Vous remarquerez qu'il s'agit de VSAE en version 1.2.0.0, et qu'il est compatible avec toutes les versions de Visual Studio 2015, 2013 et 2012.

Si le développement n'est pas votre fort, il est toujours possible d'utiliser l'outil gratuit de l'éditeur Silect à cette adresse : https://www.silect.com/mp-author

Bon "authoring" !

ACS est gratuit, on va dire que c'est une feature de Scom, et qu'il répond clairement à des problématiques qui ne sont parfois pas adressées dans le monde de l'entreprise.

Le RSSI ou la personne en charge de la sécurité pourrait avoir un certain nombre d'indicateurs ou de rapports sur ce qu'il ne va pas bien autour de la sécurité avec une "simple" installation qui n'ajoute pas de surcoût de licence dans une infrastructure Scom existante.

En plus d'ACS qui est OnPremise, on a maintenant OMS avec des informations plus fines autour de la détection d'intrusion:  https://blogs.technet.com/b/momteam/archive/2015/09/10/find-out-if-your-servers-are-talking-to-a-malicious-ip-address-with-operations-management-suite.aspx

Un super exemple d’utilisation d’OMS est la détection d'une attaque de type pass the hash lors de l'utilisation de mimikatz https://blogs.technet.com/b/privatecloud/archive/2015/07/20/security-threat-analysis-using-operations-management-suite.aspx

Alban

Did you ever try to create an Exchange connector (version 3.1) in System Center Service Manager 2012 R2 console ?

If yes, you know it is quite straightforward ... but sometimes, when you entered next in this screen

 Patatra ! it crashes with a message telling you that a Value cannot be null...

As you are curious, you look at the stack trace and you can see a line similar to :

     at Microsoft.SystemCenter.ExchangeConnector.InboxConnectorWizardDataLists.IncidentTemplatesList()

So, there is something related to your templates of incidents. But where are these templates ?

They are described in this MP :      ServiceManager.IncidentManagement.Configuration.xml.

So, let's export this MP. You can see in this file a lot of lines similar to

                <ObjectTemplate ID="Template.e46dc50d61ad44d398082a5c3c339150" ...

then, after, a related section like

                <DisplayString ElementID="Template.e46dc50d61ad44d398082a5c3c339150">

The Exchange connector is not happy if there is an ObjectTemplate without any DisplayString

OK, fine, but, you know what ? There are usually a lot of ObjectTemplate lines to check !!!

So, I just created a (very dirty) Powershell script which will display the ObjectTemplate without any DisplayString.

In order to use it, you have to

-- Create a directory

-- Copy in this directory these 2 files : CheckDisplayName.ps1 and ServiceManager.IncidentManagement.Configuration.xml you exported before

-- Open a windows powershell command, go in your directory and run .\CheckDisplayName.ps1

In my case, I got this output showing this template

 So, now, you have to

-- Save your current ServiceManager.IncidentManagement.Configuration.xml in a safe place

-- Open  ServiceManager.IncidentManagement.Configuration.xml  with your favorite editor

-- Locate this specific  <ObjectTemplate ID="Template.9c028a3494c64b7fbfbce2eac9caf54e" section and delete the complete section, beginning with <ObjectTemplate  and finishing with </ObjectTemplate>

-- Import the modified ServiceManager.IncidentManagement.Configuration.xml 

and now the connector is no more crashing. Yes !

CheckDisplayName.zip

Si comme moi, vous utilisez  Windirstat pour retrouver plus facilement les données stockées sur votre disque dur, alors pourquoi ne pas faire la même chose avec Scom ? :-)

Voici le lien qui pourrait vous donner des idées pour visualiser différemment les données de Scom:

https://store.office.com/treemap-wa104067194.aspx?assetid=wa104067194

Alors pourquoi ne pas mettre une partie de l'infra Scom dans Azure ?

• Si vous parlez d'une Gateway, c'est parfait, c'est fait pour cela.
• Si vous parlez d'un Management Server ou de la base de données pour splitter votre infrastructure chez vous et dans le cloud, le problème va être la latence. Si vous utilisez PsPing par exemple vous aurez une idée de la latence entre votre datacenter et celui de Microsoft. Si vous avez comme dans le test que j'ai fait environ 150 ms, alors ne séparez pas vos management servers, ni la base de données.
• Si vous n'avez pas de problème de latence et que vous souhaitez mettre la base de données en SQL Azure, le problème sera que les bases SQL Azure ne gèrent que des comptes SQL et pas kerberos ! https://msdn.microsoft.com/en-us/library/azure/ff394108.aspx

• Vous aurez toujours la possibilité de mettre la base dans une VM dans Azur, et de monter un réseau de site à site par exemple, mais comme vous le verrez ci-dessous ce n'est pas ce que nous recommandons.

Les recommandations du groupe produit sont les suivantes :

From https://blogs.technet.com/b/momteam/archive/2014/01/17/system-center-2012-operations-manager-supported-configurations-interop-etc.aspx

Enfin, pour compléter ce qu'il est possible de faire, différents articles de Cameron Fuller pourront vous aider à architecturer votre solution : https://blogs.catapultsystems.com/cfuller/archive/2013/12/04/operations-manager-and-azure-better-together-introducing-the-azure-monitoring-gateway-[sysctr-scom-azure].aspx

Daniele Muscetta qui est un ancien PFE, passé du côté "group produit", il propose une amélioration qui nous permettrait d'avoir de meilleurs recherches et la possibilité de filtrer/grouper les eventlog sur les critères/paramétres qui sont dans la description ! Aujourd'hui Advisor (renommé Microsoft Azure Operational Insights), est à mon avis une super Feature de Scom. Donc si vous voulez pouvoir en tirer parti au maximum, n'hésitez pas à cliquer sur le lien et à voter pour que le développement soit fait. 

Beaucoup d'informations intéressantes vous sont proposées, comme les changements de configurations, sur la sécurité, le capacity, etc. Dans les nouveautés, on note la partie SQL annoncée il y a quelques jours :

Vous retrouverez ces points et bien plus sur le blog de l'équipe https://blogs.technet.com/b/momteam/

Dans la suite de ce post, je vais vous montrer comment rajouter de nouvelles informations dans l'eventlog et les afficher dans la partie "log management".Connaissez-vous l'outil Sysmon de Mark Russinovich ?  https://technet.microsoft.com/en-us/sysinternals/dn798348

Il a été développé pour détecter des activités malicieuses comme le lancement de nouveau process, le changement de la date de création d'un fichier, l'activité réseau.

L'outils trace dans un eventlog particulier, ce qui va vous permettre de:

• Soit créer des règles de collecte avec des rapports Scom. (old school)
• Soit d'utiliser Azur, pour stocker et présenter ces données.

En effet la seconde méthode est plus simple/pratique, car vous avez moins de configuration à faire, et la présentation des données est plus dynamique qu'un "simple" rapport SQL. On est beaucoup plus proche de ce que l'on peut faire avec PowerPivot, comme drill-down ou des filtres dynamiques.

En terme de configuration, il faut :

1. Installer sysmon sur un ou plusieurs serveurs. Example : sysmon –i -accepteula –h md5 –n
2. Faire en sorte que l'agent remonte des informations à Advisor
3. Configurer la remontée de l'eventlog de sysmon:

En terme de consultation, comme vous pouvez le voir ci-dessous :

1 <--> Le nombre d'évènements par serveur

2 <--> Ajout d’un filtre

3 <--> Le détail des éléments collectés ! :-)

Vous constaterez que Sysmon va remonter sur un agent Scom tous les lancements des scripts puisque tous les eventID 1 sont des créations de nouveaux process.

 Enfin si vous voulez maitriser la recherche et le filtrage, vous pouvez aller voir le Blog de Daniele Muscetta

It could quite complicated to go with perfmon as the proccess doesn't have the name of the instance in it :/

But you can retive the memory use by SQL DB engine by running the following queries:
select cntr_value from sys.dm_os_performance_counters where counter_name like 'Total Server Memory (KB)%'

This MP is design to provide you 2 collection rules and a monitor. It’s apply on SQL 2008, 2008 R2 and 2012 DB engine.

First rule is named: “MSSQL 2008: Collect DB Engine Memory (MB)”
It simply collect the MB consume by this instance.

Second rule is: “MSSQL 2008: Collect DB Engine Memory (%)”
The percentage is the amount of MB use divided by the SQL max memory set for the instance.
If SQL max memory isn't configured, it gets system memory instead.

The monitor will raise an alert if the percentage value goes over 90% (4 samples every 5 min)

 
Here is a look on what it's look like :

Prerequisite of this MP : SQL MP 6.4.1.0

Find the MP has attachement or on TechNet Gallery : https://gallery.technet.microsoft.com/SQL-Memory-Collection-and-c04ae51e

SQLAddition.xml

1. Certaines règles sont désactivées par défaut. Il faut donc rajouter des overrides pour voir la plupart des compteurs de performance.
2. Bien que ce ne soit pas précisé dans la documentation, vous devez utiliser l'installeur pour enregistrer des .dll sur tous les Management Server. Cela permettra l'exécution des scripts vbs.

Ainsi, si vous aviez cette erreur sur l'un de vos Management Server:

C:\Program Files\Microsoft System Center 2012 R2\Operations Manager\Server\Health Service State\Monitoring Host Temporary Files 1856\34365\vserverTablePerformanceProvider.vbs(49, 10) Microsoft VBScript runtime error: ActiveX component can't create object: 'SScripting.SNMPManager'

Après installation du msi, le script vserverTablePerformanceProvider.vbs lancé à la main avec les bons paramétres retournera enfin des valeurs valides à Scom et vous verrez de nouveaux graphiques apparaitre !

La ligne 49 du script vserverTablePerformanceProvider.vbs correspond à :

Set oSNMP = CreateObject("SScripting.SNMPManager")

Pour information, si vous ouvrez la DLL SScrRun.dll avec un simple éditeur de texte, vous retrouverez bien la référence à SScripting.SNMPManager !

Si vous avez testé la preview d'advisor, vous avez du remarquer qu'il est possible de revoir l'historique de la  configuration de vos machines, exemple ici avec un serveur SQL dont le nombre de processeurs a changé et dont la configuration du moteur SQL a aussi changée:

La configuration de Scom se fait principalement par le tuning des management packs, ce tuning se traduit par un override que l'on retrouvera dans vos Management Packs d'overrides qu'il faut sauvegarder régulièrement.

Grace au script de Stefan Roth sur stefanroth.net, il est possible de retrouver ce que l'on appelle l'effective configuration de vos agents !

Je me suis inspiré de son script pour alimenter une base de données de nom EffectiveConfiguration.

Dans le script original, j'ai juste rajouté cela:

################################################################# 
#             Change data for your connection String            # 
################################################################# 
$Serveur="full2012R2.NABLA.LOCAL" # Change for your Server Name   # 
$Database="EffectiveConfiguration" # Change for your Database Name      # 
$Table="dbo.Configuration" # Change for your Table Name          # 
################################################################# 
$SQLConnect = new-object system.data.sqlclient.sqlconnection 
$SQLConnect.connectionstring = "Server=$Serveur;database=$Database;trusted_connection=yes;" 

#For each data in array:
$i = 1
$Requete =""
#do {Write-Host $i; $i++}

while ($i -le $array.Count)
{$i
        $Requete = "INSERT INTO [dbo].[Configuration]([ServerName],[Class],[InstanceName],[RuleMonitor],[Enabled],[GeneratesAlert],[AlertSeverity],[AlertPriority],[AlertType],[AlertDescription],[Overriden],[Parameter1],[DefaultValue1],[EffectiveValue1],[Parameter2],[DefaultValue2],[EffectiveValue2],[Parameter3],[DefaultValue3],[EffectiveValue3],[Parameter4],[DefaultValue4],[EffectiveValue4],[DateAdded]) VALUES ('"+$array[$i].ServerName+"','"+$array[$i].class+"','"+$array[$i].InstanceName+"','"+$array[$i].RuleMonitor+"','"+$array[$i].Enabled+"','"+$array[$i].GeneratesAlert+"','"+$array[$i].AlertSeverity+"','"+$array[$i].AlertPriority+"','"+$array[$i].AlertType+"','"+$array[$i].AlertDescription+"','"+$array[$i].Overriden+"','"+$array[$i].Parameter1+"','"+$array[$i].DefaultValue1+"','"+$array[$i].EffectiveValue1+"','"+$array[$i].Parameter2+"','"+$array[$i].DefaultValue2+"','"+$array[$i].EffectiveValue2+"','"+$array[$i].Parameter3+"','"+$array[$i].DefaultValue3+"','"+$array[$i].EffectiveValue3+"','"+$array[$i].Parameter4+"','"+$array[$i].DefaultValue4+"','"+$array[$i].EffectiveValue4+"','"+$array[$i].DateAdded+"')"
  #$temporaire= $array[$i].class+"','"+$array[$i].InstanceName+"','"+$array[$i].RuleMonitor+"','"+$array[$i].GeneratesAlert+"','"+$array[$i].AlertSeverity+"','"+$array[$i].AlertPriority+"','"+$array[$i].AlertType+"','"+$array[$i].AlertDescription+"','"+$array[$i].Overriden+"','"+$array[$i].Parameter1+"','"+$array[$i].DefaultValue1+"','"+$array[$i].EffectiveValue1+"','"+$array[$i].Parameter2+"','"+$array[$i].DefaultValue2+"','"+$array[$i].EffectiveValue2+"','"+$array[$i].Parameter3+"','"+$array[$i].DefaultValue3+"','"+$array[$i].EffectiveValue3+"','"+$array[$i].Parameter4+"','"+$array[$i].DefaultValue4+"','"+$array[$i].EffectiveValue4+"','"+$array[$i].DateAdded+"')"
  
        Write-Host -ForegroundColor Green $Requete
        # End Connection String  
        $SQLConnect.Open() 
        $command = New-object system.data.sqlclient.SqlCommand  
        $command.connection = $SQLConnect 
        $command.commandtext = $Requete 
        $command.Executenonquery()  
   
        # Close Connection to SQL Server
        $SQLConnect.Close()
 $i++      
}
 

Ensuite, j'ai fait un rapport pour visionner la configuration de mes agents, faire des recherches selon différents critères et pour suivre la configuration.

La requête ressemble à ceci:

SELECT [ServerName]      ,[Class]      ,[InstanceName]      ,[RuleMonitor]      ,[Enabled]      ,[GeneratesAlert]      ,[AlertSeverity]      ,[AlertPriority]      ,[AlertType]      ,[AlertDescription]      ,[Overriden]      ,[Parameter1]      ,[DefaultValue1]      ,[EffectiveValue1]      ,[Parameter2]      ,[DefaultValue2]      ,[EffectiveValue2]      ,[Parameter3]      ,[DefaultValue3]      ,[Parameter4]      ,[DefaultValue4]      ,[EffectiveValue4]      ,[DateAdded]  FROM [EffectiveConfiguration].[dbo].[Configuration] where [ServerName] in (@ServerName)and [Class] in (@Class)and [InstanceName] in (@InstanceName)and [RuleMonitor] in (@RuleMonitor)and enabled in (@Enabled)and DateAdded in (@DateAdded)and [GeneratesAlert] in (@GeneratesAlert)and [AlertSeverity] in (@Severity)and [AlertPriority] in (@Priority)and [AlertType] in (@Type)

Et voici ce à quoi cela ressemble dans la console de développement des rapports:

Ensuite il ne reste plus qu'à planifier le PowerShell toutes les semaines par exemple pour retrouver la configuration de tous mes agents, et à consulter le rapport lorsque j'en ai besoin !

Il s'agit d'un "proof of concept" et cela peut bien entendu être adapté à vos besoins. Vous retrouverez le rapport .rdl en attachement.

EffectiveConfiguration.zip