Le serveur Syslog consigne les événements qui se produisent sur le dispositif Unified Access Gateway. Ces événements sont capturés dans les fichiers journaux qui ont un format spécifique. Pour vous aider à comprendre certaines des informations capturées lorsque les événements sont générés, cette rubrique répertorie les événements, les exemples d'événements et les formats Syslog.
Les événements d'audit Syslog sont consignés dans le fichier audit.log et les événements Syslog sont consignés dans les fichiers admin.log et esmanager.log. Tous les fichiers journaux suivent un certain format.
Les tableaux suivants répertorient les fichiers journaux (audit.log, admin.log et esmanager.log), leurs formats respectifs et les descriptions des champs :
Remarque : les événements générés suivent le format de journal. Cependant, les événements peuvent contenir uniquement certains champs présents dans ce format.
| Fichier journal | Format de journal |
|---|
|
|
esmanager.log |
|
| Champ | Description |
|---|
| Indique l'heure à laquelle l'événement a été généré et enregistré dans le serveur Syslog. |
| Nom d'hôte du dispositif Unified Access Gateway. |
| Application qui génère l'événement.
Remarque : selon l'application, ce champ peut contenir des identifiants tels que uag-admin_et uag-esmanager_. Pour les événements d'audit, ce champ peut également contenir uag-admin_uag-audit_. |
| ID du thread dans lequel l'événement est généré. |
| Type d'informations collectées dans le message de journal.
Pour plus d'informations sur les niveaux de journalisation, reportez-vous à la section Collecte de journaux à partir du dispositif Unified Access Gateway. |
| Nom du fichier à partir duquel le journal est généré. |
| Nom de la fonction dans ce fichier à partir duquel le journal est généré. |
| Numéro de ligne dans le fichier dans lequel l'événement de journal est généré. |
| Adresse IP du composant (tel que Horizon Client, l'équilibreur de charge, etc.) qui envoie une demande au dispositif Unified Access Gateway. |
| Service Edge (par exemple Horizon et proxy inverse Web) pour lequel la session est créée.
Si la session est destinée au proxy inverse Web, le type de session est mentionné comme WRP- <instanceId>.
Remarque : <instanceId> est l'ID d'instance du service Edge du proxy inverse Web. |
| Identifiant unique du locataire. |
| Fournit un résumé de ce qui s'est produit dans l'événement. |
Événements d'audit Syslog
Le tableau suivant décrit les événements d'audit avec des exemples :
| Description de l'événement | Exemple d'événement |
|---|
|
Les événements sont consignés lorsqu'un administrateur se connecte à l'interface utilisateur d'administration d'Unified Access Gateway, qu'il effectue des modifications de configuration dans l'interface utilisateur d'administration, qu'il se déconnecte de l'interface utilisateur d'administration et lors de l'échec de la connexion.
Les événements sont consignés lors de la création d'une session au moment de la connexion de l'utilisateur et lors de la destruction d'une session après la déconnexion de l'utilisateur. |
Sep 8 08:50:04 UAG Name uag-admin_uag_-audit: [qtp1062181581-73]INFO utils.SyslogAuditManager[logAuditLog: 418] - LOGIN_SUCCESS: SOURCE_IP_ADDR=Client_Machine_IP_Address USERNAME=admin
Sep 8 07:32:01 288 INFO: SESSION_CREATED: SOURCE_IP_ADDR=Client_Machine_IP_Address: USERNAME=admin: INFO=HttpSession@1165374987, Active session count for this user is 1
Sep 8 08:50:13 UAG Name uag-admin_uag-audit: [qtp1062181581-79]INFO utils.SyslogAuditManager[logAuditLog: 418] - LOGOUT_SUCCESS: SOURCE_IP_ADDR=Client_Machine_IP_Address USERNAME=admin
Sep 8 08:50:13 tunneltest uag-admin_uag-audit: [qtp1901824111-61]INFO utils.SyslogAuditManager[logAuditLog: 452] - LOGIN_FAILED: SOURCE_IP_ADDR=Client_Machine_IP_Address USERNAME=admin: REASON=Incorrect Password. 2 attempts are remaining.
Sep 8 07:32:01 841 INFO: SESSION_DESTROYED: SOURCE_IP_ADDR=Client_Machine_IP_Address: USERNAME=admin: INFO=HttpSession@1165374987, Active session count for this user is 0
Sep 8 08:52:24 UAG Name uag-admin_uag-audit_: [qtp1062181581-80]INFO utils.SyslogAuditManager[logAuditLog: 418] - CONFIG_CHANGE: SOURCE_IP_ADDR=Client_Machine_IP_Address USERNAME=admin: CHANGE=allowedHostHeaderValues:(null->) - tlsSyslogServerSettings:(null->[]) - dns:(null->) - sshPublicKeys:(null->[]) - ntpServers:( - null->) - adminPasswordExpirationDays:(90->50) - dnsSearch:(null->) - fallBackNtpServers:(null->) -
Sep 8 07:32:01 UAG Name uag-admin_: [qtp1062181581-27]INFO utils.SyslogManager[save: 57] - SETTINGS:CONFIG_CHANGED:allowedHostHeaderValues:(null->) - tlsSyslogServerSettings:(null->[]) - dns:(null->) - sessionTimeout:(9223372036854775807->36000000) - sshPublicKeys:(null->[]) - ntpServers:(null->) - dnsSearch:(null->) - fallBackNtpServers:(null->) -
Sep 8 07:32:01 815 INFO: CONFIG_CHANGE: SOURCE_IP_ADDR=Client_Machine_IPAddress: USERNAME=admin: CHANGE=httpproxyalias SSL_CERTIFICATE_METHOD_SETTINGS:CONFIG_CHANGED:certificate updated. OldValue:[Subject, Issuer, SerialNumber, Expiry and SHA256 thumbprint details of existing certificate], NewValue:[Subject, Issuer, SerialNumber, Expiry and SHA256 thumbprint details of new certificate]
|
Événements Syslog
Le tableau suivant décrit les événements système avec des exemples :
| Description de l'événement | Exemple d'événement |
|---|
| Un événement est consigné lorsque les services Edge configurés dans Unified Access Gateway sont démarrés et arrêtés en conséquence. | Dans les exemples d'événements suivants, UAG Name représente l'option qui est configurée dans le cadre de la Configuration système d'Unified Access Gateway dans l'interface utilisateur d'administration :
Sep 9 05:36:55 UAG Name uag-esmanager_: [Curator-QueueBuilder-0]INFO utils.SyslogManager[start: 355][][][][] - Edge Service Manager : started
Sep 9 05:36:54 UAG Name uag-esmanager_: [Curator-QueueBuilder-0]INFO utils.SyslogManager[stop: 1071][][][][] - Edge Service Manager : stopped
|
| Les événements sont consignés lorsque les paramètres de proxy inverse Web sont activés ou désactivés dans l'interface utilisateur d'administration d'Unified Access Gateway. |
Sep 8 09:34:52 UAG Name uag-esmanager_: [main-EventThread]INFO utils.SyslogManager[stopService: 287][][][][] - Reverse Proxy Edge Service with instance id 'wiki' : stopped
Sep 8 12:08:18 UAG Name uag-esmanager_: [main-EventThread]INFO utils.SyslogManager[startService: 211][][][][] - Reverse Proxy Edge Service with instance id 'wiki' : started
|
| Les événements sont consignés lorsque les paramètres du service Horizon Edge sont activés ou désactivés dans l'interface utilisateur d'administration d'Unified Access Gateway. |
Sep 8 09:15:21 UAG Name uag-esmanager_: [main-EventThread]INFO utils.SyslogManager[startService: 335][][][][] - Horizon Edge Service : started
Sep 8 09:15:07 UAG Name uag-esmanager_: [main-EventThread]INFO utils.SyslogManager[stopService: 702][][][][] - Horizon Edge Service : stopped
|
| Les événements sont consignés lorsqu'une session Horizon est établie, ce qui constitue la création de la session, la connexion utilisateur, l'authentification utilisateur, le démarrage du poste de travail et l'arrêt de la session. | Lorsque plusieurs événements sont consignés via le flux, les exemples d'événements incluent les scénarios de connexion, les scénarios de réussite et d'échec de l'authentification utilisateur et le délai d'expiration d'authentification. Dans l'un des exemples, Horizon a été configuré grâce à la méthode d'authentification RADIUS :
Sep 8 07:28:46 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[write: 163][Client_Machine_IP_Address][][][5a0b-***-7cfa] - Created session : 5a0b-***-7cfa
Sep 8 07:28:51 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[putUserNameInMDC: 494][Client_Machine_IP_Address][testradius][Horizon][5a0b-***-7cfa] - UAG sessionId:5a0b-***-7cfa username:testradius
Sep 8 07:28:51 UAG Name uag-esmanager_: [jersey-client-async-executor-1]INFO utils.SyslogManager[logMessage: 190][Client_Machine_IP_Address][testradius][Horizon][5a0b-***-7cfa] - Authentication successful for user testradius. Auth type: RADIUS-AUTH, Sub type: passcode
Sep 8 07:28:52 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[processDocument: 110][Client_Machine_IP_Address][testradius][Horizon][5a0b-***-7cfa] - Authentication attempt response - partial
Sep 8 07:29:02 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[putUserNameInMDC: 494][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - UAG sessionId:5a0b-***-7cfa username:user name
Sep 8 07:29:02 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[processXmlString: 190][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - Authentication attempt - LOGIN initiated
Sep 8 07:29:03 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[processDocument: 110][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - Authentication attempt response - ok
Sep 8 07:29:03 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[setAuthenticated: 384][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - HORIZON_SESSION:AUTHENTICATED:Horizon session authenticated - Session count:9, Authenticated sessions: 2
Sep 8 07:29:04 UAG Name uag-esmanager_: [nioEventLoopGroup-41-1]INFO utils.SyslogManager[onSuccess: 109][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - Horizon Tunnel connection established
Sep 8 07:29:16 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[resolveHostName: 234][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - Accessing virtual/rdsh desktop using protocol BLAST with IP Address IP_Address
Sep 8 07:29:16 UAG Name uag-esmanager_: [nioEventLoopGroup-42-1]INFO utils.SyslogManager[onSuccess: 293][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - BSG route 5504-***-2905 with auth token Ob6NP-***-aEEqK added
Sep 8 07:29:55 UAG Name uag-esmanager_: [nioEventLoopGroup-46-1]INFO utils.SyslogManager[terminateSession: 450][Client_Machine_IP_Address][user name][Horizon][5a0b-***-7cfa] - HORIZON_SESSION:TERMINATED:Horizon Session terminated due to logout - Session count:9, Authenticated sessions: 2
|
Messages système envoyés au serveur Syslog
Le tableau suivant décrit les événements générés lors de l'envoi des messages système au serveur Syslog :
| Description de l'événement | Exemple d'événement |
|---|
| Les événements sont consignés lorsque l'utilisateur racine se connecte à la console de machine virtuelle Unified Access Gateway, se déconnecte de la console, et en cas d'échec de l'authentification. |
May 10 07:39:44 UAG Name login[605]: pam_unix(login:session): session opened for user root by (uid=0) May 10 07:39:44 UAG Name systemd-logind[483]: New session c14 of user root. May 10 07:39:44 UAG Name login[10652]: ROOT LOGIN on '/dev/tty1'May 10 07:46:24 UAG Name login[605]: pam_unix(login:session): session closed for user root May 10 07:46:24 UAG Name systemd-logind[483]: Session c14 logged out. Waiting for processes to exit. May 10 07:46:24 UAG Name systemd-logind[483]: Removed session c14.May 10 07:39:08 UAG Name login[605]: pam_unix(login:auth): authentication failure; logname= uid=0 euid=0 tty=/dev/tty1 ruser= rhost= user=root May 10 07:39:12 UAG Name login[605]: FAILED LOGIN (1) on '/dev/tty1' FOR 'root', Authentication failure |
| Les événements sont consignés lorsque l'utilisateur racine se connecte et se déconnecte d'Unified Access Gateway à l'aide de SSH et en cas d'échec de l'authentification. |
May 10 04:30:40 UAG Name sshd[2880]: Accepted password for root from Client_Machine_IP_Address port 53599 ssh2 May 10 04:30:40 UAG Name sshd[2880]: pam_unix(sshd:session): session opened for user root by (uid=0) May 10 04:30:40 UAG Name systemd-logind[483]: New session c2 of user root.Jun 11 09:53:34 BVT_NONFIPS sshd[2852]: pam_unix(sshd:session): session closed for user root Jun 18 05:47:13 rootPasswd sshd[6857]: Received disconnect from Client_Machine_IP_Address port 31389:11: disconnected by user Jun 18 05:47:13 rootPasswd sshd[6857]: Disconnected from user root Client_Machine_IP_Address port 31389 Jun 18 05:45:12 rootPasswd sshd[6772]: Failed password for root from Client_Machine_IP_Address port 31287 ssh2 |
| Les événements sont consignés lorsque l'utilisation du CPU, de la mémoire, du segment de mémoire ou du disque dépasse la valeur de seuil sur Unified Access Gateway |
Feb 2 08:28:35 uag-620c787e-440b-494e-91b2-54d2d8905c80 uag-esmanager_: [Monitoring]WARN utils.SyslogManager[lambda$getConfiguredPerformanceCounters$2: 655][][][][] - UAGW00283: 93% of disk space usage is above threshold: 90%
Feb 2 08:31:16 uag-620c787e-440b-494e-91b2-54d2d8905c80 uag-esmanager_: [Monitoring]WARN utils.SyslogManager[lambda$getConfiguredPerformanceCounters$2: 655][][][][] - UAGW00283: 100.0% of System CPU usage is above threshold 95%
Feb 2 08:34:17 uag-620c787e-440b-494e-91b2-54d2d8905c80 uag-esmanager_: [Monitoring]WARN utils.SyslogManager[lambda$getConfiguredPerformanceCounters$2: 655][][][][] - UAGW00283: 99.0% of memory usage is above threshold: 95%
|
Les événements sont consignés lorsque la demande de signature de certificat est générée correctement à l'aide de la commande uagcertutil. | 09/09 12:46:16,022+0000 INFO: CONFIG_CHANGE: SOURCE_IP_ADDR=localhost: USERNAME=root (CLI): CHANGE=uagcertutil: New private key and CSR generated. CSR details: -----BEGIN CERTIFICATE REQUEST-----base64 encoded CSR content-----END CERTIFICATE REQUEST----- |
Secure Email Gateway
Secure Email Gateway est configuré pour suivre les configurations Syslog configurées dans le cadre des paramètres système du dispositif Unified Access Gateway. Par défaut, seul le contenu du fichier app.log dans Secure Email Gateway est déclenché en tant qu'événements Syslog.
Pour plus d'informations sur les configurations Syslog, reportez-vous à la section Configuration système.
Omnissa Workspace ONE Tunnel
Pour plus d'informations, reportez-vous à la section Intégration des journaux d'accès et de Syslog et Configurer Omnissa Tunnel dans le guide Omnissa Workspace ONE UEM de la Documentation produit Omnissa.