Envoyer les journaux de Devolutions Server à Azure Log Analytics

Ce guide fournit des instructions pour créer et configurer tous les composants nécessaires à l'envoi des journaux de Devolutions Server vers Azure Log Analytics.

Devolutions Server transfère uniquement les journaux de connexion Activité et Administration vers Azure Log Analytics, et non tous les types de journaux. Si vous avez des exigences d'audit, confirmez que ce sous-ensemble couvre vos besoins avant de vous y fier comme unique piste d'audit.

Créer une nouvelle inscription d'application

1. Ouvrez le portail Azure et naviguez vers App Registrations.
2. Cliquez sur New Registration.
3. Donnez un nom à votre application et cliquez sur Register (aucune URL de redirection n'est nécessaire).
4. Sous Supported account types, sélectionnez Accounts in this organizational directory only.

Récupérer l'ID client et l'ID de locataire

Après l'inscription, repérez le Client ID et le Tenant ID sous la section Overview. Ceux-ci seront requis plus tard.

Créer un secret client

1. Naviguez vers Certificates & secrets.
2. Cliquez sur New client secret pour créer un secret.
3. Conservez la valeur du secret en toute sécurité, car elle sera utilisée plus tard dans Devolutions Server.
4. Une fois le secret expiré, vous devez le renouveler et le mettre à jour dans Devolutions Server; sinon, l'ingestion des journaux s'arrêtera.

Configurer un Data Collection Endpoint (DCE)

Créez un Data Collection Endpoint (DCE) dans Azure pour recevoir les requêtes de Devolutions Server.

Dans Devolutions Server, cela correspond au champ Azure Endpoint.

Créer une table Azure Log Analytics

La création de la table à partir du flux de données d'exemple générique de Microsoft créera des colonnes plates qui ne correspondent pas à cette structure, et tous les champs au-delà de ReportType et MachineName arriveront vides. Créez plutôt la table manuellement avec le schéma ci-dessous. Créez la table avec les colonnes suivantes (toutes de type string sauf indication contraire) :

Colonne	Type
TimeGenerated	datetime
ReportType	string
MachineName	string
User	string
ConnectionName	string
ConnectionId	string
VaultName	string
VaultId	string
Message	string
LogDate	string
ConnectionType	string
ConnectionUsername	string
Machine	string
Ticket	string
ActiveTime	string
OnOpenComment	string
OnCloseComment	string

Récupérer l'ID immuable et le nom du flux

Une fois la table Log analytics créée, repérez le Immutable ID et le Stream Name pour la diffusion des journaux.

Configurer la transformation DCR

La transformation de la Data Collection Rule (transformKql) est ce qui mappe le JSON CLEF entrant sur le schéma de table ci-dessus. Sans elle, les champs ne seront pas remplis même si la table et les permissions sont par ailleurs correctes. Définissez la transformation comme suit :

| extend TimeGenerated = todatetime(['@t'])
| extend p = parse_json(tostring(Properties))
| project TimeGenerated, ReportType, MachineName,
    User = tostring(p.User),
    ConnectionName = tostring(p.ConnectionName),
    ConnectionId = tostring(p.ConnectionId),
    VaultName = tostring(p.VaultName),
    VaultId = tostring(p.VaultId),
    Message = tostring(p.Message),
    LogDate = tostring(p.LogDate),
    ConnectionType = tostring(p.ConnectionType),
    ConnectionUsername = tostring(p.ConnectionUsername),
    Machine = tostring(p.Machine),
    Ticket = tostring(p['Ticket#']),
    ActiveTime = tostring(p.ActiveTime),
    OnOpenComment = tostring(p.OnOpenComment),
    OnCloseComment = tostring(p.OnCloseComment)

Attribuer des permissions à la Data Collection Rule (DCR)

1. Depuis la DCR dans Azure, allez à Access Control (IAM) – Add role assignment.
2. Sélectionnez Monitoring Metrics Publisher, puis Next.
3. Cochez User, group, or service principal, et cliquez sur Select members.
4. Cliquez sur l'application créée lors de l'inscription. Cliquez sur Review + assign pour vous assurer que tout est en ordre avant d'enregistrer.

Consultez la documentation Microsoft pour plus de détails sur la Data Collection Rule (DCR).

Tester et activer la journalisation

Cliquez sur Test Connection pour vérifier vos identifiants, puis générez une activité de connexion dans Devolutions Server et confirmez que la ligne correspondante apparaît dans Log Analytics avec ses champs remplis.

Test Connection valide uniquement les identifiants utilisés pour joindre le terminal, il n'envoie pas une véritable entrée de journal. Un résultat vert confirme la connectivité, mais non que l'ingestion ou la transformation est correctement configurée. Vérifiez toujours ensuite avec un événement réel.

Configuration de Devolutions Server

1. Ouvrez le service web de Devolutions Server.
2. Allez à Administration - Paramètres du serveur - Journalisation.
3. Saisissez les informations.