[Из песочницы] Централизованный сбор и обработка журналов печати Windows
В небольших офисах далеко не всегда используются сетевые принтеры и МФУ, поэтому получить статистику использования печатающих устройств получить достаточно сложно. Тем более, если это требуется произвести с минимальными затратами. Такие данные смогут помочь определить наиболее активно используемые устройства, оценить нагрузку на них и принять своевременные решения по закупке расходных материалов, техническом обслуживании или даже замене на более экономичные и производительные. Данную задачу возможно решить без дополнительного ПО используя встроенные средства управления журналами Windows и скриптом на Powershell.Используя поисковые системы можно найти готовые программные продукты для аудита печати в офисе, например: Такие системы далеко не всегда подходят, так как они требуют покупки, бесплатные версии имеют ограниченную функциональность, необходима установка как центрального ПО на сервер, так и агентов на клиентские компьютеры, некоторые программы работают только с принт-сервером и так далее. Предлагаю использовать для решения задачи встроенные средства операционной системы Windows 7/2008R2 и скрипты на Powershell.Итак, примем за исходные данные следующую информацию:
В организации есть домен Active Directory В организации используются компьютеры c операционной системой не ниже Windows 7, сервера — с ОС не ниже Windows Server 2008R2 Есть как сетевые, так и локальные принтеры и МФУ. Существует необходимость централизовано обрабатывать журналы печати с принтеров и иметь статистику использования и нагрузки на печатающие устройства. Подготовка инфраструктурыПервым делом необходимо подготовить инфраструктуру для централизованного сбора журналов событий с клиентских компьютеров.Для работы подписки на события Windows на компьютере-источнике необходимы следующие настройки: Наличие пользователя в группе Читатели журнала событий (Event Log Readers), от имени которого будет читаться журнал Доступ по удаленному управлению (Windows Remote Management с сервера-коллектора Настроенное разрешение на пересылку событий на сервер-коллектор логов. Включенный журнал событий печати (выключен по умолчанию) Создаем в оснастке Пользователи и Компьютеры нового пользователя, в качестве полного имени и логина указываем EventCollectorUser. Назначаем сложный пароль и ставим галочки «Запретить смену пароля пользователем» и «Срок действия пароля неограничен».Далее создаем на контроллер домена новую групповую политику и называем ее, например, GPO-EventCollector.В политике задаем следующие параметры:
В разделе «Конфигурация компьютера — Настройка — Параметры панели управления — Службы» создаем запись службы «Автозагрузка: Автоматически (отложенный запуск)», «Имя службы — Служба удаленного управления Windows (MS-Management) (WinRM)», «Действие службы: Запуск службы» В разделе «Конфигурация компьютера — Политики — Административные шаблоны — Компоненты Windows — Удаленное управление Windows — Служба удаленного управления Windows» задать параметр «Разрешить автоматическую настройку прослушивателей: Включить» и разделе параметра «Фильтр IPv4″ поставить значение »*». В разделе «Конфигурация компьютера — Политики — Конфигурация Windows — Параметры безопасности — Брандмауэр Windows в режиме повышенной безопасности — Брандмауэр Windows в режиме повышенной безопасности — Правила для входящих подключений» создаем новое правило. Выбираем пункт «Предопределенные правила» и в списке выбираем «Удаленное управление Windows (HTTP — входящий трафик)» В разделе «Конфигурация компьютера — Политики — Административные шаблоны — Компоненты Windows — Пересылка событий» задать параметр «Настроить конечный диспетчер подписки» и в разделе параметра «SubscriptionManagers» вписать полный FQDN путь до сервера–коллектора. В разделе «Конфигурация компьютера — Политики — Конфигурация Windows — Параметры безопасности — Группы с ограниченным доступом» добавляем новую группу «Читатели журнала событий». В члены группы добавляем созданного нами пользователя EventCollectorUser. После создания групповой политики необходимо перезагрузить целевые компьютеры или выполнить на них команду gpupdate /force.
Включить журнал печати на целевом компьютере можно через оснастку MMC «Просмотр событий» по пути «Журналы приложений и служб — Microsoft — Windows — PrintService — Работает» (кликнуть правой кнопкой мыши на журнале и выбрать «включить»). Этот вариант подходит, если компьютеров не так много.В случае, если требуется включить журнал на большой группе ПК, то можно воспользоваться следующим способом:
Подготовить текстовый файл со списком имен компьютеров. Например, d:\temp\computers.txt Запустить следующую команду от имени пользователя с правами администратора домена: For /F %i in (d:\temp\computers.txt) do wevtutil sl Microsoft-Windows-PrintService/Operational /e: true /r:%i Создание подписки на события После подготовки инфраструктуры можно переходить непосредственно к настройке подписки на события на сервере-коллекторе.Идем в оснастку «Просмотр событий — Подписки». Выбираем справа в меню «Создать подписку…» Вводим имя подписки, например, «Test Subscription». Добавляем понятное описание. Далее выбираем журнал, в который будут попадать принимаемые события. Рекомендую оставить все по умолчанию — «Перенаправленные события». Тут стоит заметить, что найти способ помещать события в журнал, созданный вручную, мне не удалось. Так что вариант по-умолчанию остается почти единственным. Далее щелкаем на кнопке «Выбрать компьютеры…». В открывшемся окне кнопкой «Добавить» добавляем необходимые компьютеры-источники. Кнопкой «Проверить» можно проверить доступность целевых машин по протоколу удаленного управления, результат покажут в информационном окне. Выбираем события, которые будем собирать с источников. Нас интересует уровень событий «Сведения» из журнала «Microsoft-Windows-PrintService/Работает» с кодом событий 307. Все остальные настройки оставляем по умолчанию. Щелкаем по кнопке «Дополнительно», в открывшемся окне выбираем пункт «определенный пользователь» и указываем созданного нами пользователя и его пароль. Настройки оптимизации доставки событий оставляем в положение «Обычная». Щелкаем «ОК» и подписка создана. При появлении событий в логе компьютеров-источников, они в течение 15 минут будут загружены на сервер-коллектор в журнал «Перенаправленные события». Скрипт обработки собранных событий Собранные события можно выгрузить в формате CSV средствами оснастки «Просмотр событий», но полученные данные будут не очень информативны и не позволят на их основе получить интересную статистику, которую можно показать руководству. Поэтому я предлагаю вариант обработки полученных событий средствами Powershell для удобства их дальнейшего использования.Поиском на просторах Интернета был найден скрипт анализа журналов печати для Windows Server 2003. (http://trevorsullivan.net/2009/11/06/windows-2003-print-log-parsing-script-powershell/) Так как есть определенные различия в командлетах Powershell новых версий, и способ получения событий отличается от предложенного в статье, то скрипт был мной переработан.Общую структуру скрипта я менять не стал, он разбит по функциям, которые легко модифицировать (в случае локализации, например). Логика работы скрипта следующая: Получаем список событий из журнала Парсим свойство Message каждого события и записываем поля в объект PrintJob Сохраняем полученный список объектов в формате CSV Получаем список событий из журнала «Перенаправленные события» по коду 307 (на случай, если в указанный журнал пересылаются еще какие-либо события).
Function GetPrintEntriesFromLog () { $PrintEntries = get-winevent -FilterHashTable @{LogName='ForwardedEvents'; ID=307;} return $PrintEntries } Создаем новый объект PrintJob. Добавляем в него требуемые поля.Скрытый текст Function CreatePrintJob () { $PrintJob = New-Object PsObject Add-Member -Force -InputObject $PrintJob -MemberType NoteProperty -Name PageCount -Value $null Add-Member -Force -InputObject $PrintJob -MemberType NoteProperty -Name UserName -Value $null Add-Member -Force -InputObject $PrintJob -MemberType NoteProperty -Name DocumentName -Value $null Add-Member -Force -InputObject $PrintJob -MemberType NoteProperty -Name Size -Value $null Add-Member -Force -InputObject $PrintJob -MemberType NoteProperty -Name Printer -Value $null Add-Member -Force -InputObject $PrintJob -MemberType NoteProperty -Name Time -Value $null return $PrintJob } Получаем из свойства Message события поля Имя пользователя, Имя принтера, Количество напечатанных страниц в документе, Имя документа. Вытаскиваем это все из строки регулярными выражениями. При англоязычном журнале меняем строки в регулярных выражениях на другие, соответственно.Скрытый текст #Парсим параметры объекта Function ParsePrintEntry ($PrintEntry) { $NewPrintJob = CreatePrintJob
$NewPrintJob.PageCount = GetPageCount $PrintEntry.Message $NewPrintJob.UserName = GetUserName $PrintEntry.Message $NewPrintJob.DocumentName = GetDocumentName $PrintEntry.Message $NewPrintJob.Size = GetPrintSize $PrintEntry.Message $NewPrintJob.Printer = GetPrinterName $PrintEntry.Message $NewPrintJob.Time = $PrintEntry.TimeCreated.ToString ()
return $NewPrintJob }
#Получаем имя пользователя Function GetUserName ($PrintEntry) { If ($PrintEntry -eq » -or $PrintEntry -eq $null) { return $null } $rxUserName = [regex]«которым владеет ([0–9a-zA-Z.]{1,})» $rxMatches = $rxUserName.Match ($PrintEntry) return $rxMatches.Groups[1].Value }
#Получаем имя принтера Function GetPrinterName ($PrintEntry) { If ($PrintEntry -eq » -or $PrintEntry -eq $null) { return $null } $rxPrinterName = [regex]«распечатан на (.{1,}) через» $rxMatches = $rxPrinterName.Match ($PrintEntry) return $rxMatches.Groups[1].Value }
#Получаем размер распечатки в байтах Function GetPrintSize ($PrintEntry) { If ($PrintEntry -eq » -or $PrintEntry -eq $null) { return $null } $rxPrintSize = [regex]«Размер в байтах: ([0–9]+).» $rxMatches = $rxPrintSize.Match ($PrintEntry) return $rxMatches.Groups[1].Value }
#Получаем количество страниц (самый важный параметр) Function GetPageCount ($PrintEntry) { If ($PrintEntry -eq » -or $PrintEntry -eq $null) { return $null } $rxPageCount = [regex]«Страниц напечатано: ([0–9]+)» $rxMatches = $rxPageCount.Match ($PrintEntry) return $rxMatches.Groups[1].Value }
#Получаем имя документа Function GetDocumentName ($PrintEntry) { If ($PrintEntry -eq » -or $PrintEntry -eq $null) { return $null } $rxDocumentName = [regex]», (.{1,}) которым владеет» $rxMatches = $rxDocumentName.Match ($PrintEntry) return $rxMatches.Groups[1].Value }
Основная функция. Получаем список событий и в цикле превращаем его в объект PrintJob. Потом делаем экспорт полученного списка объектов в указанный файл. Ставим кодировку UTF8 для корректного отображения кириллицы и разделитель »;» для читаемого открытия файла в Excel. Каждые 100 событий пишем лог, это удобно при отладке. Function Main () { $PrintEntries = GetPrintEntriesFromLog $Global: ParsedEntries = @{}; $i = 0
ForEach ($PrintEntry in $PrintEntries) { $ParsedEntries.Add ($i, $(ParsePrintEntry $PrintEntry)) $i++ if ($i % 100 -eq 0) { Write-Host «Processed $i records» } } $ParsedEntries.Values | Export-Csv «D:\PrintReports\PrintUsageReport.csv» -NoTypeInformation -Encoding UTF8 -Delimiter ';' }
#Запускаем главную функцию. Main При подготовке регулярных выражений для скрипта использовался сайт Regex101.com. Сайт понятный, с краткой документацией, подсветкой результата поиска в исходной строке, расшифровкой смысла регулярного выражения на лету. Очень информативно и удобно, рекомендуется к употреблению.Полученный скрипт можно применять по требованию, запуская в командной оболочке PowerShell, а можно назначить в качестве задания в Планировщике заданий.Для этого необходимо: Открыть Планировщик заданий (Пуск — Администрирование — Планировщик заданий) Выбрать пункт «Создать простую задачу…» Ввести имя задачи, описание, выбрать интервал выполнения Выбрать действие «запустить программу». В качестве программы выбрать «C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe», а в качестве аргумента — путь к скрипту. Открыть свойства задачи и выставить переключатель «Выполнять вне зависимости от регистрации пользователя», выбрать пользователя, от имени которого должна выполняться задача и ввести пароль от него. Таким образом, в указанном при создании скрипта каталоге будет с заданным интервалом обновляться файл со списков напечатанных документов.Решение проблем Если при запуске скрипта возникает ошибка вида: Невозможно загрузить файл D:\PrintReports\PrintInfo.ps1, так как выполнение сценариев отключено в этой системе. Для получения дополнительныхсведений см. about_Execution_Policies по адресу go.microsoft.com/fwlink/? LinkID=135170.+ CategoryInfo: Ошибка безопасности: (:) [], ParentContainsErrorRecordException+ FullyQualifiedErrorId: UnauthorizedAccess
это означает, что политика безопасности для исполняемых скриптов Powershell не позволяет запустить программу. Для запуска созданного скрипта необходимо понизить уровень безопасности до «Remote Signed», то есть будет разрешено выполнение любых сценариев, созданных локально, а сценарии, созданные на удаленных системах, выполняются только в том случае, если подписаны доверенным издателем. Для этого в консоли Powershell, запущенной от имени администратора, необходимо выполнить команду Set-ExecutionPolicy RemoteSigned. Для тестирования пересылки и сбора событий можно использовать инструмент командной строки eventcreate.exe. Эта утилита позволяет создавать события вручную в определенном журнале. К примеру, можно создать событие с ID 100 в логе Приложение при помощи следующей команды: eventcreate /t error /id 100 /l application /d «Custom event». Если все настроено правильно и есть сбор событий из указанного журнала, то событие окажется на сервере-коллекторе в течение минуты.Если событие не попало на сервер-коллектор, необходимо проверить следующее: Если параметры задавались групповой политикой, то проверить, что политика применяется. При необходимости, можно принудительно применить групповую политику командой gpupdate /force Статус службы Windows Remote Management (WinRM) (Служба удаленного управления Windows). Служба должна быть запущена и настроена на автоматический запуск. При необходимости на клиентском компьютере можно сконфигурировать данную службу командой winrm quickconfig. Эта команда конфигурирует службу WinRM, создает прослушиватель winrm и создает правило исключения брандмауэра.Для проверки, что сервер-коллектор может соединиться с компьютером-источником с помощью WinRM можно воспользоваться следующей командой: winrm id -remote: <Имя целевого компьютера> -u: <Имя пользователя> -p: <Пароль>. Указываются учетная запись и пароль пользователя, имеющего возможность подключения по winrm. Пользователь EventCollectorUser входит в состав группы Читатели журнала событий. Только члены этой группы могут читать события на конкретном компьютере. Что можно улучшить Предложенный скрипт обработки не является универсальным решением и может быть улучшен в различных направлениях, например, Выборка событий по времени (за день, неделю, месяц) и запись их в соответствующие отдельные листы электронной таблицы или выходные CSV-файлы. Можно предусмотреть задание диапазона дат при помощи входных параметров скрипта. Добавление графического представления данных с использованием сводных таблиц по пользователям и печатающим устройствам и графиков. Такой отчет можно сразу класть на стол руководителю. Настроить архивирование и ротацию журнала «Перенаправленные события», добавить функцию анализа соответствующих архивных файлов. Это будет разумно при работе с достаточно большим числом компьютеров (более 50). Итак, в этой статье я постарался показать принцип централизованного сбора событий с журналов Windows и их дальнейшей обработки средствами Powershell. Данный способ подходит для решения задачи в небольших организациях. Разумеется, специализированное программное обеспечение справляется с поставленными целями более эффективно, но оно дорого, более громоздко, его установка приносит IT-специалисту меньше новых знаний и навыков, понимания работы обслуживаемого им программного обеспечения.При подготовке данной статьи были использованы следующие материалы и источники:
mcp.su/windows-server-2008/event-collector-in-windows-server-2008 windowsnotes.ru/powershell-2/nastrojka-udalennogo-vzaimodejstviya-v-powershell-chast-1 social.technet.microsoft.com/Forums/en-US/8e7399f6-ffdc-48d6–927b-f0beebd4c7f0/enabling-print-history-through-group-policy? forum=winserverprint mywinsysadm.wordpress.com/2012/07/16/powershell-audit-printer-event-logs www.winblog.ru/admin/1147767392–29031101.htmlwindowsitpro.com/security/q-what-are-some-simple-tips-testing-and-troubleshooting-windows-event-forwarding-and-collec
