Rechercher et exporter les événements système

La synchronisation transmet, selon les conditions définies, des événements des canaux Windows System, Application et Security des terminaux sélectionnés. La portée, le canal, le niveau et l’ID d’événement limitent la collecte ; la liste n’est pas une copie exhaustive des événements. Les messages peuvent contenir des données sensibles sur les utilisateurs ou les appareils : limitez les droits de consultation et d’export et respectez les règles de conservation de votre organisation.

Pour la configuration complète, consultez les paramètres de synchronisation des événements système.

Pour consulter les journaux existants, utilisez un compte disposant des droits et du périmètre de visibilité appropriés et passez directement aux étapes de recherche ci-dessous. Ne modifiez pas la configuration et ne produisez pas d’événements de test pour la seule consultation. Pour vérifier de nouveaux journaux, examinez d’abord la fonction et la configuration existante ; seule une personne disposant des droits de gestion appropriés les modifie si nécessaire avant le test correspondant. Les conditions de production varient selon le type de journal.

Configurer la synchronisation

1. Ouvrez UEM > Audit > System Events et sélectionnez Settings. Si le chargement échoue, annulez même si la fenêtre s’ouvre. Rechargez et vérifiez la configuration existante avant modification ; n’enregistrez pas une configuration potentiellement incomplète.
2. Vérifiez d’abord Enable Sync, l’intervalle et Target, ainsi que les canaux System, Application et Security, les niveaux et les listes d’ID autorisés ou refusés. Réutilisez la configuration existante si elle convient au test pilote ; seulement si des modifications sont nécessaires, une personne autorisée à configurer évalue leur impact et les effectue. Un ID refusé est exclu même s’il figure aussi dans la liste autorisée.
3. Si des modifications ont été apportées, enregistrez puis rouvrez les paramètres pour vérifier commutateur, canaux, niveaux et cibles ; sinon, il n’est pas nécessaire de réenregistrer. Attendez leur réception et le traitement périodique. L’enregistrement dans la console ne prouve ni l’application ni la transmission. La synchronisation n’est pas immédiate et ne garantit pas la récupération de tous les événements historiques.

Les événements déjà examinés puis exclus par le terminal selon les anciens critères de niveau ou d’ID ne sont pas nécessairement collectés après un élargissement des critères. Attendez la réception de la nouvelle configuration, produisez un nouvel événement de test correspondant et vérifiez-le. Pour les événements antérieurs, consultez aussi le journal local ; ne supposez pas que l’historique sera automatiquement complété.

Vérifier, rechercher et exporter

1. Pour vérifier un nouvel événement, sur le terminal pilote, produisez par une méthode approuvée un événement de test correspondant au canal, au niveau et à l’ID choisis. Notez le terminal, l’heure, la source et l’ID, puis attendez la synchronisation et la transmission. Ne provoquez pas de panne et ne réduisez pas la sécurité en production pour ce test.
2. Ouvrez System Events, ajustez les dates et la plateforme, puis filtrez par canal, niveau, source ou ID, ou recherchez un mot-clé. Le filtre initial comprend Critical, Error et Warning. Si la stratégie collecte Information ou Verbose, sélectionnez aussi ces niveaux dans le filtre de recherche.
3. Vérifiez terminal, canal, niveau, ID, source, heure et résumé du message ; ouvrez les détails. Pour vérifier un nouvel événement, comparez-le avec l’événement local et les conditions du pilote. Les droits de lecture, la création de l’événement, le réseau, l’état du terminal et les dates peuvent influencer le résultat.
4. Avec l’autorisation requise, choisissez Export pour créer un CSV. L’export récupère les enregistrements de toutes les pages correspondant aux dates, à la plateforme, au mot-clé et aux filtres actuels, pas uniquement la page affichée. Pour un volume important, réduisez la portée, exportez par lots et vérifiez les fichiers. Protégez ces données potentiellement sensibles.

Absence d’enregistrements

Vérifiez la licence et la visibilité administrative, puis l’activation, la sélection du terminal pilote, les canaux et niveaux, le filtrage des ID et la réception de la configuration. Vérifiez ensuite l’événement local, les droits de lecture du canal, l’état du terminal et du réseau, l’heure de transmission ainsi que les filtres de dates et de niveaux. Une liste vide ne prouve ni l’absence d’événements ni l’application des paramètres. Demandez si nécessaire à un administrateur de contrôler la synchronisation et la transmission.

Si un enregistrement existe mais que le résumé du message est vide, le terminal n’a peut-être pas pu obtenir ou formater le message de la source. Cela ne prouve pas à lui seul l’absence de l’événement. Comparez son ID, sa source et son heure avec le journal local du terminal.