ソース開始サブスクリプションの設定

[アーティクル]
06/03/2023

ソースによって開始されるサブスクリプションを使用すると、イベントソースコンピューターを定義せずにイベントコレクターコンピューターでサブスクリプションを定義できます。その後、複数のリモートイベントソースコンピューターを (グループポリシー設定を使用して) 設定してイベントコレクターコンピューターにイベントを転送できます。コレクターによって開始されるサブスクリプションモデルでは、イベントコレクターがイベントサブスクリプション内のすべてのイベントソースを定義する必要があるため、これはコレクターによって開始されるサブスクリプションとは異なります。

ソースによって開始されるサブスクリプションを設定する場合は、イベントソースコンピューターがイベントコレクターコンピューターと同じドメインにあるかどうかを検討します。次のセクションでは、イベントソースが同じドメインにある場合、またはイベントコレクターコンピューターと同じドメインにない場合に従う手順について説明します。

注意

ローカルまたはリモートのドメイン内の任意のコンピューターは、イベントコレクターにすることができます。ただし、イベントコレクターを選択するときは、イベントの大部分が生成される場所にトポロジ的に近いコンピューターを選択することが重要です。 WAN 上の離れたネットワーク上の場所にあるマシンにイベントを送信すると、イベント収集の全体的なパフォーマンスと効率を低下させることができます。

イベントソースがイベントコレクターコンピューターと同じドメインにあるソースによって開始されるサブスクリプションを設定する

ソースによって開始されるサブスクリプションを設定するには、イベントソースコンピューターとイベントコレクターコンピューターの両方を構成する必要があります。

注意

これらの手順では、リモートコンピューターまたはコンピューターがイベントを収集するように構成されるドメインにサービスを提供する Windows Server ドメインコントローラーへの管理者アクセス権があることを前提としています。

イベントソースコンピューターの構成

Windows Server ドメインコントローラーの管理者特権コマンドプロンプトから次のコマンドを実行して、Windows リモート管理を構成します。

winrm qc -q
次のコマンドを実行して、グループポリシーを開始します。

%SYSTEMROOT%\System32\gpedit.msc
[ コンピューターの構成 ] ノードで、[ 管理用テンプレート ] ノードを展開し、[ Windows コンポーネント] ノードを展開して、[ イベント転送 ] ノードを選択します。
SubscriptionManager 設定を右クリックし、[プロパティ] を選択します。 SubscriptionManager 設定を有効にし、[表示] ボタンをクリックしてサーバーアドレスを設定に追加します。イベントコレクターコンピューターを指定する設定を少なくとも 1 つ追加します。 [SubscriptionManager のプロパティ] ウィンドウには、設定の構文を説明する [説明] タブが表示されます。
SubscriptionManager 設定が追加されたら、次のコマンドを実行してポリシーが適用されていることを確認します。

gpupdate /force

イベントコレクターコンピューターの構成

Windows Server ドメインコントローラーの管理者特権コマンドプロンプトから次のコマンドを実行して、Windows リモート管理を構成します。

winrm qc -q
次のコマンドを実行して、イベントコレクターサービスを構成します。

wecutil qc /q
ソースによって開始されるサブスクリプションを作成します。これは、プログラムで、イベントビューアーを使用するか、 Wecutil.exeを使用して行うことができます。プログラムでサブスクリプションを作成する方法の詳細については、「ソース開始サブスクリプションの作成」のコード例を参照してください。 Wecutil.exeを使用する場合は、イベントサブスクリプション XML ファイルを作成し、次のコマンドを使用する必要があります。

wecutil csconfigurationFile.xml

次の XML は、リモートコンピューターのアプリケーションイベントログからイベントコレクターコンピューターの ForwardedEvents ログにイベントを転送する、ソースによって開始されるサブスクリプションを作成するサブスクリプション構成ファイルの内容の例です。
```
<Subscription xmlns="http://schemas.microsoft.com/2006/03/windows/events/subscription">
    <SubscriptionId>SampleSISubscription</SubscriptionId>
    <SubscriptionType>SourceInitiated</SubscriptionType>
    <Description>Source Initiated Subscription Sample</Description>
    <Enabled>true</Enabled>
    <Uri>http://schemas.microsoft.com/wbem/wsman/1/windows/EventLog</Uri>

    
    <ConfigurationMode>Custom</ConfigurationMode>

    <Delivery Mode="Push">
        <Batching>
            <MaxItems>1</MaxItems>
            <MaxLatencyTime>1000</MaxLatencyTime>
        </Batching>
        <PushSettings>
            <Heartbeat Interval="60000"/>
        </PushSettings>
    </Delivery>

    <Expires>2018-01-01T00:00:00.000Z</Expires>

    <Query>
        <![CDATA[
            <QueryList>
                <Query Path="Application">
                    <Select>Event[System/EventID='999']</Select>
                </Query>
            </QueryList>
        ]]>
    </Query>

    <ReadExistingEvents>true</ReadExistingEvents>
    <TransportName>http</TransportName>
    <ContentFormat>RenderedText</ContentFormat>
    <Locale Language="en-US"/>
    <LogFile>ForwardedEvents</LogFile>
    <AllowedSourceNonDomainComputers></AllowedSourceNonDomainComputers>
    <AllowedSourceDomainComputers>O:NSG:NSD:(A;;GA;;;DC)(A;;GA;;;NS)</AllowedSourceDomainComputers>
</Subscription>
```
注意

ソースによって開始されるサブスクリプションを作成するときに、AllowedSourceDomainComputers、AllowedSourceNonDomainComputers/IssuerCAList、AllowedSubjectList、DeniedSubjectList がすべて空の場合は、"O:NSG:NSD:(A;;GA;;;DC)(A;;ジョージア州;;;NS)" は AllowedSourceDomainComputers の既定のセキュリティ記述子として使用されます。既定の記述子は、ドメインコンピュータードメイングループのメンバーとローカルネットワークサービスグループ (ローカルフォワーダーの場合) に、このサブスクリプションのイベントを発生させる機能を付与します。

サブスクリプションが正しく動作することを検証するには

イベントコレクターコンピューターで、次の手順を実行します。
1. Windows Server ドメインコントローラーの管理者特権コマンドプロンプトから次のコマンドを実行して、サブスクリプションのランタイム状態を取得します。
  
  wecutil gr<subscriptionID>
2. イベントソースが接続されていることを確認します。イベントソースを接続するためのサブスクリプションを作成した後、ポリシーで指定された更新間隔が終了するまで待つ必要がある場合があります。
3. 次のコマンドを実行して、サブスクリプション情報を取得します。
  
  wecutil gs<subscriptionID>
4. サブスクリプション情報から DeliveryMaxItems 値を取得します。
イベントソースコンピューターで、イベントサブスクリプションのクエリに一致するイベントを発生させます。イベントを転送するには、DeliveryMaxItems イベントの数を発生させる必要があります。
イベントコレクターコンピューターで、イベントが ForwardedEvents ログまたはサブスクリプションで指定されたログに転送されていることを確認します。

セキュリティログの転送

セキュリティログを転送できるようにするには、NETWORK SERVICE アカウントを EventLog Readers グループに追加する必要があります。

イベントソースがイベントコレクターコンピューターと同じドメインにないソースによって開始されるサブスクリプションを設定する

注意

これらの手順では、Windows Server ドメインコントローラーへの管理者アクセス権があることを前提としています。この場合、リモートイベントコレクターコンピューターまたはコンピューターはドメインコントローラーによって提供されるドメイン内にないため、サービス (services.msc) を使用して Windows リモート管理を "自動" に設定して個々のクライアントを起動することが不可欠です。または、各リモートクライアントで "winrm quickconfig" を実行することもできます。

サブスクリプションを作成する前に、次の前提条件を満たす必要があります。

イベントコレクターコンピューターで、管理者特権コマンドプロンプトから次のコマンドを実行して、Windows リモート管理とイベントコレクターサービスを構成します。

winrm qc -q

wecutil qc /q
コレクターコンピューターには、ローカルコンピューターの証明書ストアにサーバー認証証明書 (サーバー認証目的の証明書) が必要です。
イベントソースコンピューターで、次のコマンドを実行して Windows リモート管理を構成します。

winrm qc -q
ソースコンピューターには、ローカルコンピューターの証明書ストアにクライアント認証証明書 (クライアント認証目的の証明書) が必要です。
ポート 5986 がイベントコレクターコンピューターで開かれます。このポートを開くには、コマンドを実行します。

netsh ファイアウォールを追加ポートオープン TCP 5986 "Winrm HTTPS リモート管理"

証明書の要件

サーバー認証証明書は、ローカルコンピューターの個人用ストアのイベントコレクターコンピューターにインストールする必要があります。この証明書のサブジェクトは、コレクターの FQDN と一致する必要があります。
クライアント認証証明書は、ローカルコンピューターの個人用ストアのイベントソースコンピューターにインストールする必要があります。この証明書のサブジェクトは、コンピューターの FQDN と一致する必要があります。
クライアント証明書がイベントコレクターの証明書とは異なる証明機関によって発行されている場合は、それらのルート証明書と中間証明書もイベントコレクターにインストールする必要があります。
クライアント証明書が中間証明機関によって発行され、コレクターが Windows 2012 以降を実行している場合は、次のレジストリキーを構成する必要があります。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\Schannel\ClientAuthTrustMode (DWORD) = 2
サーバーとクライアントの両方が、すべての証明書で失効状態を正常にチェックできることを確認します。 certutil コマンドを使用すると、エラーのトラブルシューティングに役立てることができます。

詳細については、次の記事を参照してください。 https://technet.microsoft.com/library/dn786429(v=ws.11).aspx

イベントコレクターでリスナーを設定する

次のコマンドを使用して証明書認証を設定します。

winrm set winrm/config/service/auth @{Certificate="true"}
サーバー認証証明書のサムプリントを含む WinRM HTTPS リスナーは、イベントコレクターコンピューターに存在する必要があります。これは、次のコマンドを使用して確認できます。

winrm e winrm/config/listener
HTTPS リスナーが表示されない場合、または HTTPS リスナーのサムプリントがコレクターコンピューター上のサーバー認証証明書のサムプリントと同じでない場合は、そのリスナーを削除し、正しいサムプリントを使用して新しいリスナーを作成できます。 https リスナーを削除するには、次のコマンドを使用します。

winrm delete winrm/config/Listener?Address=*+Transport=HTTPS

新しいリスナーを作成するには、次のコマンドを使用します。

winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname="<コレクター>の FQDN";CertificateThumbprint="<サーバー認証証明書>のサムプリント"}

イベントコレクターで証明書マッピングを構成する

新しいローカルユーザーを作成します。
マシンの "信頼されたルート証明機関" または "中間証明機関" に存在する証明書を使用して、証明書マッピングを作成します。

これは、イベントソースコンピューターにインストールされている証明書を発行したルート CA または中間 CA の証明書です (混乱を避けるために、これは証明書チェーン内の証明書のすぐ上にある CA です)。

winrm create winrm/config/service/certmapping?発行元CA 証明書>の Issuer=<Thumbprint+Subject=*+URI=* @{UserName="<username>";Password="<password>"} -remote:localhost
クライアントから、次のコマンドを使用してリスナーと証明書マッピングをテストします。

winrm g winrm/config -r:https://<イベントコレクターの FQDN>:5986 -a:certificate -certificate:"<クライアント認証証明書>の拇印"

これにより、イベントコレクターの WinRM 構成が返されます。構成が表示されない場合は、この手順を超えて移動しないでください。

この手順では何が起こりますか?
- クライアントはイベントコレクターに接続し、指定した証明書を送信します
- イベントコレクターは発行元の CA を検索し、が一致する証明書マッピングであるかどうかを確認します
- イベントコレクターは、クライアント証明書チェーンと失効状態を検証します
- 上記の手順が成功した場合は、認証が完了します。

注意

認証方法に関して不平を言う Access 拒否エラーが発生する可能性があり、誤解を招く可能性があります。トラブルシューティングを行うには、イベントコレクターで CAPI ログをチェックします。

winrm enum winrm/config/service/certmapping コマンドを使用して、構成された certmapping エントリを一覧表示します。

イベントソースコンピューターの構成

管理者アカウントでログオンし、ローカルグループポリシーエディター (gpedit.msc) を開きます
ローカルコンピューターポリシー\コンピューター構成\管理用テンプレート\Windows コンポーネント\イベント転送に移動します。
"ターゲットサブスクリプションマネージャーのサーバーアドレス、更新間隔、発行者証明機関を構成する" ポリシーを開きます。
ポリシーを有効にし、[SubscriptionManagers]\(サブスクリプション\) [Show...]\(表示...\) をクリックします。ボタン。
[SubscriptionManagers] ウィンドウで、次の文字列を入力します。

Server=HTTPS://<イベントコレクターサーバー>の FQDN:5986/wsman/SubscriptionManager/WEC,Refresh=<更新間隔 (秒単位)>、IssuerCA=<発行元 CA 証明書の拇印>
次のコマンドラインを実行して、ローカルグループポリシー設定を更新します:Gpupdate /force
これらの手順では、ソースコンピューターでイベント 104 イベントビューアーアプリケーションとサービスログ\Microsoft\Windows\Eventlog-ForwardingPlugin\Operational ログを生成する必要があります。次のメッセージが表示されます。

"フォワーダーは、アドレス <FQDN>でサブスクリプションマネージャーに正常に接続され、その後にイベント 100 が続き、"サブスクリプション <sub_name> が正常に作成されました" というメッセージが表示されました。
イベントコレクターで、[サブスクリプションランタイムの状態] に 1 台のアクティブなコンピューターが表示されます。
イベントコレクターで ForwardedEvents ログを開き、ソースコンピューターからイベントが転送されている場合はチェックします。

イベントソースのクライアント証明書の秘密キーに対するアクセス許可を付与する

イベントソースコンピューターでローカルコンピューターの証明書管理コンソールを開きます。
クライアント証明書を右クリックし、[秘密キーの管理] をクリックします。
NETWORK SERVICE ユーザーに読み取りアクセス許可を付与します。

イベントサブスクリプションの構成

イベントコレクターでイベントビューアーを開き、[サブスクリプション] ノードに移動します。
[サブスクリプション] を右クリックし、[サブスクリプションの作成]を選択します。
新しいサブスクリプションの名前と説明 (省略可能) を指定します。
[ソースコンピューターが開始されました] オプションを選択し、[コンピューターグループの選択]をクリックします。
[コンピューターグループ] で、[ドメイン以外のコンピューターの追加]をクリックします。イベントソースのホスト名を入力します。
[証明書の追加]をクリックします。クライアント証明書を発行する証明機関の証明書を追加します。 [証明書の表示] をクリックして証明書を検証できます。
[証明機関] で [OK] をクリックして証明書を追加します。
コンピューターの追加が完了したら、[OK] をクリックします。
[サブスクリプションのプロパティ] に戻り、[イベントの選択] をクリックします。
イベントレベル、イベントログ、またはイベントソース、イベント ID、その他のフィルターオプションを指定して、イベントクエリフィルターを構成します。
[サブスクリプションのプロパティ] に戻り、[詳細設定] をクリックします。
ソースイベントからイベントコレクターへのイベント配信の最適化オプションのいずれかを選択するか、既定の標準のままにします。
1. 帯域幅の最小化: イベントが配信され、帯域幅を節約する頻度が少なくなります。
2. 待機時間の最小化: イベントは発生するとすぐに配信され、イベントの待機時間が短縮されます。
[プロトコル] を [HTTPS] に変更し、[OK] をクリックします。
[OK] をクリックして新しいサブスクリプションを作成します。
右クリックして [ランタイムの状態] を選択して、サブスクリプションのランタイム状態を確認します

ソース開始サブスクリプションの設定

イベントソースがイベントコレクターコンピューターと同じドメインにあるソースによって開始されるサブスクリプションを設定する

イベントソースコンピューターの構成

イベントコレクターコンピューターの構成

サブスクリプションが正しく動作することを検証するには

セキュリティログの転送

イベントソースがイベントコレクターコンピューターと同じドメインにないソースによって開始されるサブスクリプションを設定する

証明書の要件

イベントコレクターでリスナーを設定する

イベントコレクターで証明書マッピングを構成する

イベントソースコンピューターの構成

イベントソースのクライアント証明書の秘密キーに対するアクセス許可を付与する

イベントサブスクリプションの構成

フィードバック

フィードバック

その他のリソース

ソース開始サブスクリプションの設定

イベント ソースがイベント コレクター コンピューターと同じドメインにあるソースによって開始されるサブスクリプションを設定する

イベント ソース コンピューターの構成

イベント コレクター コンピューターの構成

サブスクリプションが正しく動作することを検証するには

セキュリティ ログの転送

イベント ソースがイベント コレクター コンピューターと同じドメインにないソースによって開始されるサブスクリプションを設定する

証明書の要件

イベント コレクターでリスナーを設定する

イベント コレクターで証明書マッピングを構成する

イベント ソース コンピューターの構成

イベント ソースのクライアント証明書の秘密キーに対するアクセス許可を付与する

イベント サブスクリプションの構成

フィードバック

フィードバック

その他のリソース

イベントソースがイベントコレクターコンピューターと同じドメインにあるソースによって開始されるサブスクリプションを設定する

イベントソースコンピューターの構成

イベントコレクターコンピューターの構成

セキュリティログの転送

イベントソースがイベントコレクターコンピューターと同じドメインにないソースによって開始されるサブスクリプションを設定する

イベントコレクターでリスナーを設定する

イベントコレクターで証明書マッピングを構成する

イベントソースコンピューターの構成

イベントソースのクライアント証明書の秘密キーに対するアクセス許可を付与する

イベントサブスクリプションの構成