使用EventLog Analyzer对vCenter执行审计的操作步骤

1. 将vCenter/ESXi添加为日志源

• 在EventLog Analyzer中，进入【添加新主机】页面，首先将vCenter或ESXi主机添加为UNIX主机，填写Syslog侦听端口（通常为514）。（参考来源：https://www.manageengine.com/products/eventlog/help/get‑started/adding‑hosts‑to‑eventlog‑analyzer.html）
• 系统接收到Syslog日志后，编辑该主机配置，把主机类型修改为Hypervisor（虚拟机监控程序）/VMware。（参考来源：https://www.manageengine.com/products/eventlog/user‑interface/vmware‑esxi‑logs.html）

2. 配置vCenter/ESXi向外发送日志

• ESXi主机：通过vSphere客户端配置syslogd，将日志转发至EventLog Analyzer服务器；操作路径：【配置】→【高级设置】，设置Syslog.Remote.Hostname（远程主机名）与Syslog.Remote.Port（远程端口）；也可使用vicfg‑syslog命令完成配置。（参考来源同上）

3. 使用内置的VMware/vCenter报表

• 日志正常采集后，可使用系统预定义的vCenter / ESXi / Hypervisor报表，可审计虚拟机变更、权限变动、登录行为、集群/数据中心变更、设备变更等场景，满足审计与合规要求。（参考来源：https://www.manageengine.com/products/eventlog/user‑interface/hypervisor‑logs.html 以及 https://www.manageengine.com/products/eventlog/vmware‑log‑analyzer.html）