> ## Documentation Index
> Fetch the complete documentation index at: https://docs.wirespeed.co/llms.txt
> Use this file to discover all available pages before exploring further.

# VMware vSphere

> Syslog von VMware vCenter Server und ESXi-Hosts weiterleiten

## Einrichtung

Eine Integration empfängt Syslog von vCenter Server und ESXi. Folgen Sie der gemeinsamen Anleitung [Log-Forwarder](https://docs.wirespeed.co/de/integrations/log-forwarders.md), um **VMware vSphere** hinzuzufügen und die **Forwarder-Details** zu öffnen (oder fragen Sie im Chat nach `ip:port` des Listeners).

### vCenter Server

1. Melden Sie sich an der vCenter Server Management Interface (`https://<vcenter>:5480`) als `root` an
2. Wählen Sie **Syslog**. Klicken Sie unter **Forwarding Configuration** auf **Configure** (oder auf **Edit**, wenn bereits ein Server eingerichtet ist)
3. Geben Sie Serveradresse und Port aus **Forwarder-Details** ein und setzen Sie **Protocol** passend zum angezeigten Transportprotokoll (UDP, TCP oder TLS). Bis zu drei Server werden unterstützt
4. Klicken Sie auf **Save** und anschließend auf **Send Test Message**. Bei UDP kann der Status **Unknown** anzeigen, auch wenn die Zustellung funktioniert
5. Um vCenter-Ereignisse weiterzuleiten, öffnen Sie den vSphere Client, wählen Sie den vCenter Server aus und öffnen Sie **Configure** > **Settings** > **Advanced Settings** > **Edit Settings**. Filtern Sie nach `vpxd.event`, stellen Sie sicher, dass `vpxd.event.syslog.enabled` aktiviert ist, und klicken Sie auf **Save**. Es werden nur Ereignisse gesendet, die nach diesem Zeitpunkt entstehen
6. Die Ereignisse werden in Kürze angezeigt

### ESXi-Hosts

1. Wählen Sie im vSphere Client den Host, öffnen Sie dann **Configure** > **System** > **Advanced System Settings** > **Edit** und filtern Sie nach `syslog`
2. Setzen Sie `Syslog.global.logHost` auf den Listener mit Protokoll und Port, zum Beispiel `udp://<ip>:<port>` oder `tcp://<ip>:<port>` (für TLS `ssl://<ip>:<port>`), und klicken Sie auf **OK**
3. Öffnen Sie unter ESXi 8.0 U2 und früher **Configure** > **System** > **Firewall** > **Edit**, wählen Sie auf der Registerkarte **Ungrouped** den Regelsatz **syslog** aus und klicken Sie auf **OK**. Ab ESXi 8.0 U3 wird der Syslog-Port automatisch geöffnet
4. Wiederholen Sie dies für jeden Host oder führen Sie `esxcli system syslog config set --loghost='<Wert>'`, dann `esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true` und anschließend `esxcli system syslog reload` aus

Wenn **Forwarder-Details** **TLS: Aktiviert** anzeigt:

* **ESXi**: Fügen Sie die Zertifizierungsstelle, die das Zertifikat von Wirespeed ausgestellt hat, dem Vertrauensspeicher jedes Hosts hinzu, entweder mit `esxcli system security certificatestore add -f <ca.pem>` oder indem Sie sie in vCenter veröffentlichen und auf dem Host **Certificates** > **Refresh CA Certificates** wählen. Führen Sie dann `esxcli system syslog config set --check-ssl-certs=true` und `esxcli system syslog reload` aus
* **vCenter**: vCenter muss der Zertifizierungsstelle vertrauen, die das Zertifikat von Wirespeed ausgestellt hat

Siehe [Syslog über TLS](https://docs.wirespeed.co/de/integrations/log-forwarders.md#syslog-über-tls).

## Geparste Ereignisse

Jede Zeile wird mit ihrem Produkt (`vcenter` oder `esxi`) und einem Stream gekennzeichnet:

* **vCenter-Ereignisse** (`vpxd_event`): Ereignisschlüssel, Teil, Erstellungszeit, `vim.event`-Typ, Schweregrad, Benutzer, Ziel, Ketten-ID und Meldung. Sitzungsereignisse mit falschem Benutzernamen werden als fehlgeschlagene Anmeldungen normalisiert. vCenter teilt lange Ereignisse in nummerierte Teile mit demselben Ereignisschlüssel auf; jeder Teil wird so gespeichert, wie er empfangen wurde. Dieser Stream erfordert `vpxd.event.syslog.enabled`.
* **Single Sign-On** (`sso`, `websso_audit`): erfolgreiche und fehlgeschlagene Anmeldungen des Security Token Service werden als Anmeldungen normalisiert, mit Benutzer, Mandant, Anbieter und Korrelations-ID, sofern vorhanden. SSO-Audit-Ereignisse behalten Benutzer, Client-IP und Typ; Anmeldeereignisse darunter werden als Anmeldungen normalisiert, mit dem Antwortcode, wenn die Beschreibung einen enthält.
* **Verzeichnis** (`vmdir`): blockierte Anmeldungen bei gesperrten Konten werden als Kontosperren gekennzeichnet.
* **Appliance-Audit** (`vcsa_audit`): auditd-Datensätze mit ihren Schlüsseln. `USER_LOGIN`-Datensätze werden als Anmeldungen normalisiert.
* **ESXi** (`esxi_hostd`, `esxi_vobd`, `esxi_sshd`, `esxi_shell`): akzeptierte und abgelehnte Host-Passwörter sowie SSH-Anmeldungen werden als Anmeldungen normalisiert. Kontosperren und die Aktivierung von SSH oder der ESXi Shell werden gekennzeichnet, und Shell-Befehle werden mit ihrem Benutzer gespeichert. Der Kontext `[Originator@6876 …]` (Vorgangs-ID, Sitzung, Benutzer) wird gespeichert, wenn er im RFC-5424-Header oder vor einer hostd- oder anderen vmacore-Meldung steht, und Zeilen, die durch das Remote-Längenlimit von ESXi gekürzt wurden, werden als abgeschnitten markiert.

Zeilen anderer vSphere-Dienste werden im Stream `other` mit App-Name und Meldung gespeichert.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.