L'audit des activités au niveau des journaux d'événements peut vous aider à isoler, diagnostiquer et résoudre les problèmes dans votre environnement. Cette section fournit des informations pour vous aider à configurer et à comprendre la consignation des événements, ainsi qu'à exploiter les archives de journaux.
Pour vous permettre d'examiner les actions des assistants administrateur et d'établir des rapports à leur sujet, DRA consigne toutes les opérations des utilisateurs dans l'archive de journal sur l'ordinateur du serveur d'administration. Les opérations des utilisateurs incluent toutes les tentatives de modification de définitions, telles que la mise à jour des comptes utilisateur, la suppression de groupes ou la redéfinition des instances Active Views. DRA consigne également des opérations internes spécifiques, telles que l'initialisation du serveur d'administration et des informations serveur associées. En plus de consigner ces événements d'audit, DRA consigne les valeurs avant et après l'événement afin que vous puissiez voir exactement ce qui a changé.
DRA utilise un dossier, NetIQLogArchiveData, appelé une archive de journal, afin de stocker en toute sécurité les données de journal archivées. DRA archive les journaux au fil du temps, puis supprime les données les plus anciennes afin de libérer de l'espace pour les données plus récentes grâce à un processus dit de nettoyage.
DRA utilise les événements d'audit stockés dans les fichiers d'archivage des journaux pour afficher les rapports de détail des activités, notamment les modifications apportées à un objet au cours d'une période donnée. Vous pouvez également configurer DRA afin d'exporter les informations de ces fichiers d'archivage des journaux vers une base de données SQL Server qui permettra à NetIQ Reporting Center d'afficher les rapports de gestion.
DRA consigne systématiquement les événements d'audit dans l'archive de journal. Vous pouvez aussi activer ou désactiver l'écriture des événements DRA dans les journaux d'événements Windows.
Lorsque vous installez DRA, par défaut, les événements d'audit ne sont pas consignés dans le journal des événements Windows. Vous pouvez activer ce type de consignation en modifiant une clé de registre.
AVERTISSEMENT :soyez prudent lorsque vous modifiez votre registre Windows. Une erreur dans votre registre peut en effet empêcher le bon fonctionnement de votre ordinateur. Si une erreur se produit, vous pouvez restaurer le registre dans l'état qui était le sien lors du dernier démarrage réussi de votre ordinateur. Pour plus d'informations, reportez-vous à l'Aide de l'éditeur de registre Windows.
Pour activer l'audit des événements :
Cliquez sur Démarrer > Exécuter.
Tapez regedit dans le champ Ouvrir, puis cliquez sur OK.
Développez la clé de registre suivante : HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Cliquez sur Édition > Nouveau > Valeur DWORD.
Entrez IsNTAuditEnabled comme nom de clé.
Cliquez sur Édition > Modifier.
Entrez 1 dans le champ Données de la valeur, puis cliquez sur OK.
Fermez l'éditeur du registre.
Pour désactiver l'audit des événements :
Cliquez sur Démarrer > Exécuter.
Tapez regedit dans le champ Ouvrir, puis cliquez sur OK.
Développez la clé de registre suivante : HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
Sélectionnez la clé IsNTAuditEnabled.
Cliquez sur Édition > Modifier.
Entrez 0 dans le champ Données de la valeur, puis cliquez sur OK.
Fermez l'éditeur du registre.
Pour garantir que toutes les actions des utilisateurs sont auditées, DRA fournit d'autres méthodes de consignation lorsque le produit ne peut pas vérifier l'activité de consignation. Lorsque vous installez DRA, la clé AuditFailsFilePath et son chemin sont ajoutés à votre registre pour assurer les actions suivantes :
Si DRA détecte que les événements d'audit ne sont plus consignés dans une archive de journal, il les consigne dans un fichier local sur le serveur d'administration.
Si DRA ne peut pas écrire les événements d'audit dans un fichier local, il les consigne dans le journal des événements Windows.
Si DRA ne peut pas écrire les événements d'audit dans le journal des événements Windows, il les consigne dans le journal de DRA.
Si DRA détecte que les événements d'audit ne sont pas consignés, il bloque les nouvelles opérations des utilisateurs.
Pour activer les opérations d'écriture lorsque l'archive du journal n'est pas disponible, vous devez également définir une valeur de clé de registre pour la clé AllowOperationsOnAuditFailure.
AVERTISSEMENT :soyez prudent lorsque vous modifiez votre registre Windows. Une erreur dans votre registre peut en effet empêcher le bon fonctionnement de votre ordinateur. Si une erreur se produit, vous pouvez restaurer le registre dans l'état qui était le sien lors du dernier démarrage réussi de votre ordinateur. Pour plus d'informations, reportez-vous à l'Aide de l'éditeur de registre Windows.
Pour activer les opérations d'écriture :
Cliquez sur Démarrer > Exécuter.
Tapez regedit dans le champ Ouvrir, puis cliquez sur OK.
Développez la clé de registre suivante : HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\.
Cliquez sur Édition > Nouveau > Valeur DWORD.
Entrez AllowOperationsOnAuditFailure comme nom de clé.
Cliquez sur Édition > Modifier.
Entrez 736458265 dans le champ Données de la valeur.
Sélectionnez Décimal dans le champ Base, puis cliquez sur OK.
Fermez l'éditeur du registre.
DRA consigne les données d'activité de l'utilisateur dans les archives de journaux sur le serveur d'administration. DRA crée des partitions d'archivage de journaux quotidiennes pour stocker les données collectées et normalisées chaque jour. DRA utilise la date selon l'heure locale sur le serveur d'administration (AAAAMMJJ) comme convention de dénomination pour les partitions d'archivage de journaux quotidiennes.
Si vous avez activé le collecteur de rapports de gestion, DRA exporte les données d'archivage des journaux dans une base de données SQL Server comme source pour les rapports de gestion DRA.
Au départ, DRA conserve par défaut les données de journal dans l'archive de journal indéfiniment. L'archive de journal peut atteindre une taille maximale qui est déterminée au moment de l'installation, en fonction de l'espace disque disponible. Lorsque l'archive de journal dépasse cette taille maximale, plus aucun nouvel événement d'audit n'y est stocké. Vous pouvez définir une limite de temps pour la conservation des données. DRA supprime les données les plus anciennes afin de libérer de l'espace pour les données plus récentes grâce au processus de nettoyage. Assurez-vous que vous disposez d'une stratégie de sauvegarde avant d'activer le nettoyage. Vous pouvez configurer la période de conservation des archives de journaux à l'aide de l'utilitaire de configuration de l'archivage des journaux. Pour plus d'informations, reportez-vous à la section Modification des paramètres de nettoyage des archives de journaux.
L'utilitaire de visionneuse des archives de journaux permet d'afficher les données stockées dans des fichiers d'archivage des journaux. Il est fourni avec le kit NetIQ DRA LARK (Log Archive Resource Kit) que vous pouvez installer avec DRA. Pour plus d'informations, reportez-vous au manuel NetIQ DRA Log Archive Resource Kit Technical Reference (Référence technique du kit NetIQ DRA LARK).
Un fichier d'archivage des journaux est une collection de blocs d'enregistrement. Étant donné que les fichiers d'archivage des journaux sont des fichiers binaires compressés qui se trouvent en dehors d'une base de données physique, il est inutile d'utiliser Microsoft SQL Server Management Studio pour sauvegarder les archives de journaux. Si vous disposez d'un système de sauvegarde automatique de fichiers, vos fichiers d'archivage des journaux sont sauvegardés automatiquement comme n'importe quel autre fichier.
Tenez compte des meilleures pratiques suivantes lorsque vous planifiez votre stratégie de sauvegarde :
Une seule partition est créée chaque jour pour contenir les données d'événement de ce jour-là. Lorsque vous activez le nettoyage, par défaut, le service d'archivage des journaux nettoie les données de ces partitions automatiquement tous les 90 jours. La stratégie de sauvegarde doit tenir compte de la planification du nettoyage pour déterminer la fréquence des sauvegardes. Lorsque les partitions d'archivage de journaux sont effacées, DRA supprime les fichiers binaires. Vous ne pouvez pas récupérer les données nettoyées. Vous devez restaurer les données nettoyées à partir d'une sauvegarde. Pour plus d'informations, reportez-vous à la section Modification des paramètres de nettoyage des archives de journaux.
Vous devez sauvegarder les partitions uniquement lorsqu'elles sont fermées. Dans des conditions normales, une partition est fermée dans les 2 heures après minuit le jour suivant.
Sauvegardez et restaurez les dossiers de partition et tous leurs sous-dossiers en tant qu'unité. Sauvegardez le fichier VolumeInfo.xml dans le cadre de la sauvegarde de la partition.
Si vous souhaitez restaurer les partitions d'archivage des journaux pour les rapports, assurez-vous que les archives de journaux sauvegardées soient conservées ou puissent être restaurées dans leur format d'origine.
Lorsque vous configurez votre processus de sauvegarde des fichiers d'archivage des journaux, NetIQ vous recommande d'exclure les deux sous-dossiers index_data et CubeExport situés dans le dossier principal d'archivage des journaux. Ces sous-dossiers contiennent des données temporaires et ne doivent pas être sauvegardés.
Lorsque vous installez DRA, le nettoyage des archives de journaux est désactivé par défaut. Lorsque vous établissez des procédures régulières de sauvegarde des fichiers d'archivage des journaux, vous devez activer le nettoyage de l'archivage des journaux pour économiser de l'espace disque. Vous modifiez le nombre de jours avant le nettoyage des partitions d'archivage des journaux à l'aide de l'utilitaire de configuration de l'archivage des journaux.
Pour modifier le nombre de jours après lequel les partitions d'archivage des journaux sont nettoyées :
Connectez-vous au serveur d'administration à l'aide d'un compte qui est membre du groupe Administrateurs locaux.
Démarrez l'utilitaire de configuration de l'archivage des journaux (LogArchiveUtility.exe) à partir du dossier des programmes NetIQ \DRA\NetIQLogArchive.
Cliquez sur Log Archive Server Settings (Paramètres du serveur d'archivage des journaux).
Si vous souhaitez activer le nettoyage des partitions, définissez la valeur du champ Partition Grooming Enabled (Nettoyage des partitions activé) sur True (Vrai).
Entrez le nombre de jours pendant lesquels vous souhaitez conserver les partitions d'archivage des journaux avant le nettoyage dans le champ Number of Days before Grooming (Nombre de jours avant le nettoyage).
Cliquez sur Apply (Appliquer).
Cliquez sur Yes (Oui).
Cliquez sur Close (Fermer).
Accédez au dossier <chemin_LogArchiveData>\<nom_partition> et
Si l'attribut File is ready for archiving (Le fichier est prêt pour l'archivage) sur les fichiers ou dossiers dans les partitions spécifiées n'est pas coché, vous devez modifier le fichier CONFIG pour activer le nettoyage de l'archivage des journaux. Pour comprendre pourquoi cet attribut peut être ou ne pas être activé, reportez-vous à la section Additional Information (Informations supplémentaires) de l'article de la base de connaissances How do you configure the data retention period for DRA Logarchival Data? (Configuration de la période de conservation des données pour les données d'archivage des journaux de DRA ?).
Pour activer le serveur d'archivage des journaux (Log Archive Server, LAS) de DRA afin qu'il nettoie les données non archivées :
Connectez-vous localement à chaque console Windows du serveur DRA en tant que membre du groupe Administrateurs locaux.
Utilisez un éditeur de texte pour ouvrir le fichier C:\ProgramData\NetIQ\Directory ressource Administrator\LogArchiveConfiguration.config et repérez la ligne <Property name="GroomUnarchivedData" value="false" />.
Remplacez "false" par "true" et enregistrez le fichier.
Redémarrez le service d'archivage des journaux de NetIQ DRA.
REMARQUE :si vous modifiez un quelconque paramètre de l'archivage des journaux, vous devez redémarrer le service d'archivage des journaux afin que les modifications soient prises en compte.