我有两台 Win2012R2 服务器。一台是域控制器，另一台是 SQL Server。我在 DC 上创建了一个订阅，从第二台服务器收集事件 1149（来源：TerminalServices-RemoteConnectionManager）。
事件已收集，但未正确显示：
远程桌面服务：用户身份验证成功：
用户：%1
域： %2
源网络地址：%3
但在 XML 信息中，一切是正确的：
<UserData>
<EventXML xmlns="Event_NS">
<Param1>administrator</Param1>
<Param2>MYDOMAIN</Param2>
<Param3>192.168.0.2</Param3>
</EventXML>
</UserData>
其他人在这里遇到了同样的问题：Windows Forward 事件缺少用户数据和说明但该解决方案对我没有用。
我尝试过了 ：
- 将格式设置为Events和RenderetText，是一样的。
- 手动将语言环境设置为 EN-us，相同
- 将语言环境设置为“FR-fr”，因为我的键盘是法语的（操作系统只有英语）：我得到了著名的错误“无法找到源事件 ID 的描述”
- 重启
- 将网络服务添加到 EvenLog Readers 内置组
没有什么变化。
有人有想法吗？
答案1
好的，我明白了。我的操作系统是英文的。我的键盘布局是法语的。默认情况下，订阅的事件有 XML 参数（不知道为什么）：
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event" xml:lang="fr-FR">
我不知道为什么选择 fr-FR，可能是因为我的键盘布局是法语。因此，我手动选择 en-US 作为订阅事件 (RenderedText) 的语言：
wecutil ss MySub /l:en-US
此后，事件显示以下错误：
无法找到来自源 Microsoft-Windows-TerminalServices-RemoteConnectionManager 的事件 ID 1149 的描述。引发此事件的组件未安装在您的本地计算机上，或者安装已损坏。您可以在本地计算机上安装或修复该组件。
我更改了服务器的语言参数：我已将“日期、时间”设置为英语（美国）日期格式，一切正常。希望这会有所帮助。
答案2
Server 2016 和 2012 R2 也遇到了同样的情况。操作系统为英语，键盘为德国，位置和日期格式为德国。在 xml 事件中出现 xml:lang="de-DE"，并且事件还显示有“...无法找到...”消息。
将日期时间格式更改为英语（美国）并使用 wecutil ss MySub /l:en-US 设置订阅语言，事件显示正确。
非常感谢您的分享，不明白为什么微软没有提到这个问题。