每当我通过 RDP 远程会话登录到我的计算机时,我都想运行一个命令。在任务调度程序中,我将触发器设置如下:
<QueryList>
<Query Id="0" Path="Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational">
<Select Path="Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational">*[System[(Level=4 or Level=0) and (EventID=1149)]]</Select>
</Query>
</QueryList>
然后我尝试通过 RDP 登录,但即使记录了事件,任务也不会被触发。
Protokollname: Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational
Quelle: Microsoft-Windows-TerminalServices-RemoteConnectionManager
Datum: 22.10.2021 16:01:32
Ereignis-ID: 1149
Aufgabenkategorie:Keine
Ebene: Informationen
Schlüsselwörter:
Benutzer: Netzwerkdienst
Computer: My Computer Name
Beschreibung:
Remotedesktopdienste: Die Benutzerauthentifizierung war erfolgreich:
Benutzer: My ID
Domäne:
Quellnetzwerkadresse: My IP
Ereignis-XML:
<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
<System>
<Provider Name="Microsoft-Windows-TerminalServices-RemoteConnectionManager" Guid="{c76baa63-ae81-421c-b425-340b4b24157f}" />
<EventID>1149</EventID>
<Version>0</Version>
<Level>4</Level>
<Task>0</Task>
<Opcode>0</Opcode>
<Keywords>0x1000000000000000</Keywords>
<TimeCreated SystemTime="2021-10-22T14:01:32.8354266Z" />
<EventRecordID>1034</EventRecordID>
<Correlation ActivityID="{f42073e2-bc36-4f11-bcee-f01056750000}" />
<Execution ProcessID="2024" ThreadID="8216" />
<Channel>Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational</Channel>
<Computer>My Computer</Computer>
<Security UserID="S-1-5-20" />
</System>
<UserData>
<EventXML xmlns="Event_NS">
<Param1>My User ID</Param1>
<Param2>
</Param2>
<Param3>My IP</Param3>
</EventXML>
</UserData>
</Event>
我认为我的问题来自 ID 的读取权限,但以 SYSTEM 或我自己的帐户(在后台)运行此任务也无济于事。
我相信您使用了错误的事件 id,您应该使用事件 id 20521,定义为“将从本地计算机加载用户配置信息以用于此 RDP-Tcp 连接”:
打开事件查看器
转到 应用程序和服务日志 > Microsoft > Windows > TerminalServices-RemoteConnectionManager > Admin
ID=20521 的任何事件都是成功的 RDP 连接
右键单击该事件并选择“将任务附加到此事件”。