Devolutions Server-Protokolle an Azure Log Analytics senden

Diese Anleitung enthält Anweisungen zum Erstellen und Konfigurieren aller Komponenten, die zum Senden von Devolutions Server-Protokollen an Azure Log Analytics erforderlich sind.

Devolutions Server leitet nur die Verbindungsprotokolle Activity und Administration an Azure Log Analytics weiter, nicht alle Protokolltypen. Wenn Sie Audit-Anforderungen haben, prüfen Sie, ob diese Teilmenge Ihre Anforderungen abdeckt, bevor Sie sich darauf als einziges Prüfprotokoll verlassen.

Eine neue App-Registrierung erstellen

1. Öffnen Sie das Azure-Portal und navigieren Sie zu App Registrations.
2. Klicken Sie auf New Registration.
3. Geben Sie Ihrer App einen Namen und klicken Sie auf Register (keine Redirect URL erforderlich).
4. Wählen Sie unter Supported account types die Option Accounts in this organizational directory only.

Client-ID und Mandanten-ID abrufen

Suchen Sie nach der Registrierung die Client ID und die Tenant ID im Abschnitt Overview. Diese werden später benötigt.

Ein Client-Geheimnis erstellen

1. Navigieren Sie zu Certificates & secrets.
2. Klicken Sie auf New client secret, um ein Geheimnis zu erstellen.
3. Speichern Sie den Wert des Geheimnisses sicher, da er später in Devolutions Server verwendet wird.
4. Sobald das Geheimnis abläuft, müssen Sie es erneuern und in Devolutions Server aktualisieren; andernfalls wird die Protokollaufnahme gestoppt.

Einen Data Collection Endpoint (DCE) einrichten

Erstellen Sie in Azure einen Data Collection Endpoint (DCE), um Anfragen von Devolutions Server zu empfangen.

In Devolutions Server entspricht dies dem Feld Azure Endpoint.

Eine Azure Log Analytics-Tabelle erstellen

Wenn Sie die Tabelle über den generischen Beispieldaten-Ablauf von Microsoft erstellen, entstehen flache Spalten, die nicht zu dieser Struktur passen, und alle Felder außer ReportType und MachineName bleiben leer. Erstellen Sie die Tabelle stattdessen manuell mit dem unten aufgeführten Schema. Erstellen Sie die Tabelle mit den folgenden Spalten (alle string, sofern nicht anders angegeben):

Spalte	Typ
TimeGenerated	datetime
ReportType	string
MachineName	string
User	string
ConnectionName	string
ConnectionId	string
VaultName	string
VaultId	string
Message	string
LogDate	string
ConnectionType	string
ConnectionUsername	string
Machine	string
Ticket	string
ActiveTime	string
OnOpenComment	string
OnCloseComment	string

Immutable ID und Stream-Namen abrufen

Sobald die Log analytics-Tabelle erstellt ist, suchen Sie die Immutable ID und den Stream Name für das Protokoll-Streaming.

Die DCR-Transformation konfigurieren

Die Transformation der Data Collection Rule (transformKql) ordnet das eingehende CLEF-JSON dem obigen Tabellenschema zu. Ohne sie werden die Felder nicht gefüllt, selbst wenn Tabelle und Berechtigungen ansonsten korrekt sind. Legen Sie die Transformation wie folgt fest:

| extend TimeGenerated = todatetime(['@t'])
| extend p = parse_json(tostring(Properties))
| project TimeGenerated, ReportType, MachineName,
    User = tostring(p.User),
    ConnectionName = tostring(p.ConnectionName),
    ConnectionId = tostring(p.ConnectionId),
    VaultName = tostring(p.VaultName),
    VaultId = tostring(p.VaultId),
    Message = tostring(p.Message),
    LogDate = tostring(p.LogDate),
    ConnectionType = tostring(p.ConnectionType),
    ConnectionUsername = tostring(p.ConnectionUsername),
    Machine = tostring(p.Machine),
    Ticket = tostring(p['Ticket#']),
    ActiveTime = tostring(p.ActiveTime),
    OnOpenComment = tostring(p.OnOpenComment),
    OnCloseComment = tostring(p.OnCloseComment)

Berechtigungen für die Data Collection Rule (DCR) zuweisen

1. Gehen Sie von der DCR in Azure zu Access Control (IAM) – Add role assignment.
2. Wählen Sie Monitoring Metrics Publisher und dann Next.
3. Aktivieren Sie User, group, or service principal und klicken Sie auf Select members.
4. Klicken Sie auf die während der Registrierung erstellte Anwendung. Klicken Sie auf Review + assign, um vor dem Speichern sicherzustellen, dass alles in Ordnung ist.

Weitere Informationen zur Data Collection Rule (DCR) finden Sie in der Microsoft-Dokumentation.

Protokollierung testen und aktivieren

Klicken Sie auf Test Connection, um Ihre Anmeldeinformationen zu überprüfen, erzeugen Sie dann eine Verbindungsaktivität in Devolutions Server und bestätigen Sie, dass die entsprechende Zeile mit gefüllten Feldern in Log Analytics erscheint.

Test Connection überprüft nur die Anmeldeinformationen, die zum Erreichen des Endpunkts verwendet werden, es wird kein tatsächlicher Protokolleintrag gesendet. Ein grünes Ergebnis bestätigt die Konnektivität, nicht dass die Aufnahme oder die Transformation korrekt konfiguriert ist. Überprüfen Sie dies anschließend immer mit einem echten Ereignis.

Devolutions Server-Konfiguration

1. Öffnen Sie den Devolutions Server-Webdienst.
2. Gehen Sie zu Administration - Server settings - Logging.
3. Geben Sie die Informationen ein.