In Azure Log Analytics è disponibile una solution specifica che consente di consolidare all’interno del workspace di Log Analytics differenti informazioni provenienti dall’ambiente Office 365, rendendo semplice e intuitiva la consultazione dei dati. In questo articolo saranno esaminate le caratteristiche di questa soluzione e verranno illustrati gli step da seguire per la relativa attivazione.
Caratteristiche dalla soluzione
La solution consente di utilizzare Log Analytics per effettuare le seguenti operazioni relative ad Office 365:
- Monitorare le attività svolte dagli amministratori, al fine di tenere traccia delle modifiche apportate alle configurazioni e delle operazioni che richiedono privilegi elevati.
- Analizzare le attività degli account Office 365 al fine di identificare le tendenze comportamentali e controllare l’utilizzo delle risorse. Si possono ad esempio esaminare quali file vengono condivisi all’esterno dell’organizzazione oppure controllare i siti di SharePoint più utilizzati.
- Fornire supporto nelle attività di audit e compliance. Risulta possibile ad esempio controllare l’accesso a specifici file ritenuti confidenziali.
- Identificare eventuali comportamenti non desiderati che vengono svolti degli utenti, sulla base di specifiche esigenze organizzative.
- Svolgere con maggiore semplicità operazioni di troubleshooting che si rendono necessarie nel proprio ambiente Office 365.
Per poter attivare questa solution è necessario disporre di un account con il ruolo Global Administrator. Ad un singolo workspace Log Analytics è possibile connettere più sottoscrizioni Office 365. Nel caso si voglia far confluire nel workspace di Log Analytics anche gli eventi di Audit di Office 365 è necessario abilitare l’auditing sulla subscription Office 365, seguendo la procedura riportata in questa documentazione.
Figura 1 – Abilitazione Office 365 audit
Attivazione della soluzione
Per attivare l’Office 365 Management solution è necessario seguire questa procedura. La solution colleziona i dati direttamente da Office 365, senza l’iterazione di alcun agente di Log Analytics.
Figura 2 – Accesso al Workspace summary dal portale Azure e aggiunta solution
Figura 3 – Selezione della solution di Office 365
Figura 4 – Selezione del workspace da utilizzare
La solution richiede la presenza di una applicazione Azure Active Directory, configurata secondo quanto riportato in seguito, la quale viene utilizzata per accedere ai dati di Office 365.
Figura 5 – Aggiunta di una nuova App registration in Azure AD
Figura 6 – Creazione dell’App registration necessaria per la solution
Figura 7 – Attivazione dell’impostazione Multi-tenanted
Figura 8 – Aggiunta API Access per Office 365 Management APIs
Figura 9 – Selezione dei permessi necessari per Office 365 Management APIs
Figura 10 – Assegnazione dei permessi
Per poter configurare la solution è richiesta una chiave per l’applicazione Azure Active Directory creata.
Figura 11 – Generazione di una chiave per l’applicazione
Giunti a questo punto è necessario eseguire lo script PowerShell office365_consent.ps1 che abilita l’accesso amministrativo. Tale script è disponibile a questo indirizzo.
Figura 12 – Command line di esempio per l’esecuzione dello script office365_consent.ps1
Figura 13 – Richiesta del consenso amministrativo
L’ultimo step necessario per completare l’attivazione è l’esecuzione dello script PowerShell office365_subscription.ps1, anch’esso disponibile a questo indirizzo, il quale sottoscrive l’applicazione Azure AD creata al workspace Log Analytics.
Figura 14 – Command line di esempio per l’esecuzione dello script office365_subscription.ps1
In seguito alla configurazione iniziale possono essere necessari diversi minuti prima di visualizzare i dati di provenienti da Office 365 in Log Analytics. Tutti i record creati da questa solution in Log Analytics hanno valorizzato il Type in OfficeActivity. Il valore contenuto nella proprietà OfficeWorkload determina a quale Servizio di Office 365 si riferisce: Exchange, Azure Active Directory, SharePoint, oppure OneDrive. Nella proprietà RecordType viene invece riportata la tipologia di operazione svolta.
La solution aggiunge nella dashboard il seguente tile:
Figura 15 – Tile di Office 365
Selezionandolo si viene rimandati nella dashboard specifica, la quale suddivide per servizi le varie attività collezionate di Office 365.
Figura 16 – Dashboard di Office 365
Ovviamente è possibile eseguire anche delle query specifiche in base alle proprie esigenze:
Figura 17 – Esempi di query di riportare specifici record collezionati dalla solution
Conclusioni
La raccolta in Log Analytics delle attività svolte in Office 365 consente di avere un controllo capillare dell’ambiente, al fine di poter ottemperare al meglio e con un unico strumento alle normative riguardanti l’auditing e la compliance.
