VMware 用 Netwrix Auditor
Netwrix Auditor を実行 → クリック Reports→ 選択 VMware→ 選択 All ESXi and vCenter Logon Activity→ クリック View。
詳しくは Netwrix Auditor for VMware
ネイティブ ソリューション
すべての失敗したログオン試行を一覧表示するには
- VMware® vCenter Server® に接続している状態で、VMware® vSphere® クライアントで Events を［管理（Management）］セクションでクリックします。
- Description, Type or Target contains フィールドに入力します。
cannot login
最近の失敗したログオン試行の一覧が、次の詳細情報とともに表示されます。
- Description フィールドには、接続が試行されたユーザー名と IP アドレスが一覧表示されます。
- 失敗したログイン試行が VMware® ESX®/VMware® ESXi™ ホストに対して行われた場合、Target フィールドには ESX/ESXi のホスト名または IP アドレスが表示されます。失敗したログイン試行が vCenter Server 宛てだった場合、Target フィールドは空欄になります。
特定の期間内のイベントをレポートするには
注記：この方法では、ESX/ESXi ホストへの失敗したログインと vCenter Server への失敗したログインを区別しません。
- vCenter Server に接続した状態で、vSphere Client で File > Export > Export Events をクリックします。
- ファイル名と保存場所を入力します。
- Warning および Information Severity のオプションの選択を解除します。
- 日付／時刻の範囲を選択します。
- OK をクリックします。
メモ：この処理は、大規模な環境では時間がかかる場合があります。進行状況は、Export Events 画面の下部に表示されます。 - 生成されたファイルをテキストエディターで開き、cannot login を検索して、失敗したログイン試行を見つけます。
VMware® Power CLI を使用
このサンプルスクリプトは、2019/11/10 から 2019/11/13 までの間に vCenter Server により管理されている ESX/ESXi ホストへの失敗したログインの一覧を生成します：
connect-viserver -server vCenter Server hostname
$hostevents = Get-VIEvent -start 10/11/2019 -finish 13/11/2019 -maxsamples 100000 | where-object {$_.Host.Name -notlike ""}
foreach ($event in $hostevents) {if ($event.fullFormattedMessage -match "Cannot login (.*)@(.*)") {Write-Host ("User " + $matches[1] + " failed to login to " + $event.Host.Name + " from " + $matches[2] + " at: " + $event.createdTime)} }
サンプル出力：
User root failed to login vm01.enterprise.com from 192.168.1.66 at: 12/11/2019 15:51:25
User jmclaren failed to login vm01.enterprise.com from 192.168.1.66 at: 12/11/2019 17:02:51
次の点に注意してください：
- 大規模な環境では、処理にしばらく時間がかかる場合があります。
- すべての結果が返されていない可能性がある場合は、 -maxsamples パラメーターをより高い値に設定してください。
- 利用可能なイベントは、保持ポリシーに依存します。保持ポリシーが 10 日に設定されている場合、20 日前の失敗したログオンに関するデータは利用できません。
- イベントをエクスポートするには、十分な権限が必要です。
共有する