イベントログ内の動作記録を監査することは、環境で発生した問題の隔離、診断、解決に役立ちます。このセクションでは、イベントログ機能の有効化と理解に役立つ情報やログアーカイブの使用方法を記載しています。
アシスタント管理者のアクションを確認しレポートできるように、DRAはユーザによるすべての操作を管理サーバのコンピュータ上にログアーカイブとして記録しています。ユーザによる操作には、ユーザアカウントの更新、グループの削除、ActiveViewの再定義など、定義を変更するすべての操作が含まれます。DRAは、管理サーバの初期化などの詳細な内部操作や関連のあるサーバの情報も記録します。DRAは、これらの監査イベントをログに記録するだけでなく、そのイベントの前と後の値も記録して、何が変わったかを正確に把握できるようにします。
DRAは、アーカイブしたログデータを安全に保存するためにNetIQLogArchiveDataというフォルダを使用します。このフォルダは「ログアーカイブ」と呼ばれます。DRAは長期間にわたってログをアーカイブし、グルーミングというプロセスを通じて古いデータを削除して新しいデータのための場所を確保します。
DRAは、ログアーカイブファイルに保存された監査イベントを使用して、たとえば指定した期間中にオブジェクトに対してどのような変更が加えられたかを示すActivity Detailレポートを表示します。また、これらのログアーカイブファイルから、NetIQ Reporting Centerが管理レポートを表示するために使用するSQLサーバのデータベースに情報をエクスポートするように、DRAを設定することもできます。
DRAは、常に監査イベントをログアーカイブに書き込みます。DRAがWindowsのイベントログにもイベントを書き込む機能を、有効または無効にすることができます。
DRAをインストールしても、監査イベントはデフォルトではWindowsイベントログに記録されません。この種のログ記録は、レジストリキーを修正することによって有効にできます。
警告:Windowsレジストリを編集するときには十分に注意してください。レジストリ内にエラーがあると、コンピュータが動作不能になる場合があります。エラーが発生した場合は、レジストリを最後にコンピュータを問題なく起動したときの状態に戻すことができます。詳細については、Windowsレジストリエディタのヘルプを参照してください。
イベントの監査を有効にするには、次の手順を実行します。
［スタート］>［ファイル名を指定して実行］の順にクリックします。
［開く］フィールドに「regedit」と入力し、［OK］をクリックします。
展開するレジストリキー: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
［編集］>［新規］>［DWORD値］の順にクリックします。
「IsNTAuditEnabled」と入力します。
［編集］>［修正］の順にクリックします。
［Value data (値のデータ)］フィールドに「1」と入力し、［OK］をクリックします。
レジストリエディタを終了します。
イベントの監査を無効にするには、次の手順を実行します。
［スタート］>［ファイル名を指定して実行］の順にクリックします。
［開く］フィールドに「regedit」と入力し、［OK］をクリックします。
展開するレジストリキー: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\.
IsNTAuditEnabledキーを選択します。
［編集］>［修正］の順にクリックします。
［Value data (値のデータ)］フィールドに「0」と入力し、［OK］をクリックします。
レジストリエディタを終了します。
DRAは、すべてのユーザアクションが監査されるようにするために、製品がログ活動を検証できないときに代替ログ手段を提供します。DRAをインストールすると、次のアクションが実行されるようにするために、AuditFailsFilePathキーおよびパスがレジストリに追加されます。
DRAが監査イベントがログアーカイブに記録されていないことを検出した場合は、監査イベントを管理サーバ上のローカルファイルに記録する。
監査イベントをローカルファイルに書き込めない場合、DRAはWindowsイベントログに監査イベントを書き込む。
監査イベントをWindowsイベントログに書き込めない場合、DRAは監査イベントをDRAのログに書き込む。
監査イベントがログに記録されていないことを検出した場合、DRAはそれ以降のユーザー操作をブロックする。
ログアーカイブが使用不能の場合に書き込み操作を有効にするには、AllowOperationsOnAuditFailureキーのレジストリキー値も設定する必要があります。
警告:Windowsレジストリを編集するときには十分に注意してください。レジストリ内にエラーがあると、コンピュータが動作不能になる場合があります。エラーが発生した場合は、レジストリを最後にコンピュータを問題なく起動したときの状態に戻すことができます。詳細については、Windowsレジストリエディタのヘルプを参照してください。
書き込み操作を有効にするには:
［スタート］>［ファイル名を指定して実行］の順にクリックします。
［開く］フィールドに「regedit」と入力し、［OK］をクリックします。
レジストリを展開します。レジストリキー: HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\
［編集］>［新規］>［DWORD値］の順にクリックします。
キー名には「AllowOperationsOnAuditFailure」と入力します。
［編集］>［修正］の順にクリックします。
［Value data (値のデータ)］フィールドに「736458265」と入力します。
［Base (基数)］フィールドで［Decimal (10進)］を選択し、［OK］をクリックします。
レジストリエディタを終了します。
DRAは、ユーザアクティビティのデータを管理サーバ上のログアーカイブに記録します。DRAは毎日、その日に収集されて標準化されたデータを保存するために日ごとのログアーカイブパーティションを作成します。DRAは、毎日のログアーカイブパーティションの命名に、管理サーバのローカル時間による日付(YYYYMMDD)を使用します。
管理レポートコレクタが有効になっている場合、DRAはログアーカイブデータをDRA管理レポートのソースとしてSQLサーバのデータベースにエクスポートします。
初期状態では、DRAはデフォルトでログデータをログアーカイブ内に無期限に保持します。この状態では、ログアーカイブのサイズが、インストール時にハードドライブ容量に基づいて決定された最大サイズに達する可能性があります。ログアーカイブがこの最大サイズを超過すると、新規の監査イベントが保存されなくなります。データを保持する期間の制限を設定することができます。時間制限を設定すると、グルーミングと呼ばれるプロセスを通じてデータが古い順に削除されて新しいデータのための場所が確保されるようになります。グルーミングを有効にする前に、バックアップ戦略を確立してください。ログアーカイブ保持期間を設定するには、Log Archive Configurationユーティリティを使用します。詳細については、「ログアーカイブのグルーミング設定の変更」を参照してください。
ログアーカイブファイルに保存されたデータを表示するには、Log Archive Viewerユーティリティを使用します。NetIQ DRAのLARK (Log Archive Resource Kit)は、DRAでインストールするよう選択できますが、Log Archive Viewerユーティリティを提供します。詳細については、『NetIQ DRA Log Archive Resource Kit Technical Reference』を参照してください。
ログアーカイブファイルとは、レコードブロックの集まりです。ログアーカイブファイルは物理データベースの外にある圧縮されたバイナリファイルなので、ログアーカイブをバックアップするのにMicrosoft SQL Server Management Studioを使用する必要はありません。自動化されたファイルバックアップシステムを使用している場合は、ログアーカイブファイルも他のファイルと同様に自動的にバックアップされます。
バックアップ戦略を計画するときには、次のベストプラクティスを頭に置いてください。
イベントデータを保存するために、1日に1つのパーティションが作成されます。グルーミングを有効にすると、デフォルトの設定で、Log Archive Serviceがこれらのパーティションからのデータを90日ごとに自動的にグルーミングします。バックアップ戦略では、バックアップの頻度を決めるときにグルーミングのスケジュールを考慮に入れる必要があります。ログアーカイブパーティションがグルーミングされるときに、DRAはバイナリファイルを削除します。グルーミングされたデータを取り戻すことはできません。グルーミングされたデータは、バックアップから復元するしかありません。詳細については、「ログアーカイブのグルーミング設定の変更」を参照してください。
パーティションのバックアップは、そのパーティションが閉じられた後にのみ行ってください。通常の状態では、パーティションは夜中に日付が変わってから2時間以内に閉じられます。
パーティションフォルダとそのすべてのサブフォルダを、1つの単位としてバックアップしてください。パーティションバックアップの一環として、VolumeInfo.xmlというファイルをバックアップします。
レポート用にログアーカイブパーティションを復元する場合は、バックアップされたログアーカイブが元のままの形式を保っているか、または元の形式に復元できることを確認してください。
ログアーカイブファイルをバックアップするプロセスを設定するときには、NetIQでは、メインのログアーカイブフォルダにあるindex_dataとCubeExportの両サブフォルダを除外することを推奨しています。これらは一時データが収められるサブフォルダなので、バックアップするべきではありません。
DRAのインストール時に、ログアーカイブのグルーミングはデフォルトで無効にされます。ログアーカイブファイルの定期的なバックアップ手順を確立する場合は、ディスクスペースがいっぱいにならないようにログアーカイブのグルーミングを有効にする必要があります。ログアーカイブパーティションがグルーミングされるまでの日数は、Log Archive Configurationを使って変更できます。
ログアーカイブパーティションがグルーミングされるまでの日数を変更するには、次の手順を実行します。
ローカルの管理者グループのメンバーであるアカウントを使用して、管理サーバにログオンします。
NetIQ Security Manager > Configurationのプログラムグループ内のLog Archive Configurationを起動します。
［Log Archive Server Settings (ログアーカイブサーバーの設定)］をクリックします。
パーティションのグルーミングを有効にする場合は、［Partition Grooming Enabled (パーティショングルーミングが有効)］フィールドの値を「True」に設定します。
グルーミングされるまでログアーカイブパーティションを保持する日数を［Number of Days before Grooming (グルーミングまでの日数)］フィールドに入力します。
［適用］をクリックします。
［はい］をクリックします。
［閉じる］をクリックします。
<LogArchiveDataへのパス>\<パーティション名>のフォルダを見つけ、次の表に従って操作します。
指定されたパーティション内のファイルまたはフォルダに対して「File is ready for archiving」という属性が選択されていない場合、ログアーカイブのグルーミングが有効になるようにCONFIGファイルを編集する必要があります。この属性が選択された/選択されなかった理由を理解するために、ナレッジベースの記事の「Additional Information」セクションを参照してください。記事の表題は「How do you configure the data retention period for DRA Logarchival Data?」です。
アーカイブされなかったデータをグルーミングするためにDRAのログアーカイブサーバを有効にするには:
ローカル管理者グループのメンバーとして、DRAサーバのウィンドウコンソールそれぞれにローカルにログオンします。
テキストエディタを使用して「C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config file and locate the <Property name="GroomUnarchivedData" value="false" />」という行を開きます。
値の"false"を"true"に変更し、ファイルを保存します。
NetIQ DRA LogArchiveサービスを再起動します。
メモ:ログアーカイブの設定を何か変更した場合、その変更を有効にするにはログアーカイブサービスを再起動する必要があります。