Partilhar via


Aprimoramentos de auditoria do AD FS no Windows Server 2016

Atualmente, no AD FS para Windows Server 2012 R2, há vários eventos de auditoria gerados para uma única solicitação e as informações relevantes sobre uma atividade de logon ou emissão de token estão ausentes (em algumas versões do AD FS) ou espalhadas por vários eventos de auditoria. Por padrão, os eventos de auditoria do AD FS são desativados devido à sua natureza detalhada.

Com o lançamento do AD FS no Windows Server 2016, a auditoria tornou-se mais simplificada e menos detalhada.

Níveis de auditoria no AD FS para Windows Server 2016

Por padrão, o AD FS no Windows Server 2016 tem a auditoria básica habilitada. Com a auditoria básica, os administradores verão 5 ou menos eventos para uma única solicitação. Isso marca uma diminuição significativa no número de eventos que os administradores precisam examinar para ver uma única solicitação. O nível de auditoria pode ser aumentado ou reduzido usando o cmdlet do PowerShell: Set-AdfsProperties -AuditLevel. A tabela abaixo explica os níveis de auditoria disponíveis.

Nível de auditoria Sintaxe do PowerShell Description
None Set-AdfsProperties - AuditLevel Nenhum A auditoria está desativada e nenhum evento será registrado.
Básico (padrão) Set-AdfsProperties - Nível de Auditoria Básico Não serão registados mais de 5 eventos para um único pedido
Verbose Set-AdfsProperties - Nível de Auditoria Detalhado Todos os eventos serão registados. Isso registrará uma quantidade significativa de informações por solicitação.

Para exibir o nível de auditoria atual, você pode usar o cmdlet do PowerShell: Get-AdfsProperties.

Captura de tela que mostra como usar o cmdlet Get-AdfsProperties.

O nível de auditoria pode ser aumentado ou reduzido usando o cmdlet do PowerShell: Set-AdfsProperties -AuditLevel.

Aprimoramentos de auditoria

Tipos de eventos de auditoria

Os Eventos de Auditoria do AD FS podem ser de diferentes tipos, com base nos diferentes tipos de solicitações processadas pelo AD FS. Cada tipo de Evento de Auditoria tem dados específicos associados a ele. O tipo de eventos de auditoria pode ser diferenciado entre pedidos de login (ou seja, pedidos de token) e pedidos do sistema (chamadas entre servidores, incluindo a obtenção de informações de configuração).

A tabela abaixo descreve os tipos básicos de eventos de auditoria.

Tipo de evento de auditoria ID do Evento Description
Novo sucesso na validação de credenciais 1202 Uma solicitação em que novas credenciais são validadas com êxito pelo Serviço de Federação. Isso inclui WS-Trust, WS-Federation, SAML-P (primeira etapa para gerar SSO) e OAuth Authorize Endpoints.
Erro de validação de nova credencial 1203 Uma solicitação em que a validação de novas credenciais falhou no Serviço de Federação. Isso inclui WS-Trust, WS-Fed, SAML-P (primeira etapa para gerar SSO) e OAuth Authorize Endpoints.
Sucesso do token da aplicação 1200 Uma solicitação em que um token de segurança é emitido com êxito pelo Serviço de Federação. Para WS-Federation, SAML-P isto é registado quando a solicitação é processada com o artefacto SSO. (como o cookie SSO).
Falha de token de aplicativo 1201 Uma solicitação na qual falhou a emissão do token de segurança no Serviço de Federação. Para WS-Federation, SAML-P isso é registado quando a solicitação foi processada com o artefacto SSO. (como o cookie SSO).
Solicitação de alteração de senha bem-sucedida 1204 Uma transação em que a solicitação de alteração de senha foi processada com êxito pelo Serviço de Federação.
Erro de solicitação de alteração de senha 1205 Uma transação em que a solicitação de alteração de senha não pôde ser processada pelo Serviço de Federação.
Saída Com Sucesso 1206 Descreve uma solicitação de saída bem-sucedida.
Falha ao encerrar sessão 1207 Descreve uma solicitação de encerramento de sessão com falha.