Windows Event Collector(WEC)订阅事件ID数量限制及异常订阅状态问题咨询

下午好，感谢您抽出时间阅读我的问题！

我正在测试Windows Event Collector（WEC），目前已经实现源设备向收集器发送日志，但遇到了一些奇怪的行为——收集器和源设备都运行Windows Server 2019。

我遇到的具体问题如下：

• 当配置订阅的事件ID过滤规则（而非收集所有事件）时，如果列表中的事件ID数量超过2个，源设备会先显示已订阅该订阅，但紧接着就自动取消订阅；如果是1个或2个事件ID，就能稳定保持订阅状态。
• 更奇怪的是，即便在那个会被自动取消订阅的订阅过滤器中包含事件ID 4624，源设备仍然会转发该事件。既然显示未订阅，为什么还会发送事件？这种情况属于正常现象吗？
• 另外我还发现，如果在订阅过滤器中添加超过22个事件ID，源设备就完全不会发送任何事件了。我需要收集48个特定事件ID，所以不得不拆分创建4个订阅来满足需求。

我正试图搞清楚这背后的原因，但网上相关讨论不多，也没找到微软官方文档说明单个订阅最多支持配置多少个事件ID。有没有人遇到过类似问题，或者能给出相关的解释和解决思路？

备注：内容来源于stack exchange，提问作者Davids Learnin