45 メッセージ
0
1638
Unity NASサーバーの監査ログについて
UNITYの監査ログ設定についてご教示頂けないでしょうか。
AlogConverterと連携し監査ログの取得を行います。
それにあたり、管理用サーバ(Unity_VNXFileCifsMgmt導入)からネットワークレジストリ接続し、レジストリの変更を試したところエラーとなり変更ができませんでした。
設定の順番があるということも確認しており、Unity_VNXFileCifsMgmtにて対象NASサーバの監査ログを有効化、イベントログの保存期間を無制限に設定しております。
設定が必要なレジストリは下記です。HKLM\system\CurrentControlSet\Service\Eventlog\Security
・AutoArchiveEnabled⇒変更不可
・File⇒変更不可
・AutoArchiveTriggerPolicySize⇒変更可能
・AutoArchiveTriggerPolicyTime⇒変更可能
何か原因がお分かりになればご教示頂きたくお願い申し上げます。
Uehara Y.
Community Manager
Community Manager
•
4.9K メッセージ
1
2019年1月30日 21:00
kajiyamさん
どうもファイルの保存場所を変更出来ないために、アーカイブの設定が出来ないという事象のように見えます。
逆に言うとファイルの保存場所の変更（レジストリのfileにて保存場所の変更）が出来れば問題は解決できそうです。
fileにて場所の指定が出来ない理由は、レジストリ変更時に利用しているユーザにファイルサーバの設定変更権限がない可能性が高いので、別のユーザ（VNXの時代でいうローカルData MoverのAdministrator権限をもったユーザ）を利用して変更が出来るか確認してもらうことは可能でしょうか。
Uehara Y.
Community Manager
Community Manager
•
4.9K メッセージ
0
2019年1月25日 00:00
kajiyamさん
「イベントログの保存期間を無制限に設定」ということなので、既に対応をされているようなのですが、一番ひっかかりそうなのはこの部分なので、一度VNX seciruty.evt保存についてに記載がある「Retention ⇒ 0xFFFFFFFF」の設定がレジストリ（HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Eventlog\Security\Retention）に入っているかを確認して頂けないでしょうか。情報はVNX関係のものですが、Unityにも当てはまるはずです。
また、同様の処理なのですが、今回設定を行おうとしているイベントログのプロパティを右クリックで確認し、プロパティ画面の下にある「イベントを上書きしない」にチェックが入っているかを確認するということも有効かと思います。
それ以外の問題があるとすると、イベントファイルの保存場所をデフォルトの場所から変更していないという問題かもしれません。
【参考】
これらはVNX CIFSの構成と管理のP.43に以下のようにまとめて書いてあります（注：誤訳あり=>後述します）
自動アーカイブは、アクティブ ログ ファイルがルート ファイル システムや VDM ルート ファイル システムになく、イベント ログの保存期間が無限に設定されていない（★）場合のみ有効です。パフォーマンス上の理由から、専用のファイル システムを使用することを推奨します。
★この部分は誤訳です。申し訳ありません。正確には「ログの保存期間が無制限に設定されている」場合のみ有効です。最新の英語のドキュメントでは以下記載です。Important: The auto archive will be effective only if the active log file is not located on the root file system or on a VDM root file system and if the event log retention is set to infinite. It is recommended to use a dedicated file system for performance reason.
kajiyam
45 メッセージ
0
2019年1月29日 21:00
Uehara Y.様
ご返信下さりありがとうございます。
「イベントログの保存期間を無制限に設定」についてですが、セキュリティのプロパティおよびレジストリ両方とも上書きしない設定となっていることを確認しました。
また、「イベントファイルの保存場所をデフォルトの場所から変更していないという問題」について、保存場所はレジストリの「file」にて指定する認識ですが、こちらもエラーにより変更ができない状態でございます。
レジストリの変更はDomainAdministratorで実施しております。
その他に何かございましたら、ご教示頂けますと幸いです。
kajiyam
45 メッセージ
1
2019年2月1日 00:00
Uehara様
ご返信ありがとうございます。
ご推察通り「File」の変更により、「AutoArchiveEnabled」も変更できました。
「File」変更でエラーが起きていたのは共有フォルダのパスを入力していたためでした。
例 \\storage_server_netbios_name\C$\test\security.evt⇒C:\test\security.evt
勉強不足でした。
お付き合い下さりありがとうございました。