Compartir a través de

Mejoras de auditoría en AD FS en Windows Server 2016

Actualmente, en AD FS para Windows Server 2012 R2 hay numerosos eventos de auditoría generados para una sola solicitud y la información pertinente sobre una actividad de emisión de tokens o de inicio de sesión está ausente (en algunas versiones de AD FS) o se distribuye entre varios eventos de auditoría. De forma predeterminada, los eventos de auditoría de AD FS están desactivados debido a su naturaleza excesivamente detallada.

Con el lanzamiento de AD FS en Windows Server 2016, la auditoría se ha simplificado y es menos verbosa.

Niveles de auditoría en AD FS para Windows Server 2016

De forma predeterminada, AD FS en Windows Server 2016 tiene habilitada la auditoría básica. Con la auditoría básica, los administradores verán 5 o menos eventos para una sola solicitud. Esto marca una disminución significativa en el número de eventos que los administradores tienen que examinar para ver una sola solicitud. El nivel de auditoría se puede elevar o reducir mediante el cmdlet de PowerShell: Set-AdfsProperties -AuditLevel. En la tabla siguiente se explican los niveles de auditoría disponibles.

Nivel de auditoría Sintaxis de PowerShell Descripción
Ninguno Set-AdfsProperties - AuditLevel Ninguno La auditoría está deshabilitada y no se registrará ningún evento.
Básico (predeterminado) Set-AdfsProperties - Nivel de Auditoría Básico No se registrarán más de 5 eventos para una sola solicitud
Verboso Set-AdfsProperties - AuditLevel detallado Se registrarán todos los eventos. Esto registrará una cantidad significativa de información por solicitud.

Para ver el nivel de auditoría actual, puede usar el cmdlet de PowerShell: Get-AdfsProperties.

Captura de pantalla que muestra cómo usar el cmdlet Get-AdfsProperties.

El nivel de auditoría se puede elevar o reducir mediante el cmdlet de PowerShell: Set-AdfsProperties -AuditLevel.

mejoras de auditoría

Tipos de eventos de auditoría

Los eventos de auditoría de AD FS pueden ser de diferentes tipos, en función de los distintos tipos de solicitudes procesadas por AD FS. Cada tipo de evento de auditoría tiene datos específicos asociados. El tipo de eventos de auditoría se puede diferenciar entre las solicitudes de inicio de sesión (es decir, las solicitudes de token) frente a las solicitudes del sistema (llamadas de servidor-servidor, incluida la captura de información de configuración).

En la tabla siguiente se describen los tipos básicos de eventos de auditoría.

Tipo de evento de auditoría Id. del evento Descripción
Validación exitosa de credenciales nuevas 1202 Solicitud en la que el servicio de federación valida correctamente las credenciales nuevas. Esto incluye WS-Trust, WS-Federation, SAML-P (primera etapa para generar SSO) y puntos de conexión de autorización de OAuth.
Error de validación de credenciales nuevas 1203 Solicitud en la que se produjo un error en la validación de credenciales nuevas en el servicio de federación. Esto incluye WS-Trust, WS-Fed, SAML-P (primera etapa para generar SSO) y puntos de conexión de autorización de OAuth.
Éxito del token de aplicación 1.200 Solicitud en la que el servicio de federación emite correctamente un token de seguridad. Para WS-Federation, SAML-P se registra cuando la solicitud se procesa con el artefacto de inicio de sesión único. (por ejemplo, la cookie de SSO).
Error del token de aplicación 1201 Solicitud en la que se produjo un error en la emisión de tokens de seguridad en el servicio de federación. Para WS-Federation, SAML-P se registra cuando la solicitud se procesó con el artefacto de inicio de sesión único. (por ejemplo, la cookie de SSO).
Éxito en la solicitud de cambio de contraseña 1204 Transacción en la que el servicio de federación procesó correctamente la solicitud de cambio de contraseña.
Error de solicitud de cambio de contraseña 1205 Transacción en la que el servicio de federación no pudo procesar la solicitud de cambio de contraseña.
Cierre de sesión, correcto 1206 Describe una solicitud de cierre de sesión exitosa.
Error de cierre de sesión 1207 Describe una solicitud de cierre de sesión con errores.