安全事件日志转发失败，Windows Server 中的错误0x138C和 5004 - Windows Server

本文提供了一个解决方案，其中安全事件日志转发失败，Windows Server 中的错误0x138C和 5004。

适用于： 所有受支持的 Windows Server 版本原始 KB 数： 4047777

现象

尝试在 Windows Server 2012、Windows Server 2008 R2 或 Windows Server 2008 中转发安全事件日志时，会在事件收集器计算机上收到以下错误消息：

错误“0x138C”Windows 事件转发插件无法从查询读取任何事件，因为查询不返回活动通道。

此外，在事件源计算机上收到以下错误消息：

将创建 subscriptionSubscriptionNamecannot。 错误代码为 5004。

原因

如果满足以下条件，可能会出现此问题：

• 当 Windows 远程管理（WinRM）尝试从源计算机查询安全日志时，网络服务帐户没有正确的权限。

• 管理安全事件日志的权限由注册表修改，或通过配置在源计算机上设置以下注册表项的管理 审核和安全日志 来修改：

  • 注册表项：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\EventLog\Security
  • 注册表项：CustomSD
  • 值：

解决方法

若要解决此问题，需要将网络服务帐户添加到 管理审核和安全日志 组策略。 为此，请按照下列步骤进行操作：

1. 选择“启动>管理工具>本地安全策略”。
2. 在导航菜单上，选择“ 本地策略>用户权限分配”。
3. 右键单击“ 管理审核和安全日志”，然后选择“ 属性”。
4. 在**“本地安全设置**”选项卡上，单击“添加用户或组**”**以添加网络服务帐户。

前面的过程将 SID S-1-5-20 （网络服务帐户的已知 SID）添加到 上述 CustomSD 注册表值。 还可以手动将该值添加到注册表项。 修改后，该值如下所示：

O:BAG:SYD:(D;; 0xf0007;;;AN)(D;; 0xf0007;;;BG)(A;; 0xf0007;;;SY)(A;; 0x7;;;BA)(A;; 0x7;;;SO)(A;; 0x3;;;IU)(A;; 0x2;;;BA)(A;; 0x2;;;LS)(A;; 0x2;;;NS)(A;; 0x7;;;DA)(A;; 0x1;;;S-1-5-21-xxx-xxx-xxx-xxx);;; S-1-5-20