編集部ファイルサーバーの運用において、いつ・だれが・どのファイルへどのようなアクセスをしたのかといった監査証跡の保管は、ファイルサーバーの運用を考えるうえで無視できないテーマである。Analyticsへ保存する方法を調査し、実装してみることにした。Analyticsと記す。以下のようなメリットが期待できる。Analyticsは膨大なデータを取り込み、分析することをターゲットに設計されている。このため、大量に蓄積されるWindowsファイルサーバーログエントリから目的のログを快適に検索できることが期待できる。Analyticsワークスペースを複数のサーバーで共有し、ひとつのワークスペースにイベントログを集約することもできる。AnalyticsはAzureによるマネージドサービスとして提供されるため、基盤の可用性を心配する必要がない。ディスク空き容量の心配は必要ないし、ログを守るためにストレージ基盤を監視する必要もない。任意のスクリプトをトリガーさせることができる。業務上機密性の高いファイルへのアクセスログを検知し、メール通知するといったような使い方ができるだろう。AnalyticsへWindowsファイルサーバーログを集約するにあたり、必要となるAzureのリソースは主に以下のとおりである。仮想マシンからログを収集する。エージェントは、Windowsサーバーのイベントログを収集する機能を持つが、ファイルサーバーの監査ログについては、セキュリティセンターのStandardプランが必要となる点に注意が必要だ。Analyticsの最長ログ保存期間は730日となっている。Analyticsのレコードを別の場所へエクスポートする方法を確立しておく必要がある。今回の構成において、ログの取得と保管に関連する課金要素は以下の通りだ。エージェントがインストールされている。Analyticsの管理画面からWindowsファイルサーバー用仮想マシンを選択し、予めワークスペースに接続しておこう。エージェントのネットワーク接続要件は以下のように定義されている。以下の通信先にアウトバウンド接続できるようネットワークを構成しておこう。Centerの「Standard」プランが必要だ。“カバレッジ”から、「Standard」プランを選び保存すればよい。Centerで追加の設定が必要だ。Analyticsに送信されるようになる。Analyticsへ蓄積させるためには、Windowsファイルサーバーが共有フォルダへのアクセスをログに残すよう構成する必要がある。古い記事だが、ファイルアクセス監査および共有フォルダに対するアクセス監査の概念とその有効化方法ついては以下の記事が参考になるだろう。OSのバージョンと、監査目的に合わせ設定が異なる可能性がある点には注意が必要だ。共有フォルダ側では、「共有フォルダの監査エントリ」を以下の通り有効とした。Analyticsで監査ログがどう見えるのかを確認してみよう。今回はファイルの内容変更して保存したあと、以下のクエリを実行した。Analyticsがあらかじめ解析し、検索条件として補完してくれるようになっている。このため、上記クエリも迷うことなく直感的に書くことができた。Analyticsの1つのレコードとしてファイルサーバー監査ログが格納されているのがわかる。Analyticsレコードの子要素として認識されていた。クエリに正規表現を利用可能な点も、欲しいログの直感的な検索に大きく貢献する。アクセスマスクが”0x2′′かつ追跡対象のファイル名を検索条件とすることで、任意のファイルに対する変更(作成・追加)履歴を容易に抽出できるといった具合だ。OSのイベントビューアと比較して大きなアドバンテージとなるだろう。Shellなど別のツールとの組み合わせが必要となるためだ。Analyticsの組み合わせにより、Winodwsファイルサーバーのアクセスログを最大2年間蓄積し、直感的なクエリ言語で簡単にログを検索し活用することができる。Windowsファイルサーバーのアクセスログのみならず、Windowsサーバーイベントログについても同様の手法で蓄積し検索できる。Analyticsへ集約すること可能なため、ログの蓄積と活用にお困りの場合は、利用を検討してみてはどうだろうか。日商エレクトロニクス特設サイト「日商エレ+Azure」サイトマスターです。EnterpriseZine】2019.10.07用語集VDI(仮想デスクトップ)2019.10.07用語集リモートアクセス2019.10.07用語集MDM(モバイルデバイス管理)ブログ記事リクエスト受付中!Azureエンジニアに書いてほしい記事があれば、ここからリクエストをしてください。