ログ管理

Azure Monitor へのログ記録を有効にする

バージョン 3.0 以降、SCEPman と Certificate Master は Microsoft の Log Ingestion API を使用してログを Azure Monitor に送信します。ログは Log Analytics Workspace に保存され、Data Collection Rule が App Services をワークスペースに接続します。この最新の方法では、SCEPman が LAW にアクセスするために RBAC ベースの権限を使用します。

Log Analytics Workspace の作成と Data Collection Rule の構成は、次を実行することで自動的に行われます Complete-SCEPmanInstallation SCEPman PowerShell モジュールの

Install-Module SCEPman -Scope CurrentUser -Force
Complete-SCEPmanInstallation 6>&1

既定の 保持期間 Log Analytics Table に保存されるデータの 30 日. 別の保持期間が必要な場合は、テーブル "SCEPman_CL" の構成をそれに応じて調整してください。

Data Collector API の再有効化

何らかの理由で以前の API を再度使用したい場合は、Log Ingestion 関連の App Service 変数を削除し、Data Collector API で使用されるものを再度追加することで可能です。

削除する変数:

追加する変数:

SCEPman は再起動後に設定を自動的に読み取り、再び Data Collector API を利用します。

KQL クエリの例

SCEPman インスタンスの問題を確認する

SCEPman_CL
| where Level == "Warn" or Level == "Error" or Level == "Fatal"

選択した期間におけるエンドポイント別の発行済み証明書数

このクエリは、ログ記録に Log Ingestion API を使用する場合、SCEPman 3.0 以降で動作することが保証されています。このクエリを使用できなくする SCEPman の変更は、Breaking Changes と見なされます。

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Issued a certificate with serial number"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Issued a certificate with serial number"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl_s, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

SCEPman 2.8 以降では、発行された各証明書ごとに、ログメッセージが "Issued a certificate with serial number " で始まる Info レベルのログエントリが常にちょうど 1 件あり、その後にシリアル番号が続きます。ただし、解決不能な二つの軍隊の問題、作成された証明書が要求者に届かない場合や、その他の種類のエラーによって実際のエンロールメントが妨げられる場合があります。同様に、重大なエラーの場合、対応するデータベースエントリのないログエントリ、またはその逆が存在することがあります。

OCSP チェック付きの一意の証明書

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Intune デバイス",
  "41", "Intune デバイス",
  "42", "Intune 非準拠デバイス",
  "50", "静的",
  "51", "静的",
  "60", "Intune ユーザー",
  "61", "Intune ユーザー",
  "64", "Jamf ユーザー",
  "65", "Jamf ユーザー",
  "6C", "デバイス上の Jamf ユーザー",
  "6D", "デバイス上の Jamf ユーザー",
  "70", "Domain Controller",
  "7C", "コンピューター上の Jamf ユーザー",
  "7D", "コンピューター上の Jamf ユーザー",
  "54", "Jamf コンピューター",
  "55", "Jamf コンピューター",
  "44", "Jamf デバイス",
  "45", "Jamf デバイス"
];
SCEPman_CL
| where LogCategory == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "OCSP Response"
| project serial = extract("Serial Number ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Intune デバイス",
  "41", "Intune デバイス",
  "42", "Intune 非準拠デバイス",
  "50", "静的",
  "51", "静的",
  "60", "Intune ユーザー",
  "61", "Intune ユーザー",
  "64", "Jamf ユーザー",
  "65", "Jamf ユーザー",
  "6C", "デバイス上の Jamf ユーザー",
  "6D", "デバイス上の Jamf ユーザー",
  "70", "Domain Controller",
  "7C", "コンピューター上の Jamf ユーザー",
  "7D", "コンピューター上の Jamf ユーザー",
  "54", "Jamf コンピューター",
  "55", "Jamf コンピューター",
  "44", "Jamf デバイス",
  "45", "Jamf デバイス"
];
SCEPman_CL
| where LogCategory_s == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "OCSP Response"
| project serial = extract("Serial Number ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)

最終更新 13 日前

役に立ちましたか？