使用SCOM 2007 診斷追蹤功能

SCOM 2007 內涵診斷追蹤功能，提供例如[來源程式碼檔案名稱]、 [位置]、 [原始碼函式] 和 [傳回碼等資訊。這些資訊在疑難排除上應可提供一定程度的參考依據。

1. 登入SCOM RMS 後，進入%Program%\System Center Operations Manager 2007\Tools\

2. 執行StartTracing LEVEL, LEVEL代表以下四種參數，表示Tracing程度等級:

a. ERR : 追蹤Critical事件

b. WRN : 追蹤Warning事件

c. INF : 追蹤Information事件

d. VER : 追蹤全部事件

3. 完成以上步驟，表示已經開始進行診斷追蹤功能

4. 執行StopTracing, 則停止診斷追蹤功能

5. 執行FormatTracing, 則可將診斷ETL檔案格式化成TXT檔案，以利讀取

6. 執行完成後，可在%systemroot%\Temp\OpsMgrTrace，找到診斷事件檔案。

參考KB來源: http://support.microsoft.com/kb/942864/en-us

SCOM 2007 事件收集規則 - Generic CSV Text Log

SCOM 2007 事件收集規則 - Generic CSV Text Log

Generic CSV Text Log類型的日誌檔是帶有分隔符號的普通文本日誌檔，分隔符號將每條日誌行目分成若干欄位。SCOM 2007將監視新產生的日誌行目中指定的欄位，當發現符合規則設定的過濾條件時將觸發事件並顯示在用戶端的事件視圖上。

-日誌檔是存放在被監視用戶端上的。

-過濾條件運算式中參數名稱是Params/Param[#]，“#”表示第幾個欄位（從1開始）。

創建收集規則：

本例監視用戶端電腦CSS-27中的日誌檔C:\temp\test-3.txt。當發現新日誌行目的第三欄位含有字串“engineer”時將觸發產生事件，並顯示在用戶端CSS-27的事件視圖上。

本例的日誌檔是如下所示的C:\temp\test-3.txt，逗號是分隔符號。它存放在用戶端電腦CSS-27中。

（01） 設置規則類型和管理組件。

規則類型：Collection Rules->Event Based->Generic CSV Text Log

管理組件：選擇新創建的test-MP。

（02） 設置規則名稱和描述，選擇目標（本例為Agent）並啟用該規則。

（03） 指定日誌檔的路徑、名稱和分隔符號。如果日誌檔包含有UTF8編碼的資料，請勾選UTF8。

Directory：日誌檔路徑，本例是c:\temp

Pattern：日誌檔案名稱，本例是test-3.txt

Separetor：分隔符號，本例是逗號“，”

（04） 設置過濾條件。本例將過濾出第三欄位中包含字串“engineer”的日誌行目。

Parameter Name： Params/Param[3]

Operator： 選擇Contains

Value： engineer

按下"Create"完成事件規則建置

測試：

在電腦CSS-27上執行下面的命令（c:\temp\test.txt中只有一行日誌行目）添加第三欄位含有字串“engineer”的新日誌行到日誌檔c:\temp\test-3.txt中。

more c:\temp\test.txt >> c:\temp\test-3.txt

查看電腦CSS-27的事件視圖將顯示符合過濾條件的該行資訊，該行有4個欄位。

點擊“View Event data”查看事件詳細資料。

SCOM Agent 部份欄位顯示Unknow或空白

SCOM Agent 有某些欄位會顯示Unknow或空白如下圖

會發生這種原因主要問題大致可分為二種

1. Agent 本身Performance Count 有損毀,處理這種問題請在Agent 的命令提示字元視窗下執行lodctr /R 後重新開機

2. Agent 本身JS檔案關連性被改掉了,因為針對Agent的某些特定資料是透過執行JS檔案來收集,如果JS檔案關連性被改掉了,檔案無法執行成功資料也就收不回來了,處理方式為打開登錄編輯程式找到HKEY_CLASSES_ROOT\.js將預設值由xxxx.js改為JSFile,然後清除SCOM Agent Cache,再重啟SCOM Agent Service 即可

SCOM 2007 事件收集規則 - Generic Text Log

SCOM 2007 事件收集規則 - Generic Text Log

Generic Text Log類型的日誌檔是不帶分隔符號的普通文本日誌檔。SCE 2007將檢查日誌檔中新產生的日誌行目，當發現符合規則設定的過濾條件時將觸發事件並顯示在用戶端的事件視圖上。

-日誌檔是存放在被監視用戶端上的。

-過濾條件運算式中參數名稱是Params/Param[1]，是把整行看作一個欄位。

建置收集規則：

本例監視用戶端電腦CSS-27中的日誌檔C:\temp\test-3.txt。當發現含有字串“engineer”的新日誌行目時將觸發產生事件，並顯示在用戶端CSS-27的事件視圖上。

本例的日誌檔如下所示，此處的逗號不是分隔符號。它存放在用戶端電腦CSS-27中。

1. 設置規則類型和管理包。

規則類型：Collection Rules->Event Based->Generic Text Log

管理組件：選擇新創建管理組件test-MP。

2. 設置規則名稱和描述，選擇目標並啟用該規則。

Rule target：Agent

3. 指定日誌檔的路徑、名稱。如果事件檔包含有UTF8編碼的資料，請勾選UTF8。

Directory：事件檔路徑，本例是c:\temp

Pattern：事件檔案名稱，本例是test-3.txt

4. 設置過濾條件。本例將過濾出日誌行目中包含字串“enginerr”的行。

Parameter Name： Params/Param[1]

Operator： 選擇Contains

Value： engineer

按下"Create"完成創建事件收集規則。

測試：

在電腦CSS-27上執行下面的命令添加含有字串“engineer”的新日誌行到日誌檔c:\temp\test-3.txt中（c:\temp\test.txt中只有一行日誌行目）。

more c:\temp\test.txt >> c:\temp\test-3.txt

查看電腦CSS-27的事件視圖將顯示符合過濾條件的該行資訊，它是把整行看作一個欄位。

點擊“View Event data”，可以看到事件的詳細內容。

SCOM 2007 Audit Report 建議使用週期

SCOM 2007 提供Windows 安全稽核報表服務，但必須要靈活運用這些報表功能

方能達到整合客戶日常稽核流程！不同的報表依造其內容特性，

固定周期產出報表進行稽核作業。請參考下表：

帳號管理-稽核報表
報表名稱	每日	每週	每月	每季	稽核
Access-Violation-Unsuccessful Logon Attempts	★	★	★		★
Account Management-Domain and Build-in Administrator Membership Changes		★	★		★
Account Management-Password Change Attempts by Non-Ower		★	★		★
Account Management-User Account Create			★		★
Account Management-User Account Delete			★		★

特定事件-稽核報表
報表名稱	每日	每週	每月	每季	稽核
Forensic_-_All_Events_For_Specified_Computer					★
Forensic_-_All_Events_For_Specified_User					★
Forensic_-_All_Events_With_Specified_Event_ID					★

效能調校用報表
報表名稱	每日	每週	每月	每季	稽核
Planning-Event_Count			★
Planning-Event Count By Computer			★
Planning-Hourly Event Distribution			★
Planning-Logon Counts of Privileged Users		★	★		★

效能調校用報表
報表名稱	每日	每週	每月	每季	稽核
System_Integrity-Audit_Failure		★	★	★	★
System_Integrity-Audit_Log_Cleared		★	★	★	★

使用統計類-稽核報表
報表名稱	每日	每週	每月	每季	稽核
Usage_-_Object_Access		★	★	★	★
Usage_-_Privileged_logon		★	★	★	★
Usage_-_Sensitive_Security_Groups_Changes		★	★	★	★
Usage_-_User_Logon					★

SCOM Agent Push Install Required

在已經加入網域且作業系統支援的情況下，以Push的方式來安裝Agent是最方便的作法，但有幾點需求要特別注意

1. Push Install Agent Account 對於被佈署的機器具有Local Administrator 權限
2. 以下Firewall Port 必須開通

• RPC endpoint mapper TCP/UDP Port number: 135
  
• RPC/DCOM High ports (2000/2003 OS) TCP/UDP Ports 1024-5000
  
• RPC/DCOM High ports (2008 OS) TCP/UDP Ports 49152-65535
  
• NetBIOS name service TCP/UDP Port number: 137
  
• NetBIOS session service TCP/UDP Port number: 139
  
• SMB over IP TCP Port number: 445
• MOM Channel TCP/UDP Port number: 5723
  

3.下列服務必須啟用

• Netlogon
  
• Remote Registry
  
• Windows Installer
  
• Automatic Updates

若上述的條件都符合但是Push Install 仍有問題，可能要朝SPN、名稱解析或網路部份來查找問題。

SCOM 2007 各服務帳號權限等級

SCOM 2007 各項服務都需要有壓帳號執行各功能，以下是各個功能所需的帳號權限需求表：

Account name	Requested when	Used for	Low maintenance	High security
Management Server Action Account	Management Server setup	Collecting data from providers, running responses	Local system	Low privilege domain account
SDK and Configuration Service Account	Management Server setup	Writing to operational database, running services	Local system	Low privilege domain account
Local Administrator Account for target devices	Discovery and push agent install	Installing agents	Domain or local administrator account	Domain or local administrator account
Agent Action Account	Discovery and push agent install	Gathering information and running responses on managed computers	Local system	Low privilege domain account
Data Warehouse Write Action Account	Reporting Server setup	Writing to the Reporting Data Warehouse database	Low privilege domain account	Low privilege domain account
Data Reader Account	Reporting Server setup	Querying SQL Reporting Services database	Low privilege domain account	Low privilege domain account