Zum Hauptinhalt springen

​
Einrichtung

Eine Integration empfängt Syslog von vCenter Server und ESXi. Folgen Sie der gemeinsamen Anleitung Log-Forwarder, um VMware vSphere hinzuzufügen und die Forwarder-Details zu öffnen (oder fragen Sie im Chat nach ip:port des Listeners).

​
vCenter Server

  1. Melden Sie sich an der vCenter Server Management Interface (https://<vcenter>:5480) als root an
  2. Wählen Sie Syslog. Klicken Sie unter Forwarding Configuration auf Configure (oder auf Edit, wenn bereits ein Server eingerichtet ist)
  3. Geben Sie Serveradresse und Port aus Forwarder-Details ein und setzen Sie Protocol passend zum angezeigten Transportprotokoll (UDP, TCP oder TLS). Bis zu drei Server werden unterstützt
  4. Klicken Sie auf Save und anschließend auf Send Test Message. Bei UDP kann der Status Unknown anzeigen, auch wenn die Zustellung funktioniert
  5. Um vCenter-Ereignisse weiterzuleiten, öffnen Sie den vSphere Client, wählen Sie den vCenter Server aus und öffnen Sie Configure > Settings > Advanced Settings > Edit Settings. Filtern Sie nach vpxd.event, stellen Sie sicher, dass vpxd.event.syslog.enabled aktiviert ist, und klicken Sie auf Save. Es werden nur Ereignisse gesendet, die nach diesem Zeitpunkt entstehen
  6. Die Ereignisse werden in Kürze angezeigt

​
ESXi-Hosts

  1. Wählen Sie im vSphere Client den Host, öffnen Sie dann Configure > System > Advanced System Settings > Edit und filtern Sie nach syslog
  2. Setzen Sie Syslog.global.logHost auf den Listener mit Protokoll und Port, zum Beispiel udp://<ip>:<port> oder tcp://<ip>:<port> (für TLS ssl://<ip>:<port>), und klicken Sie auf OK
  3. Öffnen Sie unter ESXi 8.0 U2 und früher Configure > System > Firewall > Edit, wählen Sie auf der Registerkarte Ungrouped den Regelsatz syslog aus und klicken Sie auf OK. Ab ESXi 8.0 U3 wird der Syslog-Port automatisch geöffnet
  4. Wiederholen Sie dies für jeden Host oder führen Sie esxcli system syslog config set --loghost='<Wert>', dann esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true und anschließend esxcli system syslog reload aus
Wenn Forwarder-Details TLS: Aktiviert anzeigt:
  • ESXi: Fügen Sie die Zertifizierungsstelle, die das Zertifikat von Wirespeed ausgestellt hat, dem Vertrauensspeicher jedes Hosts hinzu, entweder mit esxcli system security certificatestore add -f <ca.pem> oder indem Sie sie in vCenter veröffentlichen und auf dem Host Certificates > Refresh CA Certificates wählen. Führen Sie dann esxcli system syslog config set --check-ssl-certs=true und esxcli system syslog reload aus
  • vCenter: vCenter muss der Zertifizierungsstelle vertrauen, die das Zertifikat von Wirespeed ausgestellt hat
Siehe Syslog über TLS.

​
Geparste Ereignisse

Jede Zeile wird mit ihrem Produkt (vcenter oder esxi) und einem Stream gekennzeichnet:
  • vCenter-Ereignisse (vpxd_event): Ereignisschlüssel, Teil, Erstellungszeit, vim.event-Typ, Schweregrad, Benutzer, Ziel, Ketten-ID und Meldung. Sitzungsereignisse mit falschem Benutzernamen werden als fehlgeschlagene Anmeldungen normalisiert. vCenter teilt lange Ereignisse in nummerierte Teile mit demselben Ereignisschlüssel auf; jeder Teil wird so gespeichert, wie er empfangen wurde. Dieser Stream erfordert vpxd.event.syslog.enabled.
  • Single Sign-On (sso, websso_audit): erfolgreiche und fehlgeschlagene Anmeldungen des Security Token Service werden als Anmeldungen normalisiert, mit Benutzer, Mandant, Anbieter und Korrelations-ID, sofern vorhanden. SSO-Audit-Ereignisse behalten Benutzer, Client-IP und Typ; Anmeldeereignisse darunter werden als Anmeldungen normalisiert, mit dem Antwortcode, wenn die Beschreibung einen enthält.
  • Verzeichnis (vmdir): blockierte Anmeldungen bei gesperrten Konten werden als Kontosperren gekennzeichnet.
  • Appliance-Audit (vcsa_audit): auditd-Datensätze mit ihren Schlüsseln. USER_LOGIN-Datensätze werden als Anmeldungen normalisiert.
  • ESXi (esxi_hostd, esxi_vobd, esxi_sshd, esxi_shell): akzeptierte und abgelehnte Host-Passwörter sowie SSH-Anmeldungen werden als Anmeldungen normalisiert. Kontosperren und die Aktivierung von SSH oder der ESXi Shell werden gekennzeichnet, und Shell-Befehle werden mit ihrem Benutzer gespeichert. Der Kontext [Originator@6876 …] (Vorgangs-ID, Sitzung, Benutzer) wird gespeichert, wenn er im RFC-5424-Header oder vor einer hostd- oder anderen vmacore-Meldung steht, und Zeilen, die durch das Remote-Längenlimit von ESXi gekürzt wurden, werden als abgeschnitten markiert.
Zeilen anderer vSphere-Dienste werden im Stream other mit App-Name und Meldung gespeichert.