![日志解析器:获取唯一记录编号](https://linux22.com/image/640516/%E6%97%A5%E5%BF%97%E8%A7%A3%E6%9E%90%E5%99%A8%EF%BC%9A%E8%8E%B7%E5%8F%96%E5%94%AF%E4%B8%80%E8%AE%B0%E5%BD%95%E7%BC%96%E5%8F%B7.png)
过去几天我一直在使用 Log Parser,我们试图从域控制器的安全日志中保留特定的事件 ID。由于这些是高流量日志,其中的数据往往不会持续超过 15 到 30 分钟。因此,我需要每 10 分钟左右运行一次此查询作为计划任务,以确保我不会丢失任何数据。
我 (终于!) 设法进行了查询,该查询从具有相关事件 ID 的日志中提取相关数据,并将其写入 SQL 数据库。我遇到的问题是,如果我尝试提取 EventRecordID 属性(我可以在任何事件的 XML 中看到该属性),则 select 语句会失败并出现“未知字段”错误。
它确实会生成一个 RecordNumber;但是,这个数字似乎与查询有关,而不是事件记录本身。这意味着每次运行查询时,每个事件都有一个唯一的记录号,因此如果某个事件在多次连续运行后仍保留在日志中,则会多次写入数据库。
我怎样才能让它在数据库中仅记录一次通风口实例?
答案1
好吧,所以我不知道这个问题是否真的有答案。例如,RecordNumber 字段的文档/解释,或者为什么 Log Parser 无法读取 EventRecordID 字段。
然而,其中一个答案发布到这个 ServerFault 问题无论如何都能让我完成我需要做的事情。(我已对该答案投了赞成票,但 OP 尚未将其标记为解决方案)。
解决方案是使用检查点文件,该文件记录最后一次 Log Parser 查询运行,并且仅从指定日志中读取新条目。这不仅确保从日志中读取唯一记录(更重要的是写入数据库),而且还提高了查询效率。
关于检查点的一些信息深埋在这篇旧的 TechNet 文章,以及如何使用它的简洁描述这篇博文也。