Audit Index

Microsoft Office 365 監査 Source イベント

次のイベントが発生すると、Sumo では Microsoft Office 365 監査 Source の監査メッセージが記録されます。

• Microsoft での Source 登録成功
• Microsoft からのコンテンツの読み取りの失敗
• トークン更新失敗イベント
• サブスクリプション ウォッチポイント失敗イベント

このイベントを検索するには、次のクエリを使用します。

_index=sumologic_audit _sourcecategory=account_management _sourceName=collector

イベントには次の形式があります。

登録成功イベント

Received validation notification from Office 365 for Audit Source with ID SOURCEID, name SOURCENAME. Validation code - VALIDATIONCODE

コールバック失敗イベント

Failed to read back from Office 365 for audit source with ID SOURCEID, name SOURCENAME. Object identifier - CONTENTURI

トークンまたはサブスクリプション失敗イベント (NAME には token または watchpoint が入ります)

Failed to refresh OAuth NAME for source SOURCENAME. Exception: EXCEPTION. Error message: ERRORMESSAGE

スロットリング イベント

アカウント管理 Source Category (_sourceCategory=account_management) とボリューム割り当て Source (_sourceName=VOLUME_QUOTA) のについて、Audit Index (_index=sumologic_audit) ステータスが記録されます。ステータスには、過去 15 分で調整が行われたリソースのタイプが含まれます。

調整が発生した時点でアラートを送信するように Scheduled Search を設定することができます。「Scheduled Search」を参照してください。 

レポートされるスロットリング イベントには次のものがあります。

• LogIngest。Sumo Logic に送信されたログ データが一時的に調整されました。
• MetricIngest。Sumo Logic に送信されたメトリクス データが一時的に調整されました。

調整イベントは、以下の条件が成立すると Audit Index にレポートされます。

• 過去 15 分間に調整イベントが発生した。
• Collector Source の 8% 以上が時間間隔のデータ調整効果を経験した。

たとえば、以下のクエリで検索すると:

_index=sumologic_audit _sourceCategory=account_management _sourceName=VOLUME_QUOTA  "rate limit"

以下の調整通知が返されます。

An automatic data ingest rate limit has been temporarily enabled for your account. (Resource type: LogIngest)

Amazon CloudWatch メトリクスのスロットリング イベント

Amazon で関連する API に設定されている制限値を超えると、AWS は自動的に CloudWatch データをスロットリングします。  アカウントに大量のメトリクス データ ポイントがある場合、Amazon によって CloudWatch データのスロットリングが行われる可能性があります。

Sumo Logic 側でスロットリングが行われない場合、Amazon 側でのスロットリングによって、メトリクス データが欠落する可能性があります。これを防ぐため、1 回の間隔で複数のスロットリング メッセージを受信した場合、Sumo Logic では、CloudWatch のスキャン間隔が自動的に 2 倍になります。ただし、スキャン間隔の変更は Sumo Logic UI には反映されません。元の設定間隔が依然として表示されます。CloudWatch のスキャン間隔を設定する方法については、「Amazon CloudWatch メトリクス Source」を参照してください。 

スキャン間隔を大きく擦ると、監査ログにメッセージが追加されます。Sumo Logic ユーザによる操作は不要です。 

Audit Index で調整通知を特定するためのクエリの例を示します。

_index=sumologic_audit _sourceCategory=account_management _sourceName=COLLECTOR

このクエリにより、以下の調整通知が返されます。

CloudWatch source ui-cw-oldPrimary received throttling exception from AWS while querying for metrics.
Increasing scan interval to 20 minutes.

監査 Source OAuth トークンとウォッチポイントの更新

監査 Source について、Sumo Logic は OAuth トークンとサブスクリプション ウォッチポイントを定期的に更新することで、データの消失を防止しています。 

何らかの理由で更新に失敗すると、監査ログにメッセージが追加されます。

以下は、Audit Index で更新失敗通知を検索するためのクエリの例です。

_index = sumologic_audit  _sourcecategory = "account_management" _sourceName=COLLECTOR

このクエリにより、以下の更新失敗通知が返されます。

Failed to refresh OAuth token for source SOURCE_NAME.
Exception: com.sumologic.cocoa.api.FailedThirdPartyOperationException
Error message: Status code: 400, error message: { "error": "invalid_grant", "error_description": "Token has been expired or revoked."}....