De NemLog-in logging vereisten worden nageleefd door de AD FS standaard audit log uit te breiden met ITfoxtec AD FS Audit.
AD FS ondersteunt integratie met NemLog-in via SAML 2.0. De AD FS standaard audit log registreert echter niet alle informatie die NemLog-in vereist, dus een uitbreiding van de audit log is nodig.
De NemLog-in logging vereisten omvatten onder andere dat alle SAML 2.0 request en response berichten worden gelogd. De request en response berichten moeten worden gelogd inclusief de signatuur bewijzen, wat ITfoxtec AD FS Audit afhandelt.
ITfoxtec AD FS Audit ondersteunt Microsoft AD FS vanaf versie 3.0 (Windows Server 2012 R2).
Gebruik ITfoxtec AD FS Audit wanneer je NemLog-in conforme SAML logging nodig hebt in een bestaande AD FS farm. FoxIDs is relevant wanneer je ook een modern identiteitsplatform nodig hebt voor migratie, federatie of geleidelijke vervanging van AD FS.
ITfoxtec AD FS Audit logt naar Application ("Windows Logs/Application") in Event Log met log source: "AD FS, ITfoxtec Auditing".
De logging details staan op het tabblad Details.
| Event id | Tekst |
|---|---|
| 211 | "Received, SAML GET Request" of "Received, SAML Authn Request" |
| 212 | "Send, SAML GET Request" of "Send, SAML Authn Request" |
| 221 | "Send/Received, SAML Assertion" |
| 222 | "Received, Validating SAML Assertion" |
| 231 | "Send/Received, SAML Logout Request" |
| 232 | "Send/Received, SAML Logout Response" |
| 233 | "Send/Received, SAML Logout Response" |
| 234 | "Received, SAML Logout Response" |
| 235 | "Received, SAML Logout Request" |
| 236 | "Received, SAML Logout Request" |
| 237 | "Send, SAML Logout Request" |
ITfoxtec AD FS Audit wordt geïnstalleerd op de AD FS server door een eventlog source te maken, een DLL in de AD FS map op de server te plaatsen en ITfoxtec AD FS Audit in het AD FS configuratiebestand te configureren. De installatie wordt uitgevoerd in een AD FS farm op alle AD FS servers.
Opmerking: Het is alleen nodig om een Event Log source te maken bij de eerste installatie van ITfoxtec AD FS Audit. Bij de eerste installatie is het niet nodig om de AD FS service te stoppen en te starten; dit is alleen nodig bij updates.
Een Event Log source met de naam "AD FS, ITfoxtec Auditing" wordt aangemaakt onder de Application log.
Voer het volgende uit in een CMD met beheerdersrechten: ITfoxtec.CreateAuditingEventSource.exe
Er wordt een testlog in Event Log aangemaakt, die kan worden gecontroleerd.
Stop de Active Directory Federation Services service. Bijvoorbeeld met het commando: "net stop adfssrv"
Kopieer het bestand "ITfoxtec.AdfsAuditing.dll" naar de map "C:\Windows\ADFS".
De ITfoxtec AD FS Audit configuratie wordt toegevoegd onder het "system.diagnostics" element in het AD FS configuratiebestand: "C:\Windows\ADFS\Microsoft.IdentityServer.Servicehost.exe.config"
De ITfoxtec AD FS Audit configuratie wordt toegevoegd onder het "system.diagnostics" element in het AD FS configuratiebestand "Microsoft.IdentityServer.Servicehost.exe.config" in de map "C:\Windows\ADFS".
Het originele AD FS 3.0 "system.diagnostics" element:
<system.diagnostics> <sources> <source name="Microsoft.IdentityModel" switchValue="Off"> <listeners> <add name="ADFSWifListener" traceOutputOptions="ProcessId,ThreadId" initializeData="Wif" type="Microsoft.IdentityServer.Diagnostics.ADFSTraceListener,Microsoft.IdentityServer.Diagnostics,Version=6.3.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" /> </listeners> </source> <source name="System.ServiceModel" switchValue="Off"> <listeners> <add name="ADFSWcfListener" traceOutputOptions="ProcessId,ThreadId" initializeData="Wcf" type="Microsoft.IdentityServer.Diagnostics.ADFSTraceListener,Microsoft.IdentityServer.Diagnostics,Version=6.3.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" /> </listeners> </source> <source name="System.ServiceModel.MessageLogging" switchValue="Off"> <listeners> <add name="ADFSWcfListener" traceOutputOptions="ProcessId,ThreadId" initializeData="Wcf" type="Microsoft.IdentityServer.Diagnostics.ADFSTraceListener,Microsoft.IdentityServer.Diagnostics,Version=6.3.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" /> </listeners> </source> </sources> <trace autoflush="true" ></trace> </system.diagnostics>
ITfoxtec AD FS Audit wordt geconfigureerd in het "system.diagnostics" element. De configuratie is gemarkeerd in geel:
<system.diagnostics> <sources> <source name="Microsoft.IdentityModel" switchValue="Verbose"> <listeners> <add name="EventLogIdentityModelListener" type="ITfoxtec.AdfsAuditing.EventLogIdentityModelListener, ITfoxtec.AdfsAuditing, Version=1.0.0.0, Culture=neutral, PublicKeyToken=b2673fdcc9b2bfae" /> <!--<add name="ADFSWifListener" traceOutputOptions="ProcessId,ThreadId" initializeData="Wif" type="Microsoft.IdentityServer.Diagnostics.ADFSTraceListener,Microsoft.IdentityServer.Diagnostics,Version=6.3.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" />--> </listeners> </source> <source name="System.Net.HttpListener" tracemode="protocolonly" maxdatasize="10000" switchValue="Verbose"> <listeners> <add name="EventLogHttpListener" type="ITfoxtec.AdfsAuditing.EventLogHttpListener, ITfoxtec.AdfsAuditing, Version=1.0.0.0, Culture=neutral, PublicKeyToken=b2673fdcc9b2bfae" /> </listeners> </source> <source name="System.ServiceModel" switchValue="Off"> <listeners> <add name="ADFSWcfListener" traceOutputOptions="ProcessId,ThreadId" initializeData="Wcf" type="Microsoft.IdentityServer.Diagnostics.ADFSTraceListener,Microsoft.IdentityServer.Diagnostics,Version=6.3.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" /> </listeners> </source> <source name="System.ServiceModel.MessageLogging" switchValue="Off"> <listeners> <add name="ADFSWcfListener" traceOutputOptions="ProcessId,ThreadId" initializeData="Wcf" type="Microsoft.IdentityServer.Diagnostics.ADFSTraceListener,Microsoft.IdentityServer.Diagnostics,Version=6.3.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" /> </listeners> </source> </sources> <trace autoflush="true" ></trace> </system.diagnostics>
De ITfoxtec AD FS Audit configuratie als tekstbestand.
Start de Active Directory Federation Services service. Bijvoorbeeld met het commando: "net start adfssrv"