VMware vSphere

​

Configuration

​

vCenter Server

1. Connectez-vous à l’interface de gestion de vCenter Server (https://<vcenter>:5480) en tant que root
2. Sélectionnez Syslog. Dans Forwarding Configuration, cliquez sur Configure (ou sur Edit si un serveur est déjà configuré)
3. Saisissez l’adresse du serveur et le port indiqués dans Détails du redirecteur, et réglez Protocol selon le transport indiqué (UDP, TCP ou TLS). Jusqu’à trois serveurs sont pris en charge
4. Cliquez sur Save, puis sur Send Test Message. En UDP, l’état peut afficher Unknown même lorsque la livraison fonctionne
5. Pour transférer les événements vCenter, ouvrez le vSphere Client, sélectionnez le vCenter Server, puis accédez à Configure > Settings > Advanced Settings > Edit Settings. Filtrez sur vpxd.event, vérifiez que vpxd.event.syslog.enabled est activé, puis cliquez sur Save. Seuls les événements générés après ce moment sont envoyés
6. Les événements commenceront à apparaître sous peu

​

Hôtes ESXi

1. Dans le vSphere Client, sélectionnez l’hôte, puis accédez à Configure > System > Advanced System Settings > Edit et filtrez sur syslog
2. Définissez Syslog.global.logHost sur l’écouteur avec son protocole et son port, par exemple udp://<ip>:<port> ou tcp://<ip>:<port> (utilisez ssl://<ip>:<port> pour TLS), puis cliquez sur OK
3. Sous ESXi 8.0 U2 et versions antérieures, accédez à Configure > System > Firewall > Edit, sélectionnez l’ensemble de règles syslog dans l’onglet Ungrouped, puis cliquez sur OK. À partir d’ESXi 8.0 U3, le port syslog est ouvert automatiquement
4. Répétez l’opération pour chaque hôte, ou exécutez esxcli system syslog config set --loghost='<valeur>', puis esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true, puis esxcli system syslog reload

• ESXi : ajoutez l’autorité de certification qui a émis le certificat de Wirespeed au magasin de confiance de chaque hôte, avec esxcli system security certificatestore add -f <ca.pem> ou en la publiant dans vCenter puis en sélectionnant Certificates > Refresh CA Certificates sur l’hôte. Exécutez ensuite esxcli system syslog config set --check-ssl-certs=true et esxcli system syslog reload
• vCenter : vCenter doit faire confiance à l’autorité de certification qui a émis le certificat de Wirespeed

​

Événements analysés

• Événements vCenter (vpxd_event) : clé d’événement, partie, heure de création, type vim.event, gravité, utilisateur, cible, ID de chaîne et message. Les événements de session avec un nom d’utilisateur incorrect sont normalisés en tant que connexions échouées. vCenter découpe les événements longs en parties numérotées qui partagent la même clé d’événement ; chaque partie est stockée telle quelle. Ce flux nécessite vpxd.event.syslog.enabled.
• Authentification unique (sso, websso_audit) : les réussites et échecs de connexion du Security Token Service sont normalisés en tant que connexions, avec l’utilisateur, le locataire, le fournisseur et l’ID de corrélation lorsqu’ils sont présents. Les événements d’audit SSO conservent leur utilisateur, l’adresse IP du client et leur type ; ceux qui décrivent une connexion sont normalisés en tant que connexions, avec le code de réponse lorsque la description en contient un.
• Annuaire (vmdir) : les connexions bloquées sur des comptes verrouillés sont signalées comme des verrouillages.
• Audit de l’appliance (vcsa_audit) : enregistrements auditd avec leurs clés. Les enregistrements USER_LOGIN sont normalisés en tant que connexions.
• ESXi (esxi_hostd, esxi_vobd, esxi_sshd, esxi_shell) : les mots de passe d’hôte acceptés ou refusés et les connexions SSH sont normalisés en tant que connexions. Les verrouillages de compte et l’activation de SSH ou de l’ESXi Shell sont signalés, et les commandes du shell sont conservées avec leur utilisateur. Le contexte [Originator@6876 …] (ID d’opération, session, utilisateur) est stocké lorsqu’il figure dans l’en-tête RFC 5424 ou en tête d’un message hostd ou d’un autre message vmacore, et les lignes coupées par la limite de longueur distante d’ESXi sont marquées comme tronquées.