Gestão de registos

Ativar o registo no Azure Monitor

A partir da versão 3.0, o SCEPman, bem como o Certificate Master, irá utilizar a API de Ingestão de Logs da Microsoft para escrever registos no Azure Monitor. Isto utiliza o conceito de um Log Analytics Workspace para armazenar os dados e permitir a análise, bem como uma Data Collection Rule que faz a interface entre o App Service e o armazenamento de registos. Isto permite uma abordagem mais moderna, incluindo permissões baseadas em RBAC para o SCEPman aceder ao LAW.

A criação do Log Analytics Workspace, bem como a configuração da Data Collection Rule, é feita automaticamente ao executar Complete-SCEPmanInstallation do módulo PowerShell do SCEPman.

O retenção predefinida para dados armazenados numa Tabela do Log Analytics é 30 dias. Caso seja necessário um período de retenção diferente, ajuste em conformidade a configuração da tabela "SCEPman_CL".

Reativando a API de Coleta de Dados

Se, por qualquer motivo, quiser restabelecer a API anterior a ser utilizada, pode fazê-lo removendo as variáveis do App Service relacionadas com a Ingestão de Logs e adicionando novamente as que serão usadas pela API de Coleta de Dados.

Variáveis a serem removidas:

• AppConfig:LoggingConfig:DataCollectionEndpointUri
• AppConfig:LoggingConfig:RuleId

Variáveis a serem adicionadas:

• AppConfig:LoggingConfig:WorkspaceId
• AppConfig:LoggingConfig:SharedKey

O SCEPman irá aplicar automaticamente as definições após um reinício e voltará a utilizar a API de Coleta de Dados.

Exemplos de consultas KQL

Ver problemas com a sua instância SCEPman

SCEPman_CL
| where Level == "Warn" or Level == "Error" or Level == "Fatal"

Número de certificados emitidos por endpoint no período de tempo selecionado

Esta consulta está garantidamente funcional com o SCEPman 3.0 e versões mais recentes quando se utiliza a API de Ingestão de Logs para registo. Alterações ao SCEPman que tornem esta consulta inutilizável serão consideradas alterações de rutura.

API de Ingestão de Logs ( Predefinida )

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Foi emitido um certificado com o número de série"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

API de Coleta de Dados ( Antiga )

SCEPman_CL
| where Level == "Info" and Message startswith_cs "Foi emitido um certificado com o número de série"
| project Message, RequestBase = trim_end('/', replace_string(replace_string(replace_regex(RequestUrl_s, "(/pkiclient\\.exe)?(\\?operation=PKIOperation(&message=.+)?)?", ""),"certsrv/mscep/mscep.dll","intune"),"step/enrollment","activedirectory"))
| summarize IssuanceCount = count() by Endpoint = extract("/([a-zA-Z]+)$", 1, RequestBase)

A partir do SCEPman 2.8, existe sempre exatamente uma entrada de registo de nível Info cujo texto começa com "Foi emitido um certificado com o número de série " por cada certificado emitido, seguida do respetivo número de série. No entanto, devido ao problema insolúvel Problema dos Dois Exércitos, pode acontecer que o certificado criado nunca chegue ao requerente ou que algum outro tipo de erro impeça o registo efetivo. Da mesma forma, em caso de erros graves, pode acontecer que exista uma entrada de registo sem entrada correspondente na base de dados ou vice-versa.

Certificados distintos com verificação OCSP

API de Ingestão de Logs ( Predefinida )

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Dispositivo Intune",
  "41", "Dispositivo Intune",
  "42", "Dispositivo Intune não compatível",
  "50", "Estático",
  "51", "Estático",
  "60", "Utilizador Intune",
  "61", "Utilizador Intune",
  "64", "Utilizador Jamf",
  "65", "Utilizador Jamf",
  "6C", "Utilizador Jamf no dispositivo",
  "6D", "Utilizador Jamf no dispositivo",
  "70", "Domain Controller",
  "7C", "Utilizador Jamf no computador",
  "7D", "Utilizador Jamf no computador",
  "54", "Computador Jamf",
  "55", "Computador Jamf",
  "44", "Dispositivo Jamf",
  "45", "Dispositivo Jamf"
];
SCEPman_CL
| where LogCategory == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "Resposta OCSP"
| project serial = extract("Número de série ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)

API de Coleta de Dados ( Antiga )

let map_certtype = datatable(serial_start:string, readable:string)
[
  "40", "Dispositivo Intune",
  "41", "Dispositivo Intune",
  "42", "Dispositivo Intune não compatível",
  "50", "Estático",
  "51", "Estático",
  "60", "Utilizador Intune",
  "61", "Utilizador Intune",
  "64", "Utilizador Jamf",
  "65", "Utilizador Jamf",
  "6C", "Utilizador Jamf no dispositivo",
  "6D", "Utilizador Jamf no dispositivo",
  "70", "Domain Controller",
  "7C", "Utilizador Jamf no computador",
  "7D", "Utilizador Jamf no computador",
  "54", "Computador Jamf",
  "55", "Computador Jamf",
  "44", "Dispositivo Jamf",
  "45", "Dispositivo Jamf"
];
SCEPman_CL
| where LogCategory_s == "Scepman.Server.Controllers.OcspController" and Level == "Info"
| where Message startswith_cs "Resposta OCSP"
| project serial = extract("Número de série ([A-F0-9]+)", 1, Message)
| distinct serial
| extend serial_start = substring(serial,0,2)
| join kind=leftouter map_certtype on serial_start
| summarize count() by (readable)