¿Qué significa el código de error de Windows 15081 (ERROR_EC_LOG_DISABLED)?

ERROR_EC_LOG_DISABLED

Qué significa ERROR_EC_LOG_DISABLED

ERROR_EC_LOG_DISABLED indica que el registro local definido en la propiedad LogFile de la suscripción está deshabilitado. Ese registro es el destino en el recopilador donde se almacenan los eventos recibidos. No debe confundirse con los canales de origen seleccionados por la consulta: una consulta válida puede fallar igualmente si el destino no admite escritura.

Qué comprobar

1. Obtenga la configuración con wecutil gs <subscription-id> /f:XML y anote el valor exacto de LogFile.
2. En el recopilador, verifique que ese registro esté habilitado. El destino habitual es ForwardedEvents, aunque una suscripción puede utilizar otro canal.
3. Para el destino estándar, wecutil qc /q configura WEC y habilita ForwardedEvents. Si el destino es personalizado, corrija específicamente la configuración de ese canal.
4. Vuelva a comprobar la suscripción con wecutil gr <subscription-id>.

Qué no implica este código

El resultado no demuestra que el canal del equipo origen esté deshabilitado ni que exista un problema de credenciales o de sintaxis XPath. Esos fallos pertenecen a otras partes del flujo. Aquí el dato decisivo es el registro local en el que el recopilador intenta guardar los eventos recibidos.

Referencias técnicas

• Microsoft: suscripciones iniciadas por el origen
• Microsoft: Wecutil
• NXLog: Windows Event Forwarding