Det gick inte att skriva till granskningsloggen

Microsoft.ActiveDirectoryFederationServices2012R2.FederationServerFailureWritingToAuditLogMonitor (UnitMonitor)

Knowledge Base article:

Sammanfattning

Ett försök att skriva en granskning till säkerhetsloggen i loggboken misslyckades.

Vid lyckad loggning av en AD FS-granskning ändras övervakarens tillstånd till grönt och den ursprungliga kritiska varningen löses automatiskt.

Orsaker

Följande är troliga orsaker till händelsen:

Tjänsten för säkerhetshändelseloggen är inte tillgänglig.
Federationstjänsten saknar behörigheter för att skriva till säkerhetsloggen.

Lösningar

Möjliga lösningar på problemet är följande:

Verifiera att följande tjänster körs i serverhanterarens tjänstnod:
Windows felrapporteringstjänst
Windows Event Collector
Windows händelselogg
Kontrollera att federationstjänsten har de behörigheter som krävs för att skriva till säkerhetsloggen. Det inkluderar att verifiera att AD FS-tjäntens konto har skrivbehörigheter för att utföra granskningar. Mer information finns i avsnittet Konfigurera granskning för AD FS i avsnittet AD FS felsökningsguide.

Element properties:

Target

Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer

Parent Monitor

System.Health.SecurityState

Category

SecurityHealth

Enabled

True

Alert Generate

True

Alert Severity

Error

Alert Priority

Normal

Alert Auto Resolve

True

Monitor Type

Microsoft.Windows.2SingleEventLog2StateMonitorType

Remotable

True

Accessibility

Public

Alert Message

Det gick inte att skriva till granskningsloggen

Ett försök att skriva till säkerhetshändelseloggen för AD FS misslyckades.

RunAs

Default

Source Code:

<UnitMonitor ID="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServerFailureWritingToAuditLogMonitor" Accessibility="Public" Enabled="true" Target="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer" ParentMonitorID="Health!System.Health.SecurityState" Remotable="true" Priority="Normal" TypeID="Windows!Microsoft.Windows.2SingleEventLog2StateMonitorType" ConfirmDelivery="true">

  <Category>SecurityHealth</Category>

  <AlertSettings AlertMessage="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServerFailureWritingToAuditLogMonitor_AlertMessageResourceID">

    <AlertOnState>Error</AlertOnState>

    <AutoResolve>true</AutoResolve>

    <AlertPriority>Normal</AlertPriority>

    <AlertSeverity>Error</AlertSeverity>

  </AlertSettings>

  <OperationalStates>

    <OperationalState ID="FirstEventRaised" MonitorTypeStateID="FirstEventRaised" HealthState="Error"/>

    <OperationalState ID="SecondEventRaised" MonitorTypeStateID="SecondEventRaised" HealthState="Success"/>

  </OperationalStates>

  <Configuration>

    <FirstComputerName>$Target/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</FirstComputerName>

    <FirstLogName>$Target/Property[Type="Microsoft.ActiveDirectoryFederationServices2012R2.FederationServer"]/ADFSEventLog$</FirstLogName>

    <FirstExpression>

      <And>

        <Expression>

          <SimpleExpression>

            <ValueExpression>

              <XPathQuery Type="UnsignedInteger">EventDisplayNumber</XPathQuery>

            </ValueExpression>

            <Operator>Equal</Operator>

            <ValueExpression>

              <Value Type="UnsignedInteger">207</Value>

            </ValueExpression>

          </SimpleExpression>

        </Expression>

        <Expression>

          <RegExExpression>

            <ValueExpression>

              <XPathQuery Type="String">PublisherName</XPathQuery>

            </ValueExpression>

            <Operator>MatchesMOM2005RegularExpression</Operator>

            <Pattern>(^AD FS$)</Pattern>

          </RegExExpression>

        </Expression>

      </And>

    </FirstExpression>

    <SecondComputerName>$Target/Host/Host/Property[Type="Windows!Microsoft.Windows.Computer"]/NetworkName$</SecondComputerName>

    <SecondLogName>Security</SecondLogName>

    <SecondExpression>

      <RegExExpression>

        <ValueExpression>

          <XPathQuery Type="String">PublisherName</XPathQuery>

        </ValueExpression>

        <Operator>MatchesMOM2005RegularExpression</Operator>

        <Pattern>(^AD FS Auditing$)</Pattern>

      </RegExExpression>

    </SecondExpression>

  </Configuration>

</UnitMonitor>