Active Directory Domain Services ‏ (AD DS)

שירותי הדומיין של Active Directory‏ (AD DS) שומרים מידע על אובייקטים ברשת, כדי שמנהלים ומשתמשים יוכלו לגשת למידע הזה בקלות.

מידע נוסף על AD DS זמין במאמרי העזרה בנושא Active Directory Domain Services (AD DS).

דרישות מוקדמות

כדי לאסוף טלמטריה של AD DS, צריך להתקין את סוכן התפעול:

  • כדי להשתמש במדדים, צריך להתקין את גרסה 2.15.0 ואילך.
  • כדי לראות את היומנים, צריך להתקין את גרסה 2.15.0 ומעלה.

השילוב הזה תומך בגרסאות AD DS‏ windows-server-2016 ו-windows-server-2019.

הגדרת מופע AD DS

כברירת מחדל, יומני האירועים של Active Directory Windows ומוני הביצועים מופעלים.

הגדרת סוכן התפעול ל-AD DS

פועלים לפי המדריך בנושא הגדרת Ops Agent, מוסיפים את הרכיבים הנדרשים לאיסוף טלמטריה ממופעי AD DS ומפעילים מחדש את הסוכן.

הגדרה לדוגמה

הפקודות הבאות יוצרות את התצורה לאיסוף ולעיבוד של נתוני טלמטריה עבור AD DS:

$ErrorActionPreference = 'Stop'

# Create an empty config.yaml file if it doesn't exist.
$configFilePath  = 'C:\Program Files\Google\Cloud Operations\Ops Agent\config\config.yaml'

if (-not (Test-Path -Path $configFilePath -PathType Leaf)) {
    New-Item -ItemType File -Path $configFilePath -Force | Out-Null
}

# Create a back up of the existing file so existing configurations are not lost.
Copy-Item -Path 'C:\Program Files\Google\Cloud Operations\Ops Agent\config\config.yaml' -Destination 'C:\Program Files\Google\Cloud Operations\Ops Agent\config\config.yaml.bak'

# Configure the Ops Agent.
Add-Content 'C:\Program Files\Google\Cloud Operations\Ops Agent\config\config.yaml' "
logging:
  receivers:
    active_directory_ds:
      type: active_directory_ds
  service:
    pipelines:
      active_directory_ds:
        receivers:
        - active_directory_ds

metrics:
  receivers:
    active_directory_ds:
      type: active_directory_ds
  service:
    pipelines:
      active_directory_ds:
        receivers:
        - active_directory_ds
"

if (Get-Service google-cloud-ops-agent* -ErrorAction SilentlyContinue) {
  (Get-Service google-cloud-ops-agent*).WaitForStatus('Running', '00:03:00')
}

כדי שהשינויים האלה ייכנסו לתוקף, צריך להפעיל מחדש את Ops Agent:

  1. מתחברים למופע באמצעות RDP או כלי דומה ומתחברים ל-Windows.
  2. פותחים טרמינל של PowerShell עם הרשאות אדמין. לשם כך, לוחצים לחיצה ימנית על סמל PowerShell ובוחרים באפשרות הפעלה כמנהל מערכת.
  3. כדי להפעיל מחדש את הסוכן, מריצים את פקודת PowerShell הבאה: 
    Restart-Service google-cloud-ops-agent -Force
  4. כדי לוודא שהסוכן הופעל מחדש, מריצים את הפקודה הבאה ומוודאים שהרכיבים Metrics Agent ו-Logging Agent הופעלו: 
    Get-Service google-cloud-ops-agent*

הגדרת איסוף יומנים

כדי להטמיע יומנים מ-AD DS, צריך ליצור מקלט ליומנים ש-AD DS מייצר, ואז ליצור צינור למקלט החדש.

כדי להגדיר מקלט ליומני active_directory_ds, מציינים את השדות הבאים:

שדה ברירת מחדל תיאור
type הערך חייב להיות active_directory_ds.

מה נרשם ביומן

הערך של logName נגזר ממזהי המקלט שצוינו בהגדרה. השדות המפורטים בתוך התג LogEntry הם:

יומני active_directory_ds מכילים את השדות הבאים ב-LogEntry:

שדה סוג תיאור
jsonPayload.Channel מחרוזת הערוץ ביומן האירועים שבו נרשם היומן.
jsonPayload.ComputerName מחרוזת השם של המחשב שממנו נוצר היומן הזה.
jsonPayload.Data מחרוזת נתונים נוספים שספציפיים לאירוע ונכללים ביומן.
jsonPayload.EventCategory מספר הקטגוריה של האירוע.
jsonPayload.EventID מספר מזהה שמציין את סוג האירוע.
jsonPayload.EventType מחרוזת סוג האירוע.
jsonPayload.Message מחרוזת ההודעה ביומן.
jsonPayload.Qualifiers מספר מספר מסוים שמשמש לזיהוי האירוע.
jsonPayload.RecordNumber מספר מספר הרצף של יומן האירועים.
jsonPayload.Sid מחרוזת מזהה האבטחה שמזהה את הגורם המורשה או את קבוצת האבטחה של התהליך שרשם את ההודעה הזו.
jsonPayload.SourceName מחרוזת רכיב המקור שרשם את ההודעה הזו.
jsonPayload.StringInserts ‫[]string נתוני מחרוזת דינמיים ששימשו ליצירת הודעת היומן.
jsonPayload.TimeGenerated מחרוזת חותמת זמן שמייצגת את המועד שבו הרשומה נוצרה.
jsonPayload.TimeWritten מחרוזת חותמת זמן שמייצגת את המועד שבו הרשומה נכתבה ביומן האירועים.
severity מחרוזת (LogSeverity) רמת רשומת היומן (מתורגמת).

הגדרת איסוף מדדים

כדי להטמיע מדדים מ-AD DS, צריך ליצור מקלט למדדים ש-AD DS מייצר, ואז ליצור צינור למקלט החדש.

המקלט הזה לא תומך בשימוש בכמה מופעים בהגדרה, למשל כדי לעקוב אחרי כמה נקודות קצה. כל המקרים האלה נכתבים לאותה סדרת זמן, ואין ל-Cloud Monitoring דרך להבחין ביניהם.

כדי להגדיר מקלט למדדים של active_directory_ds, צריך לציין את השדות הבאים:

שדה ברירת מחדל תיאור
collection_interval 60s ערך של משך זמן, כמו 30s או 5m.
type הערך חייב להיות active_directory_ds.

מה נבדק

בטבלה הבאה מפורטים המדדים שנאספים על ידי סוכן תפעול ממופע AD DS.

סוג המדד 
סוג, סוג
משאבים במעקב		 תוויות
workload.googleapis.com/active_directory.ds.bind.rate
GAUGE, DOUBLE
gce_instance 		type
workload.googleapis.com/active_directory.ds.ldap.bind.last_successful.time
GAUGE, INT64
gce_instance 		 
workload.googleapis.com/active_directory.ds.ldap.bind.rate
GAUGE, DOUBLE
gce_instance 		 
workload.googleapis.com/active_directory.ds.ldap.client.session.count
GAUGE, INT64
gce_instance 		 
workload.googleapis.com/active_directory.ds.ldap.search.rate
GAUGE, DOUBLE
gce_instance 		 
workload.googleapis.com/active_directory.ds.name_cache.hit_rate
GAUGE, DOUBLE
gce_instance 		 
workload.googleapis.com/active_directory.ds.notification.queued
GAUGE, INT64
gce_instance 		 
workload.googleapis.com/active_directory.ds.operation.rate
GAUGE, DOUBLE
gce_instance 		type
workload.googleapis.com/active_directory.ds.replication.network.io
CUMULATIVE, INT64
gce_instance 		direction
type
workload.googleapis.com/active_directory.ds.replication.object.rate
GAUGE, DOUBLE
gce_instance 		direction
workload.googleapis.com/active_directory.ds.replication.operation.pending
GAUGE, INT64
gce_instance 		 
workload.googleapis.com/active_directory.ds.replication.property.rate
GAUGE, DOUBLE
gce_instance 		direction
workload.googleapis.com/active_directory.ds.replication.sync.object.pending
GAUGE, INT64
gce_instance 		 
workload.googleapis.com/active_directory.ds.replication.sync.request.count
CUMULATIVE, INT64
gce_instance 		result
workload.googleapis.com/active_directory.ds.replication.value.rate
GAUGE, DOUBLE
gce_instance 		direction
type
workload.googleapis.com/active_directory.ds.security_descriptor_propagations_event.queued
GAUGE, INT64
gce_instance 		 
workload.googleapis.com/active_directory.ds.suboperation.rate
GAUGE, DOUBLE
gce_instance 		type
workload.googleapis.com/active_directory.ds.thread.count
GAUGE, INT64
gce_instance 		 

אימות ההגדרה

בקטע הזה מוסבר איך לוודא שהגדרתם נכון את מקלט AD DS. יכול להיות שיעברו דקה או שתיים עד שהסוכן של Ops יתחיל לאסוף נתוני טלמטריה.

כדי לוודא שיומני AD DS נשלחים אל Cloud Logging, מבצעים את הפעולות הבאות:

  1. במסוף Google Cloud , נכנסים לדף Logs Explorer:

    כניסה אל Logs Explorer

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שכותרת המשנה שלה היא Logging.

  2. מזינים את השאילתה הבאה בעורך ולוחצים על Run query: 
    resource.type="gce_instance"
log_id("active_directory_ds")

כדי לוודא שמדדי AD DS נשלחים אל Cloud Monitoring, מבצעים את הפעולות הבאות:

  1. נכנסים לדף  Metrics explorer במסוף Google Cloud :

    כניסה אל Metrics Explorer

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שבה הכותרת המשנית היא Monitoring.

  2. בסרגל הכלים של החלונית query-builder, לוחצים על הלחצן ששמו  PromQL.
  3. מזינים את השאילתה הבאה בעורך ולוחצים על Run query: 
    {"workload.googleapis.com/active_directory.ds.bind.rate", monitored_resource="gce_instance"}

צפייה בלוח הבקרה

כדי לראות את המדדים של AD DS, צריך להגדיר תרשים או לוח בקרה. שילוב AD DS כולל לוח בקרה אחד או יותר. לוחות בקרה מותקנים אוטומטית אחרי שמגדירים את השילוב וסוכן Ops מתחיל לאסוף נתוני מדדים.

אפשר גם לראות תצוגה מקדימה סטטית של מרכזי בקרה בלי להתקין את האינטגרציה.

כדי לראות מרכז בקרה שהותקן:

  1. במסוף Google Cloud , עוברים לדף  Dashboards:

    מעבר אל מרכזי בקרה

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שבה הכותרת המשנית היא Monitoring.

  2. לוחצים על הכרטיסייה רשימת לוחות בקרה ואז בוחרים בקטגוריה שילובים.
  3. לוחצים על השם של מרכז הבקרה שרוצים להציג.

אם הגדרתם שילוב אבל לוח הבקרה לא הותקן, צריך לבדוק שסוכן תפעול פועל. אם אין נתוני מדדים לתרשים במרכז הבקרה, ההתקנה של מרכז הבקרה נכשלת. אחרי שסוכן התפעול מתחיל לאסוף מדדים, לוח הבקרה מותקן בשבילכם.

כדי לראות תצוגה מקדימה סטטית של מרכז הבקרה:

  1. נכנסים לדף  Integrations במסוף Google Cloud :

    עוברים אל Integrations

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שבה הכותרת המשנית היא Monitoring.

  2. לוחצים על המסנן Compute Engine של פלטפורמת הפריסה.
  3. מאתרים את הערך של AD DS ולוחצים על הצגת פרטים.
  4. לוחצים על הכרטיסייה מרכזי בקרה כדי לראות תצוגה מקדימה סטטית. אם מרכז הבקרה מותקן, אפשר לעבור אליו בלחיצה על View dashboard (הצגת מרכז הבקרה).

מידע נוסף על לוחות בקרה ב-Cloud Monitoring זמין במאמר בנושא לוחות בקרה וטבלאות.

מידע נוסף על השימוש בדף Integrations (שילובים) זמין במאמר ניהול שילובים.

התקנה של כללי מדיניות התראות

מדיניות התראות מורה ל-Cloud Monitoring לשלוח לכם התראה כשמתרחשים תנאים מסוימים. השילוב של AD DS כולל מדיניות התראות אחת או יותר שתוכלו להשתמש בהן. אפשר לראות ולהתקין את כללי המדיניות האלה להתראות בדף שילובים ב-Monitoring.

כדי לראות את התיאורים של כללי מדיניות ההתראות הזמינים ולהתקין אותם:

  1. נכנסים לדף  Integrations במסוף Google Cloud :

    עוברים אל Integrations

    אם משתמשים בסרגל החיפוש כדי למצוא את הדף הזה, בוחרים בתוצאה שבה הכותרת המשנית היא Monitoring.

  2. מאתרים את הרשומה של AD DS ולוחצים על הצגת פרטים.
  3. לוחצים על הכרטיסייה התראות. בכרטיסייה הזו מופיעים תיאורים של מדיניות ההתראות הזמינה וממשק להתקנתן.
  4. התקנה של כללי מדיניות התראות. כדי שמדיניות ההתראות תדע לאן לשלוח התראות על הפעלת ההתראה, היא צריכה לקבל מכם מידע להתקנה. כדי להתקין מדיניות התראות:
    1. ברשימת מדיניות ההתראות הזמינה, בוחרים את אלה שרוצים להתקין.

    2. בקטע הגדרת התראות, בוחרים ערוץ התראות אחד או יותר. יש לכם אפשרות להשבית את השימוש בערוצי התראות, אבל אם תעשו את זה, מדיניות ההתראות שלכם תופעל ללא התראה. אפשר לבדוק את הסטטוס שלהם בדף 'מעקב', אבל לא תקבלו התראות.

      מידע נוסף על ערוצי התראות זמין במאמר בנושא ניהול ערוצי התראות.

    3. לוחצים על יצירת מדיניות.

מידע נוסף על מדיניות התראות ב-Cloud Monitoring זמין במאמר מבוא להתראות.

מידע נוסף על השימוש בדף Integrations (שילובים) זמין במאמר ניהול שילובים.

המאמרים הבאים

בסרטון Install the Ops Agent to troubleshoot third-party applications מוסבר איך להשתמש ב-Ansible כדי להתקין את סוכן התפעול, להגדיר אפליקציית צד שלישי ולהתקין לוח בקרה לדוגמה.