机：手动输入IP或主机名，或导入CSV列表；支持域内自动发现（勾选“查找域中的计算机”）
- 事件来源筛选：可选“所有事件”，也可自定义——比如只拉取“系统”+“应用程序”日志中级别为“错误”或“警告”的条目，减少冗余
创建完成后，订阅默认启用。稍等1–2分钟，刷新ForwardedEvents日志，就能看到来自各源机的事件，时间戳、来源计算机名、事件ID、描述等信息完整保留。
四、批量部署与日常维护建议
上百台服务器逐台配？没必要。推荐两种方式：
- 组策略（GPO）统一推送：把“允许事件转发”策略、WinRM基础配置、甚至“管理审核和安全日志”权限（通过GPO的“安全设置→本地策略→用户权限分配”）批量下发到源服务器OU
- PowerShell脚本一键初始化：在源机上运行一段脚本完成winrm配置+GPO注册+权限添加，配合域登录脚本或SCCM/Intune部署
- 定期检查：eventvwr.msc → 订阅 → 右键某订阅 → 属性 → 状态页，查看最后成功同步时间及失败原因（常见如“拒绝访问”“超时”“证书无效”）
