Gestion des journaux

Activer la journalisation vers Azure Monitor

Depuis la version 3.0, SCEPman et le Certificate Master utilisent l’API Log Ingestion de Microsoft pour envoyer les journaux vers Azure Monitor. Les journaux sont stockés dans un Log Analytics Workspace, et une Data Collection Rule relie les App Services à l’espace de travail. Cette approche moderne utilise des autorisations basées sur RBAC pour permettre à SCEPman d’accéder au LAW.

La création du Log Analytics Workspace ainsi que la configuration de la Data Collection Rule sont effectuées automatiquement en exécutant Complete-SCEPmanInstallation du module PowerShell SCEPman.

Install-Module SCEPman -Scope CurrentUser -Force
Complete-SCEPmanInstallation 6>&1

Le rétention par défaut la période des données stockées dans une Log Analytics Table est 30 jours. Si une période de rétention différente est requise, ajustez en conséquence la configuration de la table "SCEPman_CL".

Réactivation de l’API Data Collector

Si, pour une raison quelconque, vous souhaitez rétablir l’API précédente à utiliser, vous pouvez le faire en supprimant les variables de service d’application liées à Log Ingestion, puis en ajoutant à nouveau celles à utiliser par l’API Data Collector.

Variables à supprimées:

• AppConfig:LoggingConfig:DataCollectionEndpointUri
• AppConfig:LoggingConfig:RuleId

Variables à ajouter :

• AppConfig:LoggingConfig:WorkspaceId
• AppConfig:LoggingConfig:SharedKey

SCEPman prendra automatiquement en compte les paramètres après un redémarrage et utilisera à nouveau l’API Data Collector.

Exemples de requêtes KQL

Voir les problèmes de votre instance SCEPman

SCEPman_CL
| where Level == "Warn" or Level == "Error" or Level == "Fatal"

Nombre de certificats émis par point de terminaison dans la plage de temps sélectionnée

Cette requête est garantie de fonctionner avec SCEPman 3.0 et les versions plus récentes lors de l’utilisation de l’API Log Ingestion pour la journalisation. Les modifications apportées à SCEPman qui rendraient cette requête inutilisable seront considérées comme des changements incompatibles.

API Log Ingestion ( Par défaut )

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Issued a certificate with serial number"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

API Data Collector ( Ancienne )

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Issued a certificate with serial number"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl_s, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

À partir de SCEPman 2.8, il existe toujours exactement une entrée de journal de niveau Info dont le message de journal commence par "Issued a certificate with serial number " pour chaque certificat émis, suivie de son numéro de série. Cependant, en raison du problème insoluble Problème des deux armées, il peut arriver que le certificat créé n’atteigne jamais le demandeur ou qu’un autre type d’erreur empêche l’inscription effective. De même, en cas d’erreurs graves, il peut arriver qu’une entrée de journal existe sans entrée correspondante dans la base de données, ou inversement.

Certificats distincts avec vérification OCSP

API Log Ingestion ( Par défaut )

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Appareil Intune",
  "41", "Appareil Intune",
  "42", "Appareil Intune non conforme",
  "50", "Statique",
  "51", "Statique",
  "60", "Utilisateur Intune",
  "61", "Utilisateur Intune",
  "64", "Utilisateur Jamf",
  "65", "Utilisateur Jamf",
  "6C", "Utilisateur Jamf sur appareil",
  "6D", "Utilisateur Jamf sur appareil",
  "70", "Domain Controller",
  "7C", "Utilisateur Jamf sur ordinateur",
  "7D", "Utilisateur Jamf sur ordinateur",
  "54", "Ordinateur Jamf",
  "55", "Ordinateur Jamf",
  "44", "Appareil Jamf",
  "45", "Appareil Jamf"
];
SCEPman_CL
| where LogCategory == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "OCSP Response"
| project serial = extract("Serial Number ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)

API Data Collector ( Ancienne )

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Appareil Intune",
  "41", "Appareil Intune",
  "42", "Appareil Intune non conforme",
  "50", "Statique",
  "51", "Statique",
  "60", "Utilisateur Intune",
  "61", "Utilisateur Intune",
  "64", "Utilisateur Jamf",
  "65", "Utilisateur Jamf",
  "6C", "Utilisateur Jamf sur appareil",
  "6D", "Utilisateur Jamf sur appareil",
  "70", "Domain Controller",
  "7C", "Utilisateur Jamf sur ordinateur",
  "7D", "Utilisateur Jamf sur ordinateur",
  "54", "Ordinateur Jamf",
  "55", "Ordinateur Jamf",
  "44", "Appareil Jamf",
  "45", "Appareil Jamf"
];
SCEPman_CL
| where LogCategory_s == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "OCSP Response"
| project serial = extract("Serial Number ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)