Compartilhar via

Aprimoramentos de auditoria para o AD FS no Windows Server 2016

Atualmente, no AD FS para Windows Server 2012 R2, há vários eventos de auditoria gerados para uma única solicitação e as informações relevantes sobre uma atividade de emissão de log ou token estão ausentes (em algumas versões do AD FS) ou distribuídas em vários eventos de auditoria. Por padrão, os eventos de auditoria do AD FS são desativados devido à natureza excessivamente detalhada.

Com o lançamento do AD FS no Windows Server 2016, a auditoria tornou-se mais simplificada e menos detalhada.

Níveis de auditoria no AD FS para Windows Server 2016

Por padrão, o AD FS no Windows Server 2016 tem a auditoria básica habilitada. Com a auditoria básica, os administradores verão 5 ou menos eventos para uma única solicitação. Isso marca uma redução significativa no número de eventos que os administradores precisam examinar para ver uma única solicitação. O nível de auditoria pode ser elevado ou reduzido usando o cmdlet do PowerShell: Set-AdfsProperties -AuditLevel. A tabela a seguir explica os níveis de auditoria disponíveis.

Nível de Auditoria Sintaxe do PowerShell Description
None Set-AdfsProperties – Nível de Auditoria Nenhum A auditoria está desabilitada e nenhum evento será registrado.
Básico (Padrão) Set-AdfsProperties – Nível de Auditoria Básico Não mais do que 5 eventos serão registrados para uma única solicitação
Verbose Set-AdfsProperties – AuditLevel Verbose Todos os eventos serão registrados. Isso registrará uma quantidade significativa de informações por solicitação.

Para exibir o nível de auditoria atual, você pode usar o cmdlet do PowerShell: Get-AdfsProperties.

Captura de tela que mostra como usar o cmdlet Get-AdfsProperties.

O nível de auditoria pode ser elevado ou reduzido usando o cmdlet do PowerShell: Set-AdfsProperties -AuditLevel.

aprimoramentos de auditoria

Tipos de eventos de auditoria

Os Eventos de Auditoria do AD FS podem ser de tipos diferentes, com base nos diferentes tipos de solicitações processadas pelo AD FS. Cada tipo de Evento de Auditoria tem dados específicos associados a ele. O tipo de eventos de auditoria pode ser diferenciado entre solicitações de logon (ou seja, solicitações de token) versus solicitações do sistema (chamadas de servidor-servidor, incluindo busca de informações de configuração).

A tabela a seguir descreve os tipos básicos de eventos de auditoria.

Tipo de evento auditar ID do evento Description
Êxito de validação de credenciais recentes 1202 Uma solicitação em que novas credenciais são validadas com êxito pelo Serviço de Federação. Isso inclui WS-Trust, WS-Federation, SAML-P (primeira etapa para gerar SSO) e OAuth Authorize Endpoints.
Novo erro de validação de credencial 1203 Uma solicitação em que a validação de novas credenciais falhou no Serviço de Federação. Isso inclui WS-Trust, WS-Fed, SAML-P (primeira etapa para gerar SSO) e OAuth Authorize Pontos de extremidade.
Êxito do token de aplicativo 1200 Uma solicitação em que um token de segurança é emitido com êxito pelo Serviço de Federação. Para WS-Federation, SAML-P isso é registrado quando a solicitação é processada com o artefato SSO. (como o cookie de SSO).
Falha no token de aplicativo 1201 Uma solicitação em que a emissão do token de segurança falhou no Serviço de Federação. Para WS-Federation, SAML-P isso é registrado quando a solicitação foi processada com o artefato SSO. (como o cookie de SSO).
Êxito da solicitação de alteração de senha 1204 Uma transação em que a solicitação de alteração de senha foi processada com êxito pelo Serviço de Federação.
Erro de solicitação de alteração de senha 1205 Uma transação em que a solicitação de alteração de senha não foi processada pelo Serviço de Federação.
Êxito na saída 1206 Descreve uma solicitação de saída com êxito.
Falha ao sair 1207 Descreve uma solicitação de saída com falha.
  • Last updated on