韦库蒂尔

2025-05-09
适用于: ✅ Windows Server 2025, ✅ Windows Server 2022, ✅ Windows Server 2019, ✅ Windows Server 2016, ✅ Windows 11, ✅ Windows 10, ✅ Azure Local 2311.2 and later

使你能够创建和管理从远程计算机转发的事件的订阅。远程计算机必须支持 WS-Management 协议。

重要

如果收到消息“RPC 服务器不可用？尝试运行 wecutil 时，需要启动 Windows 事件收集器服务（wecsvc）。若要启动 wecsvc，请在提升的命令提示符下键入 net start wecsvc。

语法

wecutil [{es | enum-subscription}] [{gs | get-subscription} <Subid> [/f:<Format>] [/uni:<Unicode>]] [{gr | get-subscriptionruntimestatus} <Subid> [<Eventsource> …]] [{ss | set-subscription} [<Subid> [/e:[<Subenabled>]] [/esa:<Address>] [/ese:[<Srcenabled>]] [/aes] [/res] [/un:<Username>] [/up:<Password>] [/d:<Desc>] [/uri:<Uri>] [/cm:<Configmode>] [/ex:<Expires>] [/q:<Query>] [/dia:<Dialect>] [/tn:<Transportname>] [/tp:<Transportport>] [/dm:<Deliverymode>] [/dmi:<Deliverymax>] [/dmlt:<Deliverytime>] [/hi:<Heartbeat>] [/cf:<Content>] [/l:<Locale>] [/ree:[<Readexist>]] [/lf:<Logfile>] [/pn:<Publishername>] [/essp:<Enableport>] [/hn:<Hostname>] [/ct:<Type>]] [/c:<Configfile> [/cun:<Username> /cup:<Password>]]] [{cs | create-subscription} <Configfile> [/cun:<Username> /cup:<Password>]] [{ds | delete-subscription} <Subid>] [{rs | retry-subscription} <Subid> [<Eventsource>…]] [{qc | quick-config} [/q:[<quiet>]]]

参数

参数	DESCRIPTION
`{es \| enum-subscription}`	显示存在的所有远程事件订阅的名称。
`{gs \| get-subscription} <Subid> [/f:<Format>] [/uni:<Unicode>]`	显示远程订阅配置信息。 `<Subid>` 是唯一标识订阅的字符串。它与 XML 配置文件的标记中指定的 `<SubscriptionId>` 字符串相同，该文件用于创建订阅。
`{gr \| get-subscriptionruntimestatus} <Subid> [<Eventsource> …]`	显示订阅的运行时状态。 `<Subid>` 是唯一标识订阅的字符串。它与 XML 配置文件的标记中指定的 `<SubscriptionId>` 字符串相同，该文件用于创建订阅。 `<Eventsource>` 是一个字符串，用于标识充当事件源的计算机。它应该是完全限定的域名、NetBIOS 名称或 IP 地址。
`{ss \| set-subscription} <Subid> [/e:[<Subenabled>]] [/esa:<Address>] [/ese:[<Srcenabled>]] [/aes] [/res] [/un:<Username>] [/up:<Password>] [/d:<Desc>] [/uri:<Uri>] [/cm:<Configmode>] [/ex:<Expires>] [/q:<Query>] [/dia:<Dialect>] [/tn:<Transportname>] [/tp:<Transportport>] [/dm:<Deliverymode>] [/dmi:<Deliverymax>] [/dmlt:<Deliverytime>] [/hi:<Heartbeat>] [/cf:<Content>] [/l:<Locale>] [/ree:[<Readexist>]] [/lf:<Logfile>] [/pn:<Publishername>] [/essp:<Enableport>] [/hn:<Hostname>] [/ct:<Type>]` 或 `{ss \| set-subscription /c:<Configfile> [/cun:<Comusername> /cup:<Compassword>]`	更改订阅配置。可以指定订阅 ID 和更改订阅参数的适当选项，也可以指定 XML 配置文件来更改订阅参数。
`{cs \| create-subscription} <Configfile> [/cun:<Username> /cup:<Password>]`	创建远程订阅。 `<Configfile>` 指定包含订阅配置的 XML 文件的路径。路径可以是绝对路径，也可以是相对于当前目录的。
`{ds \| delete-subscription} <Subid>`	删除订阅，并从所有将事件传递到订阅事件日志的事件源取消订阅。不会删除已接收和记录的任何事件。 `<Subid>` 是唯一标识订阅的字符串。它与 XML 配置文件的标记中指定的 `<SubscriptionId>` 字符串相同，该文件用于创建订阅。
`{rs \| retry-subscription} <Subid> [<Eventsource>…]`	重试以建立连接并将远程订阅请求发送到非活动订阅。尝试重新激活所有事件源或指定的事件源。不会重试禁用的源。 `<Subid>` 是唯一标识订阅的字符串。它与 XML 配置文件的标记中指定的 `<SubscriptionId>` 字符串相同，该文件用于创建订阅。 `<Eventsource>` 是一个字符串，用于标识充当事件源的计算机。它应该是完全限定的域名、NetBIOS 名称或 IP 地址。
`{qc \| quick-config} [/q:[<Quiet>]]`	配置 Windows 事件收集器服务，以确保可以通过重新启动创建和维持订阅。这包括以下步骤：如果禁用 ForwardedEvents 通道，请启用通道。将 Windows 事件收集器服务设置为延迟启动。如果 Windows 事件收集器服务未运行，请启动它。

选项

选项	DESCRIPTION
/f:`<file>`	指定显示的信息的格式。 `<Format>` 可以是 XML 或 Terse。如果是 XML，则输出以 XML 格式显示。如果是 Terse，输出将显示在名称值对中。默认值为 Terse。
/c:`<string>`	指定包含订阅配置的 XML 文件的路径。路径可以是绝对路径，也可以是相对于当前目录的。此选项只能与 /cun 和 /cup 选项一起使用，并且与其他所有选项互斥。
/e：[`<Subenabled>`]	启用或禁用订阅。 `<Subenabled>` 可以为 true 或 false。此选项的默认值为 true。
/esa：`<Address>`	指定事件源的地址。 `<Address>` 是一个字符串，其中包含完全限定的域名、NetBIOS 名称或 IP 地址，用于标识充当事件源的计算机。此选项应与 /ese、 /aes、 /res 或 /un 和 /up 选项一起使用。
/ese：[`<Srcenabled>`]	启用或禁用事件源。 `<Srcenabled>` 可以为 true 或 false。仅当指定了 /esa 选项时，才允许此选项。此选项的默认值为 true。
/aes	添加由 /esa 选项指定的事件源（如果它尚不是订阅的一部分）。如果 /esa 选项指定的地址已是订阅的一部分，则报告错误。仅当指定了 /esa 选项时，才允许此选项。
/res	如果 /esa 选项已是订阅的一部分，则删除由 /esa 选项指定的事件源。如果 /esa 选项指定的地址不是订阅的一部分，则报告错误。仅当指定了 /esa 选项时，才允许此选项。
/联合国：`<Username>`	指定要与 /esa 选项指定的事件源一起使用的用户凭据。仅当指定了 /esa 选项时，才允许此选项。
/向上：`<Password>`	指定与用户凭据对应的密码。仅当指定了 /un 选项时，才允许使用此选项。
/d：`<Desc>`	提供订阅的说明。
/uri：`<Uri>`	指定订阅使用的事件的类型。 `<Uri>` 包含一个 URI 字符串，该字符串与事件源计算机的地址相结合，用于唯一标识事件的源。 URI 字符串用于订阅中的所有事件源地址。
/厘米：`<Configmode>`	设置配置模式。 `<Configmode>` 可以是以下字符串之一： Normal、 Custom、 MinLatency 或 MinBandwidth。 Normal、MinLatency 和 MinBandwidth 模式设置传递模式、传递最大项目、检测信号间隔和传递最大延迟时间。仅当配置模式设置为“自定义”时，才能指定 /dm、/dmi、/hi 或 /dmlt 选项。
/前任：`<Expires>`	设置订阅过期的时间。 `<Expires>` 应以标准 XML 或ISO8601日期时间格式定义： `yyyy-MM-ddThh:mm:ss[.sss][Z]`其中 T 是时间分隔符， Z 表示 UTC 时间。
/q：`<Query>`	指定订阅的查询字符串。对于不同的 URI 值，其格式 `<Query>` 可能有所不同，适用于订阅中的所有源。
/直径：`<Dialect>`	定义查询字符串使用的方言。
/tn：`<Transportname>`	指定用于连接到远程事件源的传输的名称。
/卫生纸：`<Transportport>`	设置连接到远程事件源时传输使用的端口号。
/分米：`<Deliverymode>`	指定传递模式。 `<Deliverymode>` 可以是拉取或推送。仅当 /cm 选项设置为 “自定义”时，此选项才有效。
/dmi：`<Deliverymax>`	设置批量传递的最大项目数。仅当 /cm 设置为 “自定义”时，此选项才有效。
/dmlt：`<Deliverytime>`	设置传送一批事件的最大延迟。 `<Deliverytime>` 是毫秒数。仅当 /cm 设置为“自定义”时，此选项才有效。
/你好：`<Heartbeat>`	定义检测信号间隔。 `<Heartbeat>` 是毫秒数。仅当 /cm 设置为 “自定义”时，此选项才有效。
/cf：`<Content>`	指定返回的事件的格式。 `<Content>` 可以是事件或 RenderedText。当值为 RenderedText 时，事件将随附加到事件的本地化字符串（如事件说明）一起返回。默认值为 RenderedText。
/l：`<Locale>`	指定用于以 RenderedText 格式传递本地化字符串的区域设置。 `<Locale>` 是语言和国家/地区标识符，例如 EN-us。仅当 /cf 选项设置为 RenderedText 时，此选项才有效。
/ree：[`<Readexist>`]	标识为订阅传递的事件。 `<Readexist>` 可以为 true 或 false。如果为 `<Readexist>` true，则从订阅事件源读取所有现有事件。如果为 `<Readexist>` false，则只传递未来（到达）事件。不带值的 /ree 选项的默认值为 true。如果未指定 /ree 选项，则默认值为 false。
/如果：`<Logfile>`	指定用于存储从事件源接收的事件的本地事件日志。
/pn：`<Publishername>`	指定发布者名称。它必须是拥有或导入 /lf 选项指定的日志的发布者。
/essp：`<Enableport>`	指定必须将端口号追加到远程服务的服务主体名称。 `<Enableport>` 可以为 true 或 false。如果为 true，则追加 `<Enableport>` 端口号。追加端口号时，可能需要一些配置来阻止访问事件源。
/hn：`<Hostname>`	指定本地计算机的 DNS 名称。远程事件源使用此名称来回推事件，并且只能用于推送订阅。
/ct：`<Type>`	设置远程源访问的凭据类型。 `<Type>` 应为以下值之一： default、 negotiate、 digest、 basic 或 localmachine。默认值为默认值。
/村：`<Comusername>`	设置要用于没有其自己的用户凭据的事件源的共享用户凭据。如果使用 /c 选项指定此选项，则忽略配置文件中单个事件源的 UserName 和 UserPassword 设置。如果要对特定事件源使用不同的凭据，则应通过在另一 ss 命令的命令行上为特定事件源指定 /un 和 /up 选项来替代此值。
/杯子：`<Compassword>`	设置共享用户凭据的用户密码。如果 `<Compassword>` 设置为 * （星号），将从控制台读取密码。仅当指定 /cun 选项时，此选项才有效。
/q：[`<Quiet>`]	指定配置过程是否提示进行确认。 `<Quiet>` 可以为 true 或 false。如果 `<Quiet>` 为 true，则配置过程不会提示确认。此选项的默认值为 false。

例子

若要显示配置文件的内容，请键入：

<Subscription xmlns=https://schemas.microsoft.com/2006/03/windows/events/subscription>
<Uri>https://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>
<!-- Use Normal (default), Custom, MinLatency, MinBandwidth -->
<ConfigurationMode>Normal</ConfigurationMode>
  <Description>Forward Sample Subscription</Description>
  <SubscriptionId>SampleSubscription</SubscriptionId>
  <Query><![CDATA[
    <QueryList>
      <Query Path=Application>
        <Select>*</Select>
      </Query>
    </QueryList>]]
  </Query>
<EventSources>
  <EventSource Enabled=true>
    <Address>mySource.myDomain.com</Address>
    <UserName>myUserName</UserName>
    <Password>*</Password>
  </EventSource>
</EventSources>
<CredentialsType>Default</CredentialsType>
<Locale Language=EN-US></Locale>
</Subscription>

若要查看名为 sub1 的订阅的输出配置信息，请键入：

wecutil gs sub1

示例输出：

EventSource[0]:
Address: localhost
Enabled: true
Description: Subscription 1
Uri: wsman:microsoft/logrecord/sel
DeliveryMode: pull
DeliveryMaxSize: 16000
DeliveryMaxItems: 15
DeliveryMaxLatencyTime: 1000
HeartbeatInterval: 10000
Locale:
ContentFormat: renderedtext
LogFile: HardwareEvents

若要显示名为 sub1 的订阅的运行时状态，请键入：

wecutil gr sub1

若要从名为 sub1 的新 XML 文件更新名为 sub1 的订阅配置 WsSelRg2.xml， 请键入：

wecutil ss sub1 /c:%Windir%system32WsSelRg2.xml

若要使用多个参数更新名为 sub2 的订阅配置，请键入：

wecutil ss sub2 /esa:myComputer /ese /un:uname /up:* /cm:Normal

若要删除名为 sub1 的订阅，请键入：

wecutil ds sub1

命令行语法项

通过

韦库蒂尔

语法

参数

选项

例子

相关链接

反馈

其他资源