Impossible d'écrire dans le journal d'audit

Microsoft.ActiveDirectoryFederationServices2012R2.FederationServerFailureWritingToAuditLogMonitor (UnitMonitor)

Knowledge Base article:

Résumé

Une tentative d'écriture d'audit dans le journal de sécurité de l'Observateur d'événements a échoué.

Si un audit AD FS a été journalisé correctement, le système de surveillance passera à l'état vert et l'alerte critique d'origine sera résolue automatiquement.

Causes

Vous trouverez ci-dessous les causes possibles de cet événement :

Le service de journal des événements de sécurité est indisponible.
Le service de fédération ne dispose pas de suffisamment d'autorisations pour écrire dans le journal de sécurité.

Résolutions

Vous trouverez ci-dessous les résolutions possibles de cet événement :

Vérifiez que les services suivants sont en cours d'exécution dans le nœud Services du Gestionnaire de serveurs :
Service de rapport d'erreurs Windows
Collecteur d'événements de Windows
Journal des événements Windows
Vérifiez que le service de fédération dispose des bonnes autorisations pour écrire dans le journal de sécurité. Ceci comprend la vérification que le compte de service AD FS dispose des autorisations d'écriture nécessaires pour effectuer l'audit. Pour plus d'informations, voir la section « Configurer les audits pour AD FS » du Guide de dépannage d'AD FS.

Element properties:

Target

Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer

Parent Monitor

System.Health.SecurityState

Category

SecurityHealth

Enabled

True

Alert Generate

True

Alert Severity

Error

Alert Priority

Normal

Alert Auto Resolve

True

Monitor Type

Microsoft.Windows.2SingleEventLog2StateMonitorType

Remotable

True

Accessibility

Public

Alert Message

Impossible d'écrire dans le journal d'audit

Une tentative d'écriture dans le journal des événements de sécurité AD FS a échoué.

RunAs

Default

Source Code:

<UnitMonitor ID="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServerFailureWritingToAuditLogMonitor" Accessibility="Public" Enabled="true" Target="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer" ParentMonitorID="Health!System.Health.SecurityState" Remotable="true" Priority="Normal" TypeID="Windows!Microsoft.Windows.2SingleEventLog2StateMonitorType" ConfirmDelivery="true">

  <Category>SecurityHealth</Category>

  <AlertSettings AlertMessage="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServerFailureWritingToAuditLogMonitor_AlertMessageResourceID">

    <AlertOnState>Error</AlertOnState>

    <AutoResolve>true</AutoResolve>

    <AlertPriority>Normal</AlertPriority>

    <AlertSeverity>Error</AlertSeverity>

  </AlertSettings>

  <OperationalStates>

    <OperationalState ID="FirstEventRaised" MonitorTypeStateID="FirstEventRaised" HealthState="Error"/>

    <OperationalState ID="SecondEventRaised" MonitorTypeStateID="SecondEventRaised" HealthState="Success"/>

  </OperationalStates>

  <Configuration>

    <FirstComputerName>$Target/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</FirstComputerName>

    <FirstLogName>$Target/Property[Type="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer"]/ADFSEventLog$</FirstLogName>

    <FirstExpression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">207</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <RegExExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>MatchesMOM2005RegularExpression</Operator>

            <Pattern>(^AD FS$)</Pattern>

          </RegExExpression>

        </Expression>

      </And>

    </FirstExpression>

    <SecondComputerName>$Target/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</SecondComputerName>

    <SecondLogName>Security</SecondLogName>

    <SecondExpression>

      <RegExExpression>

        <ValueExpression>

          <XPathQuery Type="String">PublisherName</XPathQuery>

        </ValueExpression>

        <Operator>MatchesMOM2005RegularExpression</Operator>

        <Pattern>(^AD FS Auditing$)</Pattern>

      </RegExExpression>

    </SecondExpression>

  </Configuration>

</UnitMonitor>