Die Revision der Aktivitäten in den Ereignisprotokollen unterstützt Sie beim Isolieren, Diagnostizieren und Lösen von Problemen in der Umgebung. Die Informationen in diesem Abschnitt unterstützen Sie beim Aktivieren und Verstehen der Ereignisprotokollierung und beschreibt die Arbeit mit Protokollarchiven.
DRA protokolliert alle Benutzervorgänge im Protokollarchiv auf dem Verwaltungsserver-Computer, damit Sie die Aktionen der Hilfsadministratoren überprüfen und Berichte dazu erstellen können. Benutzervorgänge umfassen alle Versuche, Definitionen zu ändern, beispielsweise das Aktualisieren von Benutzerkonten, Löschen von Gruppen oder Neudefinieren von ActiveViews. DRA protokolliert außerdem spezifische interne Vorgänge, wie die Initialisierung des Verwaltungsservers und verknüpfte Serverinformationen. Neben diesen Revisionsereignissen protokolliert DRA die Vorher- und Nachher-Werte des Ereignisses, sodass Sie genau sehen können, was geändert wurde.
DRA speichert die archivierten Protokolldaten sicher in einem Ordner (NetIQLogArchiveData), dem sogenannten Protokollarchiv. DRA archiviert die Protokolle im Laufe der Zeit und löscht regelmäßig ältere Daten, um Platz für neuere Daten zu schaffen. Dieser Vorgang wird als Bereinigung bezeichnet.
DRA verwendet die Revisionsereignisse, die in den Protokollarchivdateien gespeichert sind, zum Anzeigen der Aktivitätsdetailberichte, beispielsweise um anzuzeigen, welche Änderungen innerhalb eines bestimmten Zeitraums an einem Objekt vorgenommen wurden. Sie können DRA auch so konfigurieren, dass die Informationen aus diesen Protokollarchivdateien zu einer SQL Server-Datenbank exportiert werden, die NetIQ Reporting Center zum Anzeigen von Verwaltungsberichten verwendet.
DRA schreibt Revisionsereignisse immer in das Protokollarchiv. Sie können festlegen, ob DRA die Ereignisse zusätzlich in die Windows-Ereignisprotokolle schreiben soll.
Bei der Installation von DRA werden Revisionsereignisse standardmäßig nicht im Windows-Ereignisprotokoll protokolliert. Sie können diese Art der Protokollierung durch Änderung eines Registrierungsschlüssels aktivieren.
ACHTUNG:Gehen Sie beim Bearbeiten der Windows-Registrierung mit Bedacht vor. Ein Fehler in der Registrierung kann dazu führen, dass der Computer nicht mehr funktionsfähig ist. Wenn ein Fehler auftritt, können Sie die Registrierung auf den Zustand beim letzten erfolgreichen Starten des Computers wiederherstellen. Weitere Informationen finden Sie in der Hilfe im Windows-Registrierungseditor.
So aktivieren Sie die Ereignisrevision:
Klicken Sie auf Start > Ausführen.
Geben Sie regedit in das Feld Öffnen ein und klicken Sie auf OK.
Erweitern Sie den folgenden Registrierungsschlüssel: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Klicken Sie auf Bearbeiten > Neu > DWORD-Wert.
Geben Sie IsNTAuditEnabled als Schlüsselnamen ein.
Klicken Sie auf Bearbeiten > Ändern.
Geben Sie 1 in das Feld Wertdaten ein und klicken Sie auf OK.
Schließen Sie den Registrierungseditor.
So deaktivieren Sie die Ereignisrevision:
Klicken Sie auf Start > Ausführen.
Geben Sie regedit in das Feld Öffnen ein und klicken Sie auf OK.
Erweitern Sie den folgenden Registrierungsschlüssel: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Wählen Sie den Schlüssel IsNTAuditEnabled aus.
Klicken Sie auf Bearbeiten > Ändern.
Geben Sie 0 in das Feld Wertdaten ein und klicken Sie auf OK.
Schließen Sie den Registrierungseditor.
Um sicherzustellen, dass alle Benutzeraktionen überwacht werden, stellt DRA alternative Protokollierungsmethoden zur Verfügung, wenn das Produkt die Protokollierungsaktivität nicht überprüfen kann. Bei der Installation von DRA werden der AuditFailsFilePath-Schlüssel und -Pfad zur Registrierung hinzugefügt, um die folgenden Aktionen zu gewährleisten:
Wenn DRA erkennt, dass die Revisionsereignisse nicht mehr in einem Protokollarchiv protokolliert werden, protokolliert DRA die Revisionsereignisse in einer lokalen Datei auf dem Verwaltungsserver.
Wenn DRA die Revisionsereignisse nicht in eine lokale Datei schreiben kann, werden die Revisionsereignisse von DRA in das Windows-Ereignisprotokoll geschrieben.
Wenn DRA die Revisionsereignisse nicht in das Windows-Ereignisprotokoll schreiben kann, schreibt das Produkt die Revisionsereignisse in das DRA-Protokoll.
Wenn DRA erkennt, dass die Revisionsereignisse nicht mehr protokolliert werden, sperrt es weitere Benutzervorgänge.
Um Schreibvorgänge zu ermöglichen, während das Protokollarchiv nicht verfügbar ist, müssen Sie außerdem einen Wert für den Registrierungsschlüssel „AllowOperationsOnAuditFailure“ festlegen.
ACHTUNG:Gehen Sie beim Bearbeiten der Windows-Registrierung mit Bedacht vor. Ein Fehler in der Registrierung kann dazu führen, dass der Computer nicht mehr funktionsfähig ist. Wenn ein Fehler auftritt, können Sie die Registrierung auf den Zustand beim letzten erfolgreichen Starten des Computers wiederherstellen. Weitere Informationen finden Sie in der Hilfe im Windows-Registrierungseditor.
So ermöglichen Sie Schreibvorgänge:
Klicken Sie auf Start > Ausführen.
Geben Sie regedit in das Feld Öffnen ein und klicken Sie auf OK.
Erweitern Sie den folgenden Registrierungsschlüssel: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\.
Klicken Sie auf Bearbeiten > Neu > DWORD-Wert.
Geben Sie AllowOperationsOnAuditFailure als Schlüsselnamen ein.
Klicken Sie auf Bearbeiten > Ändern.
Geben Sie 736458265 in das Feld Wertdaten ein.
Wählen Sie Dezimal im Feld Basis aus und klicken Sie auf OK.
Schließen Sie den Registrierungseditor.
DRA protokolliert die Benutzeraktivitätsdaten in Protokollarchiven auf dem Verwaltungsserver. DRA erstellt tägliche Protokollarchivpartitionen, um die am jeweiligen Tag erfassten und normalisierten Daten zu speichern. DRA verwendet das lokale Datum des Verwaltungsservers (YYYYMMDD) als Benennungskonvention für die täglichen Protokollarchivpartitionen.
Wenn Sie den Verwaltungsberichte-Kollektor aktiviert haben, exportiert DRA die Protokollarchivdaten als Quelle für die DRA-Verwaltungsberichte in eine SQL Server-Datenbank.
Anfänglich behält DRA die Protokolldaten im Protokollarchiv standardmäßig ohne zeitliche Einschränkung bei. Die Protokollarchivgröße kann einen Höchstwert erreichen, der bei der Installation basierend auf dem verfügbaren Festplattenspeicher festgelegt wird. Wenn das Protokollarchiv diese maximale Größe überschreitet, werden keine neuen Revisionsereignisse mehr gespeichert. Sie können ein Zeitlimit für die Datenbeibehaltung festlegen, sodass DRA die älteren Daten entfernt, um Platz für neuere Daten zu schaffen. Dieser Vorgang wird als Bereinigung bezeichnet. Stellen Sie sicher, dass Sie eine Sicherungsstrategie eingerichtet haben, bevor Sie die Bereinigung aktivieren. Sie können den Beibehaltungszeitraum für das Protokollarchiv mit dem Dienstprogramm „Log Archive Configuration“ (Protokollarchivkonfiguration) konfigurieren. Weitere Informationen finden Sie unter Ändern der Einstellungen für die Protokollarchivbereinigung.
Mit dem Dienstprogramm für die Protokollarchivanzeige können Sie die in den Protokollarchivdateien gespeicherten Daten anzeigen. Das Dienstprogramm wird mit NetIQ DRA Log Archive Resource Kit (LARK) bereitgestellt, einem Ressourcenkit, den Sie wahlweise mit DRA installieren können. Weitere Informationen finden Sie in der NetIQ DRA Log Archive Resource Kit Technical Reference (Technische Referenz zu NetIQ DRA Log Archive Resource Kit).
Eine Protokollarchivdatei ist eine Sammlung an Datensatzblöcken. Da Protokollarchivdateien komprimierte Dateien im Binärformat sind, die sich außerhalb einer physischen Datenbank befinden, benötigen Sie Microsoft SQL Server Management Studio nicht zum Sichern der Protokollarchive. Wenn ein automatisiertes Dateisicherungssystem eingerichtet ist, werden die Protokollarchivdateien automatisch wie Ihre anderen Dateien gesichert.
Zur Planung der Sicherungsstrategie haben sich die folgenden Methoden bewährt:
Jeden Tag wird eine einzelne Partition erstellt, die alle Ereignisdaten des Tags enthält. Wenn Sie die Bereinigung aktivieren, bereinigt der Protokollarchivservice die Daten dieser Partitionen standardmäßig automatisch alle 90 Tage. Zur Ermittlung der Häufigkeit der Sicherungen sollte die Sicherungsstrategie den Bereinigungszeitplan berücksichtigen. Wenn die Protokollarchivpartitionen bereinigt sind, löscht DRA die Binärdateien. Bereinigte Daten können nicht abgerufen werden. Bereinigte Daten können nur aus einer Sicherung wiederhergestellt werden. Weitere Informationen finden Sie unter Ändern der Einstellungen für die Protokollarchivbereinigung.
Sichern Sie Partitionen erst, nachdem sie geschlossen wurden. Unter normalen Bedingungen wird eine Partition innerhalb von 2 Stunden nach Mitternacht am nächsten Tag geschlossen.
Sichern und stellen Sie Partitionsordner und ihre Unterordner immer als Einheit wieder her. Sichern Sie die Datei VolumeInfo.xml als Teil der Partitionssicherung.
Wenn Sie die Protokollarchivpartitionen für Berichte wiederherstellen möchten, stellen Sie sicher, dass die gesicherten Protokollarchive das Originalformat beibehalten oder wieder im Originalformat wiederhergestellt werden können.
Für die Konfiguration des Prozesses zum Sichern der Protokollarchivdateien empfiehlt NetIQ, die beiden Unterordner index_data und CubeExport im Hauptordner für die Protokollarchivierung auszuschließen. Diese Unterordner enthalten temporäre Dateien und sollten nicht gesichert werden.
Bei der Installation von DRA ist die Protokollarchivbereinigung standardmäßig deaktiviert. Wenn Sie regelmäßige Sicherungsprozeduren für Protokollarchivdateien einrichten, sollten Sie die Protokollarchivbereinigung archivieren, um den Speicherplatz zu erhalten. Im Konfigurationsprogramm für das Protokollarchiv können Sie die Anzahl der Tage ändern, nach der Protokollarchivpartitionen bereinigt werden.
So ändern Sie die Anzahl der Tage, nach der die Protokollarchivpartitionen bereinigt werden:
Melden Sie sich mit einem Konto, das Mitglied der lokalen Administratorgruppe ist, am Verwaltungsserver an.
Starten Sie die Protokollarchivkonfigurationsdatei LogArchiveUtility.exe aus dem Programmordner \NetIQ\DRA\NetIQLogArchive.
Klicken Sie auf Log Archive Server Settings (Einstellungen des Protokollarchivservers).
Wenn Sie die Partitionsbereinigung aktivieren möchten, legen Sie den Wert für das Feld Partition Grooming Enabled (Partitionsbereinigung aktivieren) auf „wahr“ fest.
Geben Sie in das Feld Number of Days before Grooming (Anzahl der Tage bis zur Bereinigung) den Zeitraum in Tagen ein, über den die Protokollarchivpartitionen vor der Bereinigung beibehalten werden sollen.
Klicken Sie auf Apply (Anwenden).
Klicken Sie auf Yes (Ja).
Klicken Sie auf Close (Schließen).
Suchen Sie den Ordner <Pfad zu Protokollarchivdaten>\<Partitionsname> und führen Sie die folgenden Schritte aus:
Wenn das Attribut „File is ready for archiving“ (Datei ist bereit für Archivierung) der Dateien und Ordner in den spezifizierten Partitionen nicht aktiviert ist, müssen Sie die CONFIG-Datei bearbeiten, um die Protokollarchivbereinigung zu aktivieren. Informationen dazu, warum das Attribut aktiviert oder deaktiviert ist, finden im Abschnitt Additional Information (Zusätzliche Informationen) im Knowledgebase-Artikel How do you configure the data retention period for DRA Logarchival Data? (Konfiguration des Datenbeibehaltungszeitraums für DRA-Protokollarchivdaten).
So aktivieren Sie den DRA Log Archive-Service zum Bereinigen der nicht archivierten Daten:
Melden Sie sich als Mitglied der lokalen Administratorgruppe lokal an jedem DRA-Server an der Windows-Konsole an.
Öffnen Sie die Datei C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config mit einem Texteditor und suchen Sie die Zeile <Property name="GroomUnarchivedData" value="false" />.
Ändern Sie "false" in "true" und speichern Sie die Datei.
Starten Sie den NetIQ DRA LogArchive-Service neu.
HINWEIS:Wenn Sie Protokollarchiveinstellungen ändern, müssen Sie den Protokollarchiv-Service neu starten, damit die Änderungen übernommen werden.