端点分析工具 - 加载日志

启用日志记录并打开端点分析工具后，需要在该工具中打开（或加载）配置和关联的日志文件。

本节介绍如何打开所需的文件，并总结主要要求。此处使用了示例日志文件来说明端点分析工具的特定功能。

打开文件

在实践中，控制台通常不会安装在已启用日志记录的端点上。为了打开日志文件并进行分析，建议使用以下两种可行的方法之一：

•使用隐藏的管理共享在端点上打开文件。
例如，“\\endpointname\c$\ProgramData\AppSense\Environment Manager\logfilelocation”

•将配置中的日志文件位置设置为便利的网络共享。
请注意，此方法可能特别适合多个端点保存到同一个网络共享的情况。代理会创建指定位置的子文件夹，而子文件夹名称包含端点计算机名称。

第一步是打开要分析的配置文件（.aemp 文件）。

要打开所需的配置文件：

•在端点分析工具中，从文件菜单中选择打开配置。

•或者，按以下键盘键：Alt + F，然后是 Alt + O。

将会显示配置：

与控制台界面相比，端点分析工具中显示的配置在内容和行为方面存在一些显著的差异。差异：工具与控制台界面帮助部分中总结了这些差异。

将配置加载到端点分析工具中之后，下一步是加载一个或多个关联的日志文件（.etl 文件）。

打开关联的日志文件：

•在端点分析工具中，从文件菜单中选择打开日志。

注意：

•可以选择多个 .etl 文件。

•每个加载的日志文件都必须具有与配置匹配的事件。

在已加载的日志文件中未找到任何与已加载的配置匹配的事件
如果在所选文件中未找到任何相关的事件，则会显示警告消息，并且不会加载文件。

未从所选日志文件中加载任何事件
如果所选文件为空，则会显示警告消息，并且不会加载文件。
日志文件为空的原因可能是数据尚未刷新到磁盘。在此情况下，请稍等片刻，然后再次打开文件。现在应该已包含事件。

•反复使用“打开日志”功能，可以添加其他文件。

•可以从使用同一配置的不同端点加载文件。

•会话筛选器可以突出显示单个端点上来自单个会话的事件。
一个日志文件可能包含来自多个配置的事件。例如，在记录事件的同时部署了新配置的情况下。

•端点分析工具只显示适用于已加载的配置的事件，日志文件中的任何其他事件都会隐藏。
要查看适用于其他配置的事件，请首先加载该配置，然后加载日志文件。

将会显示日志文件。

例如：

端点上已执行的节点将以正常字体显示（相比之下，未执行的节点将以斜体显示，而粗体则表示一个或多个子操作或条件执行失败）。请参阅端点分析工具 - 用户界面帮助主题，了解有关所使用的显示约定的详细信息。

此外，右侧列中会显示与执行有关的统计信息。

在上述示例中，第二个条件成功，并且执行了第二个操作（两次）。
显示的列为：

有关端点分析工具中使用的显示约定的信息，另请参阅端点分析工具 - 用户界面帮助主题。