オンプレミスの Microsoft Entra パスワード保護環境を監視してログを確認する

[アーティクル]
10/28/2023

Microsoft Entra パスワード保護のデプロイ後、監視とレポートは重要なタスクです。この記事では、各サービスが情報をログする場所や、Microsoft Entra パスワード保護の使用についてレポートを作成する方法など、さまざまな監視手法を理解できるように詳しく説明します。

監視およびレポート作成は、イベントログメッセージまたは PowerShell コマンドレットの実行によって行われます。 DC エージェントとプロキシサービスは両方とも、イベントログメッセージを記録します。以下で説明するすべての PowerShell コマンドレットは、プロキシサーバーでのみ使用できます (AzureADPasswordProtection PowerShell モジュールを参照)。 DC エージェントソフトウェアでは、PowerShell モジュールはインストールされません。

DC エージェントイベントのログ記録

各ドメインコントローラーでは、DC エージェントサービスソフトウェアによって、各個人のパスワード検証操作の結果 (およびその他の状態) がローカルのイベントログに書き込まれます。

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\DCAgent\Admin

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\DCAgent\Operational

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\DCAgent\Trace

DC エージェント管理ログは、ソフトウェアの動作に関する情報の主要なソースです。

トレースログは既定では無効になっていることに注意してください。

さまざまな DC エージェントコンポーネントによってログに記録されるイベントは、以下の範囲に当てはまります。

コンポーネント	イベント ID の範囲
DC エージェントのパスワードフィルター DLL	10000 から 19999
DC エージェントサービスのホスティングプロセス	20000 から 29999
DC エージェントサービスポリシー検証ロジック	30000 から 39999

DC エージェント管理イベントログ

パスワード検証結果イベント

各ドメインコントローラーでは、DC エージェントサービスソフトウェアによって、各個人のパスワード検証の結果が DC エージェント管理イベントログに書き込まれます。

パスワード検証操作が適切に実行されるために、通常、DC エージェントのパスワードフィルター dll から 1 つのイベントがログに記録されます。パスワード検証操作が失敗した場合、通常、DC エージェントサービスのイベントと DC エージェントパスワードフィルター DLL のイベントの 2 つがログに記録されます。

これらの状況をキャプチャする各イベントは、次の要因に基づいてログに記録されます。

特定のパスワードが設定されているか、変更されているか。
特定のパスワードの検証に合格したか、失敗したか。
Microsoft グローバルポリシーと組織ポリシーのどちらか一方または両方の組み合わせのために検証が失敗したか。
現在のパスワードポリシーで、監査のみモードが現在オンかオフか。

主なパスワード検証関連イベントは次のとおりです。

Event	パスワードの変更	パスワードの設定
合格	10014	10015
失敗 (顧客のパスワードポリシーのため)	10016、30002	10017、30003
失敗 (Microsoft のパスワードポリシーのため)	10016、30004	10017、30005
失敗 (Microsoft と顧客のパスワードポリシーの組み合わせのため)	10016、30026	10017、30027
失敗 (ユーザー名による)	10016、30021	10017、30022
監査のみの合格 (顧客のパスワードポリシーに失敗)	10024、30008	10025、30007
監査のみの合格 (Microsoft のパスワードポリシーに失敗)	10024、30010	10025、30009
監査のみの合格 (Microsoft と顧客のパスワードポリシーの組み合わせに失敗)	10024、30028	10025、30029
監査のみの合格 (ユーザー名のために失敗)	10016、30024	10017、30023

上の表のケースで "ポリシーの組み合わせ" となっているのは、Microsoft 禁止パスワードリストと顧客禁止パスワードリストの両方から少なくとも 1 つのトークンが、ユーザーのパスワードに含まれることが検出された状況を指します。

上の表のケースで "ユーザー名" に言及しているものは、ユーザーのアカウント名またはユーザーのフレンドリ名のいずれか、あるいはその両方が含まれているユーザーのパスワードが見つかった状況を示しています。どちらのシナリオでも、ポリシーが [強制] に設定されている場合はユーザーのパスワードが拒否され、ポリシーが監査モードの場合は合格となります。

イベントのペアが一緒に記録されるときは、同じ CorrelationId によって両方のイベントが明示的に関連付けられます。

PowerShell によるパスワード検証概要レポート

Get-AzureADPasswordProtectionSummaryReport コマンドレットを使用して、パスワード検証アクティビティの概要ビューを生成できます。このコマンドレットの出力例は次のとおりです。

Get-AzureADPasswordProtectionSummaryReport -DomainController bplrootdc2
DomainController                : bplrootdc2
PasswordChangesValidated        : 6677
PasswordSetsValidated           : 9
PasswordChangesRejected         : 10868
PasswordSetsRejected            : 34
PasswordChangeAuditOnlyFailures : 213
PasswordSetAuditOnlyFailures    : 3
PasswordChangeErrors            : 0
PasswordSetErrors               : 1

コマンドレットレポートのスコープは、-Forest、-Domain、-DomainController のいずれかのパラメーターの使用の影響を受けることがあります。パラメーターを指定しないと暗黙的に –Forest が指定されます。

Note

DC エージェントが 1 つの DC にのみインストールされる場合、Get-AzureADPasswordProtectionSummaryReport ではその DC からのみイベントが読み取られます。複数の DC からイベントを取得するには、各 DC に DC エージェントをインストールする必要があります。

Get-AzureADPasswordProtectionSummaryReport コマンドレットでは、DC エージェント管理イベントログのクエリが実行され、表示されている各結果カテゴリに対応するイベントの合計数がカウントされます。次の表では、各結果とそれに対応するイベント ID のマッピングを示します。

Get-AzureADPasswordProtectionSummaryReport のプロパティ	対応するイベント ID
PasswordChangesValidated	10014
PasswordSetsValidated	10015
PasswordChangesRejected	10016
PasswordSetsRejected	10017
PasswordChangeAuditOnlyFailures	10024
PasswordSetAuditOnlyFailures	10025
PasswordChangeErrors	10012
PasswordSetErrors	10013

Get-AzureADPasswordProtectionSummaryReport コマンドレットは、PowerShell スクリプトの形式で提供されており、必要な場合は、次の場所に直接参照できることに注意してください。

%ProgramFiles%\WindowsPowerShell\Modules\AzureADPasswordProtection\Get-AzureADPasswordProtectionSummaryReport.ps1

注意

このコマンドレットは、各ドメインコントローラーに対して PowerShell セッションを開くことで機能します。成功させるには、各ドメインコントローラーで PowerShell リモートセッションのサポートを有効にする必要があります。また、クライアントには十分な特権が必要です。 PowerShell のリモートセッション要件の詳細については、PowerShell ウィンドウで 'Get-Help about_Remote_Troubleshooting' を実行します。

注意

このコマンドレットは、各 DC エージェントサービスの管理イベントログに対するクエリをリモートで実行することで動作します。イベントログに多数のイベントが含まれている場合、コマンドレットの完了に時間がかかることがあります。また、大規模なデータセットの一括ネットワーククエリがドメインコントローラーのパフォーマンスに影響を与える可能性があります。そのため、このコマンドレットは、運用環境では慎重に使用する必要があります。

イベントログメッセージのサンプル

イベント ID 10014 (パスワードの変更に成功しました)

The changed password for the specified user was validated as compliant with the current Azure password policy.

UserName: SomeUser
FullName: Some User

イベント ID 10017 (パスワードの変更に失敗しました):

The reset password for the specified user was rejected because it did not comply with the current Azure password policy. Please see the correlated event log message for more details.

UserName: SomeUser
FullName: Some User

イベント ID 30003 (パスワードの変更に失敗しました):

The reset password for the specified user was rejected because it matched at least one of the tokens present in the per-tenant banned password list of the current Azure password policy.

UserName: SomeUser
FullName: Some User

イベント ID 10024 (ポリシーが監査専用モードであるためパスワードが受け入れられました)

The changed password for the specified user would normally have been rejected because it did not comply with the current Azure password policy. The current Azure password policy is con-figured for audit-only mode so the password was accepted. Please see the correlated event log message for more details. 
 
UserName: SomeUser
FullName: Some User

イベント ID 30008 (ポリシーが監査専用モードであるためパスワードが受け入れられました)

The changed password for the specified user would normally have been rejected because it matches at least one of the tokens present in the per-tenant banned password list of the current Azure password policy. The current Azure password policy is configured for audit-only mode so the password was accepted. 

UserName: SomeUser
FullName: Some User

イベント ID 30001 (使用可能なポリシーがないためパスワードが受け入れられました)

The password for the specified user was accepted because an Azure password policy is not available yet

UserName: SomeUser
FullName: Some User

This condition may be caused by one or more of the following reasons:%n

1. The forest has not yet been registered with Azure.

   Resolution steps: an administrator must register the forest using the Register-AzureADPasswordProtectionForest cmdlet.

2. An Azure AD password protection Proxy is not yet available on at least one machine in the current forest.

   Resolution steps: an administrator must install and register a proxy using the Register-AzureADPasswordProtectionProxy cmdlet.

3. This DC does not have network connectivity to any Azure AD password protection Proxy instances.

   Resolution steps: ensure network connectivity exists to at least one Azure AD password protection Proxy instance.

4. This DC does not have connectivity to other domain controllers in the domain.

   Resolution steps: ensure network connectivity exists to the domain.

イベント ID 30006 (新しいポリシーが適用されます)

The service is now enforcing the following Azure password policy.

 Enabled: 1
 AuditOnly: 1
 Global policy date: ‎2018‎-‎05‎-‎15T00:00:00.000000000Z
 Tenant policy date: ‎2018‎-‎06‎-‎10T20:15:24.432457600Z
 Enforce tenant policy: 1

イベント ID 30019 (Microsoft Entra パスワード保護が無効になっています)

The most recently obtained Azure password policy was configured to be disabled. All passwords submitted for validation from this point on will automatically be considered compliant with no processing performed.

No further events will be logged until the policy is changed.%n

DC エージェント操作ログ

DC エージェントサービスでは、操作関連のイベントも次のログに記録されます。

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\DCAgent\Operational

DC エージェントトレースログ

DC エージェントサービスでは、デバッグレベルの詳細なトレースイベントも次のログに記録できます。

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\DCAgent\Trace

トレースログは既定では無効です。

警告

有効にすると、トレースログは大量のイベントを受け取り、ドメインコントローラーのパフォーマンスに影響を与える可能性があります。そのため、この拡張ログは、問題を深く調査する必要がある場合にのみ、ごく短時間、有効にすることをお勧めします。

DC エージェントテキストログ

次のレジストリ値を設定することで、テキストログに書き込むように DC エージェントサービスを構成できます。

HKLM\System\CurrentControlSet\Services\AzureADPasswordProtectionDCAgent\Parameters!EnableTextLogging = 1 (REG_DWORD value)

テキストログは既定では無効です。この値の変更を有効にするには、DC エージェントサービスを再起動する必要があります。有効にすると、DC エージェントサービスは次の場所にあるログファイルに書き込みます。

%ProgramFiles%\Azure AD Password Protection DC Agent\Logs

ヒント

テキストログは、トレースログに記録できるものと同じデバッグレベルのエントリを受け取りますが、一般に、確認および分析するのが簡単な形式です。

警告

有効にすると、このログは大量のイベントを受け取り、ドメインコントローラーのパフォーマンスに影響を与える可能性があります。そのため、この拡張ログは、問題を深く調査する必要がある場合にのみ、ごく短時間、有効にすることをお勧めします。

DC エージェントのパフォーマンスの監視

DC エージェントサービスソフトウェアによって、Microsoft Entra パスワード保護というパフォーマンスカウンターオブジェクトがインストールされます。現在、次のパフォーマンスカウンターを使用できます。

パフォーマンスカウンター名	説明
Passwords processed	このカウンターには、前回の再起動以降に処理された (承認または拒否された) パスワードの合計数が表示されます。
Passwords accepted	このカウンターには、前回の再起動以降に承認されたパスワードの合計数が表示されます。
Passwords rejected	このカウンターには、前回の再起動以降に拒否されたパスワードの合計数が表示されます。
Password filter requests in progress	このカウンターには、現在進行中のパスワードフィルター要求の数が表示されます。
Peak password filter requests	このカウンターには、前回の再起動以降の同時パスワードフィルター要求のピーク数が表示されます。
Password filter request errors	このカウンターには、前回の再起動以降にエラーのために失敗したパスワードフィルター要求の合計数が表示されます。 Microsoft Entra パスワード保護 DC エージェントサービスが実行されていないと、エラーが発生する可能性があります。
Password filter requests/sec	このカウンターには、パスワードの処理速度が表示されます。
Password filter request processing time	このカウンターには、パスワードフィルター要求の処理に必要な平均時間が表示されます。
Peak password filter request processing time	このカウンターには、前回の再起動以降のパスワードフィルター要求のピーク処理時間が表示されます。
Passwords accepted due to audit mode	このカウンターには、通常は拒否されるところ、パスワードポリシーが監査モードに構成されていたために承認されたパスワードの合計数 (前回の再起動以降) が表示されます。

DC エージェントの検出

Get-AzureADPasswordProtectionDCAgent コマンドレットを使用すると、ドメインまたはフォレスト内で実行されているさまざまな DC エージェントに関する基本的な情報を表示できます。この情報は、実行中の DC エージェントサービスによって登録された serviceConnectionPoint オブジェクトから取得されます。

このコマンドレットの出力例は次のとおりです。

Get-AzureADPasswordProtectionDCAgent
ServerFQDN            : bplChildDC2.bplchild.bplRootDomain.com
Domain                : bplchild.bplRootDomain.com
Forest                : bplRootDomain.com
PasswordPolicyDateUTC : 2/16/2018 8:35:01 AM
HeartbeatUTC          : 2/16/2018 8:35:02 AM

さまざまなプロパティは、各 DC エージェントサービスによって約 1 時間ごとに更新されます。さらに、データは Active Directory レプリケーションの待機時間の影響を受けます。

コマンドレットのクエリの範囲は、-Forest パラメーターまたは -Domain パラメーターの使用の影響を受ける可能性があります。

HeartbeatUTC の値が古い場合は、そのドメインコントローラーの Microsoft Entra パスワード保護 DC エージェントが実行されていない、アンインストールされている、またはマシンが降格されてドメインコントローラーではなくなっていることを示している可能性があります。

PasswordPolicyDateUTC の値が古くなった場合は、そのマシンの Microsoft Entra パスワード保護 DC エージェントが正しく動作していないことを示している可能性があります。

DC エージェントの新しいバージョンが使用可能

DC エージェントサービスは、新しいバージョンの DC エージェントソフトウェアがあることを検出すると、30034 警告イベントを操作ログに記録します。その例を次に示します。

An update for Azure AD Password Protection DC Agent is available.

If autoupgrade is enabled, this message may be ignored.

If autoupgrade is disabled, refer to the following link for the latest version available:

https://aka.ms/AzureADPasswordProtectionAgentSoftwareVersions

Current version: 1.2.116.0

前述のイベントには、新しいソフトウェアのバージョンが明記されていません。その情報については、イベントメッセージに記載されたリンク先にアクセスする必要があります。

Note

前述のイベントメッセージでは自動アップグレード ("autoupgrade") について触れられていますが、現在 DC エージェントソフトウェアでは、その機能はサポートされません。

プロキシサービスイベントログ

プロキシサービスでは、次のイベントログに最小セットのイベントが生成されます。

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\ProxyService\Admin

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\ProxyService\Operational

\Applications and Services Logs\Microsoft\AzureADPasswordProtection\ProxyService\Trace

トレースログは既定では無効になっていることに注意してください。

警告

有効にすると、トレースログは大量のイベントを受け取り、プロキシホストのパフォーマンスに影響を与える可能性があります。そのため、このログは、問題を深く調査する必要がある場合にのみ、ごく短時間、有効にすることをお勧めします。

イベントは、以下の範囲を使用して、さまざまなプロキシコンポーネントによってログに記録されます。

コンポーネント	イベント ID の範囲
プロキシサービスのホスティングプロセス	10000 から 19999
プロキシサービスのコアビジネスロジック	20000 から 29999
PowerShell コマンドレット	30000 から 39999

プロキシサービステキストログ

次のレジストリ値を設定することで、テキストログに書き込むようにプロキシサービスを構成できます。

HKLM\System\CurrentControlSet\Services\AzureADPasswordProtectionProxy\Parameters!EnableTextLogging = 1 (REG_DWORD 値)

テキストログは既定では無効です。この値の変更を有効にするには、プロキシサービスを再起動する必要があります。有効にすると、プロキシサービスは次の場所にあるログファイルに書き込みます。

%ProgramFiles%\Azure AD Password Protection Proxy\Logs

ヒント

警告

有効にすると、このログは大量のイベントを受け取り、コンピューターのパフォーマンスに影響を与える可能性があります。そのため、この拡張ログは、問題を深く調査する必要がある場合にのみ、ごく短時間、有効にすることをお勧めします。

PowerShell コマンドレットログ

状態が変換する PowerShell コマンドレット (たとえば、Register-AzureADPasswordProtectionProxy) では、通常、操作ログに結果イベントが記録されます。

さらに、ほとんどの Microsoft Entra パスワード保護 PowerShell コマンドレットでは、次の場所にあるテキストログに書き込まれます。

%ProgramFiles%\Azure AD Password Protection Proxy\Logs

コマンドレットエラーが発生し、原因や解決策がすぐにわからない場合は、テキストログも参考になる可能性があります。

プロキシの検出

Get-AzureADPasswordProtectionProxy コマンドレットを使用すると、ドメインまたはフォレスト内で実行されているさまざまな Microsoft Entra パスワード保護プロキシサービスに関する基本的な情報を表示できます。この情報は、実行中のプロキシサービスによって登録された serviceConnectionPoint オブジェクトから取得されます。

このコマンドレットの出力例は次のとおりです。

Get-AzureADPasswordProtectionProxy
ServerFQDN            : bplProxy.bplchild2.bplRootDomain.com
Domain                : bplchild2.bplRootDomain.com
Forest                : bplRootDomain.com
HeartbeatUTC          : 12/25/2018 6:35:02 AM

さまざまなプロパティは、各プロキシサービスによって約 1 時間ごとに更新されます。さらに、データは Active Directory レプリケーションの待機時間の影響を受けます。

コマンドレットのクエリの範囲は、-Forest パラメーターまたは -Domain パラメーターの使用の影響を受ける可能性があります。

HeartbeatUTC の値が古い場合は、そのコンピューターの Microsoft Entra パスワード保護プロキシが実行されていないか、アンインストールされていることを示している可能性があります。

プロキシエージェントの新しいバージョンが使用可能

プロキシエージェントサービスは、新しいバージョンのプロキシソフトウェアがあることを検出すると、20002 警告イベントを操作ログに記録します。その例を次に示します。

An update for Azure AD Password Protection Proxy is available.

If autoupgrade is enabled, this message may be ignored.

If autoupgrade is disabled, refer to the following link for the latest version available:

https://aka.ms/AzureADPasswordProtectionAgentSoftwareVersions

Current version: 1.2.116.0
.

自動アップグレードを有効にしてプロキシエージェントを構成した場合でも、このイベントは生成されます。

次のステップ

Microsoft Entra パスワード保護のトラブルシューティング

グローバルおよびカスタムの禁止パスワードリストの詳細については、不適切なパスワードの禁止に関する記事を参照してください。