🐥

Intuneでlog analytics agentを配布して、従業員のPC起動時間をモニタリングする。

2022/07/05に公開3件

Intune

tech

実現したい事

Intuneで全社員のWindowsPCにlog analytics agentを配布する！(with Azure)
Azure モニターでいつでもWindowsログを見れるようにする。

前提

著者：Webエンジニア（フロントエンド、サーバーサイド）情シスほぼ未経験
想定読者：インフラ初心者

前知識

Intune

Microsoft 365(旧Office 365)のMDM(端末管理ソリューション)
Apple製品の場合、競合はjamf？

Log Analytics

agent

Log Analytics エージェントは、Microsoft Monitoring Agent (MMA) または OMS Linux エージェントとも呼ばれる。端末のログをクラウド（Azure）に送ってくれる。
Microsoft Monitoring Agentとも

Azure Monitor

azure -> Log Analytics ワークスペースでワークスペースを構成
azure -> モニターでモニタリング

実践的な情報

Intune

Intune管理下のWindowsは
microsoft intune management extension
というサービス（アプリケーション？）がインストールされる。

管理画面はMicrosoft Endpoint Manager管理センター

Azure AD参加済みのデバイスをIntune配下に置くためには、、
Intune自動加入に設定して、一度AAD抜けて、再度参加させるのが楽（らしい）

Log Analytics

agent

webにあるバイナリはMMASetup-AMD64.exe(64bitの場合）

ダウンロードできるのはMMASetup-<platform>.exe
こいつはセットアップファイル群を自己解凍で固めたもの
（解凍後自動コマンドが仕込まれている？）

コマンドインストールしたい。

自己解凍exeではなく、本丸のsetup.exe等が必要

MMASetup-<platform>.exe /c /t:<Full Path>

出来たファイル群のフォルダに移動して

setup.exe /qn NOAPM=1 ADD_OPINSIGHTS_WORKSPACE=1 OPINSIGHTS_WORKSPACE_AZURE_CLOUD_TYPE=0 OPINSIGHTS_WORKSPACE_ID="<your workspace ID>" OPINSIGHTS_WORKSPACE_KEY="<your workspace key>"AcceptEndUserLicenseAgreement=1

コマンドアンインストールしたい。

MSのドキュメントによると

プロンプトで、%WinDir%\System32\msiexec.exe /x <Path>:\MOMAgent.msi /qb を入力します。

IntuneでMMASetup-AMD64.exeを配布したい。

任意のWindowsアプリを配布する為には、.intunewin形式のバイナリに固めてIntuneに登録。

.intunewinってどうやって作んの？

IntuneWinAppUtil.exe
本当に読むべきドキュメントは↓

自己解凍+自動実行exeであるMMASetup-AMD64.exeは、このままでは配備できない。
先述のコマンドインストール可能なexeぶっこぬきをする。

githubから拾ってきたIntuneWinAppUtil.exeを実行しCUIで変換対象及び出力先を指定する。
か、コマンドラインオプション付きで実行

ｰc：変換対象ファイルがあるフォルダを指定
-s：変換対象セットアップファイルの指定
-o：.intunewinファイルの出力先フォルダ

指定したフォルダに .intunewinファイルができている。

いざ配布

この.intunewinファイルをIntuneの管理画面で指定する。
その際のIntuneで以下のようなことを設定

インストールコマンド

下記 <your workspace ID> と <your workspace key> を埋める。

setup.exe /qn NOAPM=1 ADD_OPINSIGHTS_WORKSPACE=1 OPINSIGHTS_WORKSPACE_AZURE_CLOUD_TYPE=0 OPINSIGHTS_WORKSPACE_ID="<your workspace ID>" OPINSIGHTS_WORKSPACE_KEY="<your workspace key>" AcceptEndUserLicenseAgreement=1

アンインストールコマンド

プロンプトで、%WinDir%\System32\msiexec.exe /x <Path>:\MOMAgent.msi /qb を入力します。

これどうやってInutuneで再現する？

MsiExec.exe はパスが通ってると考えてOK
指定すべきコマンドは
MsiExec.exe /x MOMAgent.msi /qb

アプリ検出定義（ファイルパス、ファイル名、レジストリキー）

ファイル存在
パス：C:\Program Files\Microsoft Monitoring Agent\Agent
ファイル：MonitoringHost.exe

無事log analytics agent配れたからAzureで管理したい

Log Analytics ワークスペースでワークスペースを作成（米国東部が安い？）
エージェント構成でWindowsイベントログにWindows イベントログの追加（System）
ログクエリ作成画面で

Event | Where Source == "Microsoft-Windows-Kernel-Power" などとする。

（筆者の手元の環境では7001や7002は取れなさそうなので、頑張ってKernel-Power関連を見る）
ログの保存期間は”使用料と推定コスト”メニューからデータ保有期間を選択してする。

Discussion

大変恐縮ですが、以下の取得方法がわからないのですが、参考になるドキュメントなどありますでしょうか・・？
OPINSIGHTS_WORKSPACE_KEY="<your workspace key>"

jun6428

こんな感じでしょうか？

jun6428