Câu trả lời cho câu hỏi this đã dẫn tôi xem xét sử dụng "Theo dõi sự kiện cho Windows" cho nhu cầu truy tìm của chúng tôi. Tôi đã đi qua NTrace, mà dường như là một cách tốt để sản xuất các sự kiện ETW từ mã C# (sử dụng mô hình "nhà cung cấp cổ điển" tương thích với XP).Tiêu thụ sự kiện "Truy tìm sự kiện cho Windows"
Tuy nhiên, tôi không thể tìm thấy cách dễ dàng để tiêu thụ các sự kiện này - để xem chúng trong thời gian thực và/hoặc đăng nhập chúng vào tệp. Cách duy nhất tôi tìm thấy được mô tả trong tài liệu NTrace: sử dụng một công cụ chỉ có sẵn như là một phần của Windows DDK.
Trong trường hợp có sự cố phức tạp trong trường, chúng tôi có thể cần yêu cầu người dùng để tạo tệp chứa dấu vết. Chúng tôi không thể yêu cầu người dùng tải xuống DDK hoặc thực hiện một số thao tác phức tạp để thực hiện việc này.
Có cách nào đơn giản, thân thiện với người dùng để ghi nhật ký sự kiện ETW vào tệp không?
Ngoài ra, một người nào đó có thể tiêu thụ các sự kiện ETW trên Windows Vista/7 nếu họ không chạy với tư cách là quản trị viên không?
Cảm ơn thông tin này. Vì vậy, trên Windows Vista trở lên, người dùng bị hạn chế không thể tiêu thụ các sự kiện trong thời gian thực. Bạn có biết liệu những người dùng này có thể kiểm soát việc ghi nhật ký sự kiện vào một tệp không? – user200783
Dường như người dùng bị hạn chế không thể kiểm soát việc ghi nhật ký sự kiện vào một tệp. Để làm như vậy, người dùng sẽ phải sử dụng bộ điều khiển theo dõi, nhưng http://msdn.microsoft.com/en-us/library/aa364117%28VS.85%29.aspx cho biết "Chỉ những người dùng có tư cách quản trị viên. .. có thể kiểm soát các phiên truy tìm sự kiện ". – user200783
Vâng, Vista là loại kéo. Để giải quyết vấn đề này, bạn có thể có tất cả các công cụ truy tìm sự kiện được thực hiện trong một dịch vụ chạy dưới một tài khoản đặc quyền. Có lẽ dễ dàng hơn chỉ để có người dùng nâng cao, mặc dù. – Luke