Journaliser les événements

L’enregistrement de session peut enregistrer des événements et les marquer dans des enregistrements en vue de faciliter leur recherche et lecture ultérieurement. Vous pouvez facilement rechercher des événements d’intérêt au sein d’un grand nombre d’enregistrements et localiser les événements pendant la lecture dans le lecteur d’enregistrement de session.

Événements pouvant être journalisés

L’enregistrement de session peut journaliser les événements suivants :

  • Insertion des périphériques de stockage de masse USB

  • Démarrages et fins d’applications

  • Opérations de changement de nom, de création, de suppression et de déplacement de fichier

Insertion des périphériques de stockage de masse USB

L’enregistrement de session peut consigner l’insertion d’un périphérique de stockage de masse USB redirigé générique ou mappé (CDM) sur une machine cliente sur laquelle application Citrix Workspace pour Windows ou Mac est installé et peut marquer l’événement dans l’enregistrement.

Remarque :

Actuellement, seule l’insertion de périphériques de stockage de masse USB (Classe USB 08) peut être consignée. Pour que la fonctionnalité fonctionne comme prévu :

Mettez à niveau l’enregistrement de session et le VDA vers la version 7.17 ou version ultérieure si vous utilisez cette fonctionnalité en modifiant le registre ou

Mettez à niveau les composants Administration de l’enregistrement de session et Agent d’enregistrement de session vers la version 1811 ou version ultérieure si vous configurez une stratégie de journalisation d’événements dans la console de stratégie d’enregistrement de session. Pour plus d’informations, consultez la section Stratégies de journalisation d’événements.

Démarrages et fins d’applications

L’enregistrement de session prend en charge la journalisation des démarrages et des arrêts d’applications

Remarque :

Pour que la fonctionnalité fonctionne comme prévu :

Mettez à niveau les composants Agent d’enregistrement de session et Lecteur d’enregistrement de session vers la version 1811 ou version ultérieure si vous utilisez cette fonctionnalité en modifiant le registre ou

Mettez à niveau les composants Administration de l’enregistrement de session et Agent d’enregistrement de session vers la version 1811 ou version ultérieure si vous configurez une stratégie de journalisation d’événements dans la console de stratégie d’enregistrement de session. Pour plus d’informations, consultez la section Stratégies de journalisation d’événements.

Pour spécifier les applications à surveiller via le filtre de registre AppMonitorList :

  1. Ouvrez une session en tant qu’administrateur sur l’ordinateur sur lequel vous avez installé l’agent d’enregistrement de session.
  2. Ouvrez l’éditeur de registre.
  3. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\SessionEvents.
  4. Ajoutez les noms de processus des applications cibles dans AppMonitorList.

    Image de AppMonitorList

Remarque :

  • Pour capturer le lancement et l’arrêt d’une application, ajoutez le nom du processus de l’application dans AppMonitorList. Par exemple, pour capturer le lancement de Connexion Bureau à distance, ajoutez le nom du processus mstsc.exe dans AppMonitorList.
  • AppMonitorList est un registre à chaînes multiples. Chaque chaîne ajoutée doit se terminer par un CRLF.
  • Seule la correspondance exacte est prise en charge. Les caractères génériques ne sont pas pris en charge.
  • Les noms des processus que vous ajoutez ne sont pas sensibles à la casse.
  • Pour éviter qu’une quantité excessive d’événements ne sature les enregistrements, n’ajoutez aucun nom de processus système (par exemple, explorer.exe) et de navigateurs Web au registre.

Opérations de changement de nom, de création, de suppression et de déplacement de fichier

Vous pouvez journaliser les opérations de changement de nom, de création, de suppression et de déplacement de fichier ou de sous-dossier dans les dossiers cibles et marquer les événements dans l’enregistrement.

Remarque :

Pour la fonctionnalité fonctionne comme prévu, mettez à niveau tous les composants d’enregistrement de session, y compris les composants Administration d’enregistrement de session, Agent d’enregistrement de session et Lecteur d’enregistrement de session vers la version 1811 ou une version ultérieure.

Sur l’agent d’enregistrement de session, une clé de registre EnableFileOperationMonitorEvents est ajoutée pour activer ou désactiver cette fonctionnalité. La clé de registre est définie par défaut sur 0, ce qui signifie que la fonctionnalité est désactivée par défaut.

Remarque :

Actuellement, les opérations de fichiers sont capturées via les paramètres du registre uniquement.

Activer ou désactiver la journalisation

Pour activer ou désactiver la fonctionnalité :

  1. Une fois l’installation de l’enregistrement de session terminée, connectez-vous en tant qu’administrateur à la machine sur laquelle vous avez installé l’agent d’enregistrement de session.
  2. Ouvrez l’éditeur de registre.
  3. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\SessionEvents.
  4. Définissez la valeur de EnableSessionEvents sur 1 ou utilisez la valeur par défaut 0.
    1: active la journalisation des événements globalement
    0: désactive la journalisation des événements globalement
  5. Définissez la valeur de EnableFileOperationMonitorEvents sur 1 ou utilisez la valeur par défaut, 0.
    1 : active la journalisation des opérations de changement de nom, de création, de suppression et de déplacements de fichier
    0 : désactive la journalisation des opérations de changement de nom, de création, de suppression et de déplacement de fichier

    Pour activer la journalisation des opérations de changement de nom, de création, de suppression et de déplacement de fichier, définissez EnableSessionEvents et EnableFileOperationMonitorEvents sur 1.

  6. Redémarrez l’agent d’enregistrement de session pour que vos paramètres prennent effet.
    Si vous utilisez MCS ou PVS pour le déploiement, modifiez les paramètres sur votre image principale et effectuez une mise à jour pour que vos modifications prennent effet.

Avertissement :

La modification incorrecte du Registre peut entraîner des problèmes graves pouvant nécessiter de réinstaller votre système d’exploitation. Citrix ne peut garantir la possibilité de résoudre les problèmes provenant d’une mauvaise utilisation de l’Éditeur du Registre. Vous assumez l’ensemble des risques liés à l’utilisation de cet outil. Veillez à faire une copie de sauvegarde de votre registre avant de le modifier.

Spécifier les dossiers cibles à surveiller

Un filtre de registre nommé FileOperationMonitorList est disponible pour vous permettre de spécifier les dossiers cibles à surveiller et ainsi éviter que trop d’événements ne soient consignés. Aucun dossier n’est spécifié par défaut, ce qui signifie qu’aucun fichier n’est capturé par défaut.

Pour spécifier les dossiers à surveiller, procédez comme suit :

  1. Ouvrez une session en tant qu’administrateur sur l’ordinateur sur lequel vous avez installé l’agent d’enregistrement de session.
  2. Ouvrez l’éditeur de registre.
  3. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\SessionEvents.
  4. Ajoutez les chaînes de chemin des dossiers cibles dans FileOperationMonitorList.

    Image de FileOperationMonitorList

    Remarque :

    • Pour capturer les opérations de changement de nom, de création, de suppression ou de déplacement sur un fichier, ajoutez la chaîne de chemin du dossier de fichiers (et non le nom de fichier ou le chemin racine du dossier de fichiers) dans FileOperationMonitorList. Par exemple, pour capturer les opérations de changement de nom, de création, de suppression et de déplacement sur le fichier sharing.ppt dans C:\User\File, ajoutez la chaîne de chemin C:\User\File dans FileOperationMonitorList.
    • Les chemins de fichiers locaux et les chemins de dossiers partagés distants sont pris en charge. Par exemple, pour capturer les opérations sur le fichier RemoteDocument.txt dans le dossier \\remote.address\Documents, ajoutez la chaîne de chemin \\remote.address\Documents dans FileOperationMonitorList.
    • FileOperationMonitorList est un registre à chaînes multiples. Chaque chaîne ajoutée doit se terminer par un CRLF. La longueur maximale de chaque chaîne est de 247 caractères. Les chaînes dépassant la longueur maximale sont ignorées.
    • Seule la correspondance exacte est prise en charge. Les caractères génériques ne sont pas pris en charge.
    • Les chaînes de chemin que vous ajoutez sont insensibles à la casse.
  5. Redémarrez le service Agent d’enregistrement de session pour que votre paramètre prenne effet.
    Si vous utilisez MCS ou PVS pour le déploiement, modifiez le paramètre sur votre image principale et effectuez une mise à jour pour que vos modifications prennent effet.

Limitations

  • Le déplacement de fichiers ou de dossiers d’un dossier local non surveillé vers un dossier local surveillé ne peut pas être capturé.
  • Lorsque la longueur du chemin d’accès d’un fichier ou d’un dossier, y compris le nom du fichier ou du dossier, dépasse la longueur maximale (260 caractères), les opérations sur le fichier ou le dossier ne peuvent pas être capturées.
  • Prêtez une attention particulière à la taille de la base de données, et sauvegardez ou supprimez régulièrement le tableau « Événement » pour éviter qu’un nombre excessif d’événements ne soit capturé.
  • Lorsqu’un nombre excessif d’événements est capturé à des intervalles de temps, le lecteur n’affiche qu’un seul élément d’événement et la base de données ne stocke qu’un seul élément d’événement pour chaque type d’événement afin d’éviter une extension du stockage.

Rechercher et visualiser des enregistrements avec des événements marqués

Rechercher des enregistrements avec des événements marqués

Le lecteur d’enregistrement de session vous permet d’effectuer des recherches avancées sur des enregistrements avec événements marqués.

  1. Dans le lecteur d’enregistrement de session, cliquez sur Recherche avancée dans la barre d’outils ou choisissez Outils > Recherche avancée.
  2. Définissez vos critères de recherche dans la boîte de dialogue Recherche avancée.

L’onglet Événements vous permet de rechercher des événements marqués dans les sessions par texte d’événement et/ou type d’événement. Vous pouvez combiner les filtres Événements, Commun, Date/Heure et Autre pour rechercher des enregistrements répondant à vos critères.

Image de la recherche du journal relatif au changement de nom de fichier

Remarque :

  • La liste Type d’événement détaille tous les types d’événements qui ont été consignés par l’enregistrement de session Citrix. Vous pouvez sélectionner n’importe quel type d’événement à rechercher. La sélection de Tout événement défini par Citrix équivaut à rechercher tous les enregistrements avec tout type d’événement consigné par l’enregistrement de session Citrix.
  • Le filtre Texte de l’événement prend en charge la correspondance partielle. Les caractères génériques ne sont pas pris en charge.
  • Le filtre Texte de l’événement n’est pas sensible à la casse lors de la correspondance.
  • Pour les événements Citrix.EventMonitor.AppStart, Citrix.EventMonitor.AppEnd, Citrix.EventMonitor.CDMUSBDriv,Citrix.EventMonitor.FileCreate, Citrix.EventMonitor.FileDelete, Citrix.EventMonitor.FileMove et Citrix.EventMonitor.FileRename events, les mots App Start, App End, Client drive mapping et File Rename ne sont pas inclus à la correspondance lorsque vous effectuez une recherche par Texte de l’événement. Par conséquent, lorsque vous tapez App Start, App End, Client drive mapping ou File Rename dans la zone Texte de l’événement, aucun résultat ne peut être trouvé.

Lire des enregistrements avec des événements marqués

Lorsque vous lisez un enregistrement avec des événements marqués, les événements sont présents dans le panneau Événements et signets et apparaissent en tant que points jaunes dans la partie inférieure du lecteur d’enregistrement de session comme suit :

Image de lecture des enregistrements avec des événements marqués

Vous pouvez utiliser les événements pour naviguer dans une session enregistrée ou passer directement aux points où les événements sont marqués.

Version

Journaliser les événements