23.2 Audit avec XDAS

Activation de l'appender Syslog

Si vous souhaitez centraliser les messages d'audit à un seul emplacement, vous pouvez utiliser l'appender Syslog. Par ailleurs, un serveur Syslog offre une meilleure prise en charge des sauvegardes en cas de sinistre.

Pour activer l'appender Syslog, apportez les modifications suivantes dans le fichier xdasxconfig.properties :

Génération d'un certificat pour la connexion SSL Syslog

Pour générer un certificat pour la connexion Syslog :

Activation de l'appender RollingFile

Si la solution d'audit est limitée à un seul serveur, il est préférable d'opter pour l'appender File. Le nombre de composants à configurer étant limité, cette solution est également facile à mettre en oeuvre et plus adaptée aux démonstrations.

Pour activer l'appender RollingFile, apportez les modifications suivantes dans le fichier xdasconfig.properties :

Utilisation du plug-in iManager pour la configuration de XDAS

Configuration des événements XDAS pour l'audit

Filtrage des événements de gestion des comptes XDAS

Vous pouvez configurer le filtrage des comptes de manière à ne rechercher qu'un ou plusieurs types d'événements spécifiques. Par exemple, si vous souhaitez être averti lorsqu'une personne crée un compte utilisateur dans eDirectory, vous pouvez créer un filtre de sélection de la classe d'objet Utilisateur pour consigner les événements dans le cadre de la création d'un nouvel objet Utilisateur.

Pour configurer le filtrage des comptes, cliquez sur le lien Événements de gestion de compte, sélectionnez la classe, puis cliquez sur OK pour quitter l'application.

Pour configurer des filtres pour les événements de gestion des comptes :

À l'aide du filtre configuré, le module d'audit XDAS contrôle tous les événements générés pour les classes d'objet et les attributs sélectionnés et consigne ces événements.

Filtrage des événements de gestion des approbations XDAS

Cliquez sur le lien Événements de gestion des approbations pour configurer le filtrage des événements de gestion des approbations. Par exemple, si vous souhaitez être averti lorsqu'une personne crée une nouvelle approbation dans eDirectory, vous pouvez créer un filtre de sélection de la classe d'objet Groupe pour consigner les événements dans le cadre de la création d'une nouvelle approbation.

Pour configurer le filtrage des événements de gestion des approbations :

Lorsque le filtre est configuré, le module d'audit XDAS contrôle tous les événements générés pour les classes d'objet et les attributs sélectionnés et consigne ces événements.

Filtrage des événements de gestion des éléments de données XDAS

Cliquez sur le lien Événements de gestion des éléments de données pour configurer le filtrage des éléments de données XDAS. Vous pouvez configurer les éléments de données XDAS pour les objets pour lesquels vous souhaitez collecter des événements XDAS. Vous pouvez sélectionner des classes d'objet et leur définir des attributs.

Pour configurer le filtrage des événements de gestion des éléments de données :

À l'aide du filtre configuré, le module d'audit XDAS vérifie les événements générés pour toutes les classes d'objet et tous les attributs sélectionnés et consigne ces événements.

Filtrage des événements eDirectory à l'aide du filtre d'exclusion

Cliquez sur le lien Filtre d'exclusion afin de configurer le filtrage pour les classes d'objet et les attributs pour lesquels vous ne souhaitez pas générer d'événement. Vous pouvez sélectionner des classes d'objet et leur définir des attributs.

Pour configurer le filtrage des événements eDirectory indésirables :

À l'aide du filtre configuré, le module d'audit XDAS arrête de générer des événements pour toutes les classes d'objet et les attributs sélectionnés.

Schéma XDAS JSON

{
    "id":"XDAS",
    "title":"XDAS Version 2 JSON Schema",
    "description":"A JSON representation of an XDAS event record.",
    "type":"objectr",
    "properties":{
      "Source":{
        "description":"The original source of the event, if applicable.",
        "type":"string",
        "optional":true
      },
      "Observer":{
        "description":"The recorder (ie., the XDAS service) of the event.",
        "type":"object",
        "optional":false,
        "properties":{
          "Account":{"$ref":"account"},
          "Entity":{"$ref":"entity"}
        }
      },
      "Initiator":{
        "description":"The authenticated entity or access  that causes an event.",
        "type":"object",
        "optional":false,
        "properties":{
          "Account":{"$ref":"account","optional":true},
          "Entity":{"$ref":"entity"},
          "Assertions":{
            "description":"Attribute/value assertions about an identity.",
            "type":"object",
            "optional":true
          }
        }
      },
      "Target":{
        "description":"The target object, account, data item, etc of the event.",
        "type":"object",
        "optional":true,
        "properties":{
          "Account":{"$ref":"account"},
          "Entity":{"$ref":"entity"},
          "Data":{                           
            "description":"A set attribute/value pairs describing the target object.",        * 
            "type":"object",        
            "optional":true
          }  
        }
      },
      "Action":{
        "description":"The action describes the event in a uniform manner.",
        "type":"object",
        "optional":false,
        "properties":{
          "Event":{
            "description":"The event identifier in standard XDAS taxonomy.",
            "type":"object",
            "optional":false,
            "properties":{
              "Id":{
                "description":"The XDAS taxonomy event identifier.",
                "type":"string",
                "optional":false,
                "pattern":"/^[0-9]+(\.[0-9]+)*$/" 
              },
              "Name":{
                "description":"A short descriptive name for the specific event.", eg. a new replica is added 
                "type":"string",
                "optional":true
              },
      "CorrelationID":{
          "description":"Correlation ID, source#uniqueID#connID",
                 "type":"string",
                 "optional":true
      }
     },
     "SubEvent":{
      "type":object
      "description": "Describes the actual domain specific event that has occured.",
      "optional":true,
      "properties":{
        "Name"":{
                    "description":"A short descriptive name for this event.",
                    "type":"string",
                    "optional":true
                  },
      }
            }  
          }
          "Log":{
            "description":"Client-specified logging attributes.",
            "optional":true,
            "properties":{
              "Severity":{"type":"integer", "optional":true},
              "Priority":{"type":"integer", "optional":true},
              "Facility":{"type":"integer", "optional":true}
            }
          }
          "Outcome":{
            "description":"The XDAS taxonomy outcome identifier.",
            "type":"string",
            "optional":false,
            "pattern":"/^[0-9]+(\.[0-9]+)*$/"
          }
          "Time":{
            "description":"The time the event occurred.",
            "type":"object",
            "optional":false,
            "properties":{
              "Offset":{
                "description":"Seconds since Jan 1, 1970.",
                "type":"integer"
              },
              "Sequence":{
                "description":"Milliseconds since last integral second.",
                "type":"integer",
                "optional":true
              },
              "Tolerance":{
                "description":"A tolerance value in milliseconds.",
                "type":"integer",
                "optional":true
              },
              "Certainty":{
                "description":"Percentage certainty of tolerance.",
                "type":"integer",
                "optional":true,
                "minimum":0,
                "maximum":100,
                "default":100,
              },
              "Source":{
                "description":"The time source (eg., ntp://time.nist.gov).",
                "type":"string",
                "optional":true
              },
              "Zone":{
                "description":"A valid timezone symbol (eg., MST/MDT).",
                "type":"string",
                "optional":true
              }
            }
      "ExtendedOutcome":{
            "description":"The XDAS taxonomy outcome identifier.",
            "type":"string",
            "optional":false,
            "pattern":"/^[0-9]+(\.[0-9]+)*$/"
           }
        }
      }
    }
  },
  {
    "id":"account",
    "description":"A representation of an XDAS account.",
    "type":"object",
    "properties":{
      "Domain":{
        "description":"A (URL) reference to the authority managing this account.",    /* lets take it as the partition?
        "type":"string"
      },
      "Name":{
        "description":"A human-readable account name.",        - DN
        "type":"string",
        "optional":true
      },
      "Id":{
        "description":"A machine-readable unique account identifier value.",  - EntryID
        "type":"integer"
      }
    }
  },
  {
    "id":"entity",                    - Server details for Target, client address details for the initiator
    "description":"A representation of an addressable entity.",
    "type":"object",
    "properties":{
      "SysAddr":{"type":"string","optional":true},  
      "SysName":{"type":"string","optional":true},
      "SvcName":{"type":"string","optional":true},
      "SvcComp":{"type":"string","optional":true},
    }
  }

Définitions des champs XDAS

Les champs inclus dans le schéma sont les champs XDAS définis spécifiquement pour les événements d'audit. Certains ou l'ensemble de ces champs peuvent également être pertinents pour d'autres types d'événement, mais des informations de ce type sont requises pour les services d'audit. Le format d'enregistrement JSON XDAS est un format ouvert. Cela signifie que d'autres champs peuvent être ajoutés à n'importe quel endroit de l'enregistrement, du moment qu'ils ne sont pas en conflit avec les valeurs de champ définies pour l'audit par la norme XDAS. Autrement dit, en présence d'un certain type de données de corrélation, telles qu'un identificateur de workflow ou un identificateur de session, qui peuvent servir de points de données de corrélation entre des événements au sein d'un workflow ou d'une session cliente, vous pouvez ajouter ces champs. Choisissez simplement un nom non conflictuel pour votre champ.

Codes de résultat

Le code de résultat est une valeur numérique hiérarchique comparable au code d'événement. Il indique si l'opération a réussi ou échoué et pour quelle raison. La hiérarchie de réussite est encapsulée par le sous-arc 0.x. Les classes d'échec sont représentées par la hiérarchie 1.x. Les codes de refus sont représentés par la hiérarchie 2.x.

Exemple d'événement

Vous trouverez ci-dessous un exemple d'événement :

Mar 16 21:46:40 eDirectory : INFO {"Source" : "eDirectory#DS","Observer" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "164.99.179.142","SysName" : "SLE12-142"}},"Initiator" : {"Account" : {"Domain" : "TREEUPGRADE","Name" : "CN=SLE12-142,O=novell"},"Entity" : {"SysAddr" : "164.99.179.142:43230"}},"Target" : {"Data" : {"ClassName" : "Tree Root","Name" : "TREEUPGRADE","Version" : "2"}},"Action" : {"Event" : {"Id" : "0.0.3.2","Name" : "QUERY_DATA_ITEM_ATTRIBUTE","CorrelationID" : "eDirectory#5#","SubEvent" : "DSE_LIST_PARTITIONS"},"Time" : {"Offset" : 1489681000},"Log" : {"Severity" : 7},"Outcome" : "0","ExtendedOutcome" : "0"}}