Gestión de registros

Habilitar el registro en Azure Monitor

Desde la versión 3.0, SCEPman, así como el Certificate Master, utilizarán la API de Ingestión de Registros de Microsoft para escribir registros en Azure Monitor. Esto usa el concepto de un Workspace de Log Analytics para almacenar los datos y permitir el análisis, así como una Regla de Recolección de Datos que intermedia entre el App Service y el almacenamiento de registros. Esto permite un enfoque más moderno, incluyendo permisos basados en RBAC para que SCEPman acceda al LAW.

La creación del Log Analytics Workspace así como la configuración de la Regla de Recolección de Datos se realiza automáticamente ejecutando Complete-SCEPmanInstallation del módulo de PowerShell de SCEPman.

El retención predeterminada período para los datos almacenados en una Tabla de Log Analytics es para que podamos proporcionarle una cotización o un enlace de pedido que permita pagos por factura. El plazo de pago es de. En caso de que se requiera un período de retención diferente, ajuste la configuración de la Tabla "SCEPman_CL" en consecuencia.

Volver a habilitar la API del Data Collector

Si, por cualquier motivo, desea reinstaurar la API anterior para su uso, puede hacerlo eliminando las variables de la app service relacionadas con la Ingestión de Registros y volviendo a agregar las que deben ser usadas por la API del Data Collector.

Variables a eliminar:

• AppConfig:LoggingConfig:DataCollectionEndpointUri

• AppConfig:LoggingConfig:RuleId

Variables a agregar:

• AppConfig:LoggingConfig:WorkspaceId

• AppConfig:LoggingConfig:SharedKey

SCEPman recogerá automáticamente la configuración después de un reinicio y volverá a utilizar la API del Data Collector.

Ejemplos de consultas KQL

Ver problemas con su instancia de SCEPman

SCEPman_CL
| where Level == "Warn" or Level == "Error" or Level == "Fatal"

Número de certificados emitidos por endpoint en el período de tiempo seleccionado

Esta consulta está garantizada para funcionar con SCEPman 3.0 y versiones posteriores cuando se usa la API de Ingestión de Registros para el registro. Los cambios en SCEPman que hagan que esta consulta no sea utilizable se considerarán cambios incompatibles (Breaking Changes).

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Issued a certificate with serial number"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl_s, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

Si está usando la antigua API de Ingestión de Registros, use esta consulta ligeramente adaptada:

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Issued a certificate with serial number"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

A partir de SCEPman 2.8, siempre existe exactamente una entrada de registro de nivel Info cuyo mensaje de registro comienza con "Issued a certificate with serial number " por cada certificado emitido, seguida de su número de serie. Sin embargo, debido al irresoluble Problema de los Dos Ejércitos, puede ocurrir que el certificado creado nunca llegue al solicitante o que algún otro tipo de error impida la inscripción real. Asimismo, en caso de errores graves, puede ocurrir que exista una entrada de registro sin la correspondiente entrada en la base de datos o viceversa.

Certificados distintos con verificación OCSP

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Dispositivo Intune",
  "41", "Dispositivo Intune",
  "42", "Dispositivo Intune No Conforme",
  "50", "Estático",
  "51", "Estático",
  "60", "Usuario Intune",
  "61", "Usuario Intune",
  "64", "Usuario Jamf",
  "65", "Usuario Jamf",
  "6C", "Usuario Jamf en Dispositivo",
  "6D", "Usuario Jamf en Dispositivo",
  "70", "Controlador de Dominio",
  "7C", "Usuario Jamf en Equipo",
  "7D", "Usuario Jamf en Equipo",
  "54", "Equipo Jamf",
  "55", "Equipo Jamf",
  "44", "Dispositivo Jamf",
  "45", "Dispositivo Jamf"
];
SCEPman_CL
| where LogCategory == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "OCSP Response"
| project serial = extract("Serial Number ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)

Si aún está usando la API del Data Collector, use esta consulta en su lugar:

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Dispositivo Intune",
  "41", "Dispositivo Intune",
  "42", "Dispositivo Intune No Conforme",
  "50", "Estático",
  "51", "Estático",
  "60", "Usuario Intune",
  "61", "Usuario Intune",
  "64", "Usuario Jamf",
  "65", "Usuario Jamf",
  "6C", "Usuario Jamf en Dispositivo",
  "6D", "Usuario Jamf en Dispositivo",
  "70", "Controlador de Dominio",
  "7C", "Usuario Jamf en Equipo",
  "7D", "Usuario Jamf en Equipo",
  "54", "Equipo Jamf",
  "55", "Equipo Jamf",
  "44", "Dispositivo Jamf",
  "45", "Dispositivo Jamf"
];
SCEPman_CL
| where LogCategory_s == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "OCSP Response"
| project serial = extract("Serial Number ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)