管理者ログの管理とクエリ
管理者ログデータのクエリ
必要条件
-
LoggingReaderとPlayerの両方の役割が割り当てられた管理者は、管理者ログを表示できます。ユーザーを役割に割り当てるには、Session Recording Authorization Consoleに移動します。
-
管理者ログページはWeb Playerと統合されています。管理者ログをクエリするには、Web Playerがインストールされている必要があります。そうでない場合、404（ページが見つかりません）エラーが発生する可能性があります。
-
Web Playerブラウザに設定されている言語は、Session Recording Administrationコンポーネントをインストールしたときに選択した言語と一致している必要があります。
-
IISのSessionRecordingLoggingWebApplicationサイトとWeb Playerが同じSSL設定であることを確認してください。そうでない場合、管理者ログデータへのアクセスを要求したときに403エラーが発生します。
手順
Session Recordingサーバーに関する管理者ログデータは、サーバーをホストしているマシンからでも、他のマシンからでもクエリできます。
ターゲットのSession Recordingサーバーをホストしているマシンで
- 「スタート」メニューから、「セッションレコーディング管理者ログ」を選択します。
-
LoggingReaderユーザーの資格情報を入力します。
Web Playerと統合された管理者ログのWebページが表示されます。
他のコンピューターで
- Webブラウザーを開き、管理者ログのWebページにアクセスします。
-
HTTPSの場合:
https://servername/WebPlayer/#/logging/configおよびhttps://servername/WebPlayer/#/logging/record。ここで、servernameはSession Recordingサーバーをホストしているマシンの名前です。 -
HTTPの場合:
http://servername/WebPlayer/#/logging/configおよびhttp://servername/WebPlayer/#/logging/record。ここで、servernameはSession Recordingサーバーをホストしているマシンの名前です。
-
HTTPSの場合:
- LoggingReader ユーザーの資格情報を入力します。
ログデータ概要
管理者ログデータは以下で構成されます。
- 設定のログ記録
- 録画理由ログ
- 再生ログ。
設定のログ記録
Webプレーヤーと統合された管理者ログ(/ja-jp/session-recording/current-release/media/administrator-logging-integrated-with-the-web-player.png)
この部分には、次の管理者アクティビティがログに記録されます。
-
ポリシーの変更 - Session RecordingポリシーコンソールまたはCitrix Directorでのポリシーの変更
-
サーバー構成の変更 - Session Recordingサーバーのプロパティの変更
-
ログ読み取り - 管理者ログデータへの不正なアクセス試行
管理者アクティビティをログに記録するには、Session Recordingサーバーで管理者ログを有効にします。詳しくは、「管理者ログの無効化または有効化」を参照してください。セキュリティを強化するために、管理者ログサービスアカウントを構成することもできます。
ヒント:
管理者ログは、Session RecordingサービスとSession Recordingサーバーのプロパティの両方から有効にできます。
録画理由のログ
この部分には、どのポリシーが録画をトリガーしたかが記録されます。
録画理由のログを有効にするには、Session Recordingサーバーで管理者ログと録画理由のログの両方を有効にします。管理者ログが無効になっている場合、録画理由のログを有効にしても効果はありません。録画理由のログを有効にする方法については、「録画理由のログの無効化または有効化」を参照してください。
再生ログ
この部分には、再生関連のアクションが記録されます。各ログレコードの詳細については、[アクションの詳細] 列のプラス記号（+）をクリックしてください。
再生理由をログに記録するには、Session Recordingサーバーで管理者ログと再生理由のログの両方を有効にします。管理者ログが無効になっている場合、再生理由のログを有効にしても効果はありません。
再生理由のログが有効になっている場合、録画を再生するたびに、再生理由の入力を求めるダイアログボックスが表示されます。たとえば、次のスクリーンショットを参照してください。
Webプレーヤーでの再生に理由が必要です:
Session Recording playerでの再生には正当な理由が必要です:
Session Recordingサーバーで再生理由のログ記録が有効になっている場合、再生理由を使用するための以下のヒントに注意してください:
- Session Recordingサーバーに接続するプレーヤーを使用する場合、ローカルパスにダウンロードした録画ファイルであっても、正当な理由が必要です。
- ファイルロールオーバーにより、1つのセッションで複数の録画が生成されることがあります。このような録画セッションを再生する場合、各録画に対して正当な理由を入力する必要があります。
管理者ログの無効化または有効化
インストール後、Session Recording Server Propertiesでセッションレコーディング管理者ログ機能を無効または有効にできます。
- 管理者として、Session Recording管理者ログがインストールされているマシンにログオンします。
- スタートメニューから、セッションレコーディングサーバーのプロパティを選択します。
- ログタブをクリックします。
Session Recording管理者ログが無効になっている場合、新しいアクティビティはログに記録されません。既存のログはWebベースのUIからクエリできます。
強制ブロックが有効になっている場合、ログ記録に失敗すると、次のアクティビティがブロックされます。また、イベントID 6001のシステムイベントもログに記録されます:
- セッションレコーディングポリシーコンソールまたはCitrix Directorでの録画ポリシーの変更。
- セッションレコーディングサーバーのプロパティの変更。
強制ブロック設定は、セッションの記録に影響しません。
管理者ログサービスアカウントを構成する
デフォルトでは、管理者ログはInternet Information Services (IIS) のWebアプリケーションとして実行されており、そのIDはNetwork Serviceです。セキュリティレベルを向上させるために、このWebアプリケーションのIDをサービスアカウントまたは特定のドメインアカウントに変更できます。
- 管理者として、Session Recordingサーバーをホストしているマシンにログオンします。
- IISマネージャーで、アプリケーションプールをクリックします。
- アプリケーションプールで、SessionRecordingLoggingAppPoolを右クリックし、詳細設定を選択します。
- 属性identityを、使用する特定のアカウントに変更します。
- マイクロソフト SQL Server 上のデータベース CitrixSessionRecordingLogging に対して、そのアカウントに db_owner 権限を付与します。
-
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Serverにあるレジストリキーに対して、そのアカウントに読み取り権限を付与します。
警告:
レジストリを誤って編集すると、オペレーティングシステムの再インストールが必要になるような深刻な問題が発生する可能性があります。Citrixは、レジストリエディターの誤った使用によって生じる問題が解決できることを保証できません。レジストリエディターは自己責任で使用してください。編集する前に必ずレジストリをバックアップしてください。
記録理由ログを無効または有効にする
デフォルトでは、管理者ログはポリシー照会が完了した後、すべての記録理由をログに記録します。この動作は多くのログを生成する可能性があります。パフォーマンスを向上させ、ストレージを節約するために、レジストリでこの種のログを無効にします。
- 管理者として、Session Recordingサーバーをホストしているマシンにログオンします。
- レジストリエディターを開きます。
- Browse to HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\SmartAuditor\Server.
-
Set the value of EnableRecordingActionLogging to:
0: 記録理由のログを無効にする 1: 記録理由のログを有効にする