Office 365

Pro příjem logů z Microsoft cloudu je nutné otevřít TCP port, který bude dostupný z celého internetu (Microsoft nemá definované rozsahy IP sítí, ze kterých odesílá logy).

Pro tento účel je v Logmanageru připraven TCP port 8443, na kterém poslouchá jen služba O365 a žádné jiné funkce nejsou na tomto portu dostupné. Je tedy možné jej bez obav zpřístupnit z internetu.

Port 8443 Logmanageru může být do internetu propagován skrz váš firewall na jakémkoliv volném venkovním portu. Služba na tomto portu přijímá požadavky pouze na specifickém endpointu /wh/o365/, a to pouze HTTP metody GET a POST, na všechny ostatní požadavky vrací chybový HTTP stav 400.

Služba O365 je v LM vypnutá až do chvíle, kdy je nastavena a uložena konfigurace o aplikaci na MS cloudu dle tohoto dokumentu níže.

Jak funguje sběr událostí z O365:

Microsoft zašle na port 8443 Logmanager ID auditních událostí. Pokud není Logmanager dostupný, je ze strany Microsoft automaticky proveden pokus o doručení později.
Logmanager si podle ID začne z Microsoftu stahovat jednotlivé události. Pokud se mu to nepovede, zkusí to později.
Logmanager zhruba jednou za měsíc provádí automaticky obměnu API tokenů.

Pro funkční sběr událostí je nutné, aby měl Logmanager neomezený přístup do internetu na portu 443! Microsoft nemá definované IP rozsahy, ze kterých se čtou auditní události/vyměňují API tokeny.

Přístup na servery Microsoftu vyžaduje transparentní komunikaci, tzn. bez HTTPS/SSL inspekce. Zkontrolujte nastavení vašeho firewallu, zda komunikaci neblokujete nebo zda nemáte zapnutou HTTPS/SSL inspekci (známou také jako MITM, tedy Man in the middle). Pokud vám to váš firewall umožňuje, vytvořte pro Logmanager speciální unikátní pravidlo, kterým povolíte jen požadovanou komunikaci.

Komponenta O365 přijímá od Microsoftu oznámení o auditních událostech prostřednictvím zabezpečeného koncového bodu (HTTPS). Od srpna 2026 Microsoft vyžaduje certifikát vydaný veřejně důvěryhodnou certifikační autoritou, doplněný o úplný řetězec certifikátů, odpovídající doméně uvedené v nastavení Redirect URI, s typem klíče RSA o délce 2048 nebo 3072 bitů.
Certifikát nemusí být nasazen přímo na Logmanageru - TLS spojení může být ukončeno také na předřazené reverzní proxy, pokud Microsoft na něm vidí veřejně důvěryhodný certifikát s úplným řetězcem.
V případě nasazení certifikátu na reverzní proxy je důležité nechat povolený i protokol TLS 1.2 (neomezovat pouze na TLS 1.3).
Pokud bude potřeba změnit hodnotu Redirect URI (např. v souvislosti se změnou certifikátu/domény), postupujte podle kapitoly Změna Redirect URI.

Další informace o Office 365 APIs https://docs.microsoft.com/en-us/office/office-365-management-api/get-started-with-office-365-management-apis

Registrace komponenty O365 v Microsoft Entra

Tento dokument popisuje, jak nakonfiguravat O365 cloud pro zasílání auditních událostí na váš Logmanager.

Ujistěte se, že máte povoleno auditování Office 365, pro zjištění můžete použít tento návod https://docs.microsoft.com/en-us/office/office-365-management-api/troubleshooting-the-office-365-management-activity-api#enabling-unified-audit-logging-in-office-365. Auditování by mělo být automaticky zapnuté od chvíle, co používáte O365. Nicméně, pokud není povoleno, registrace čtení z Logmanageru skončí s následující chybou z O365 cloudu: ‚Tenant <tenantID> does not exist‘.

V Logmanageru v nastavení O365 komponenty vyplňte Veřejnou URL adresu pro příjem O365 logů (Logmanager uvnitř sítě vždy poslouchá na portu 8443, váš firewall může propagovat jakýkoliv port směrem do internetu. Je ale nutné do tohoto pole uvést celé doménové jméno vaší veřejné IP a správný externí port, na kterém bude Logmanager z internetu dostupný). Po uložení formuláře stiskněte F5 pro opětovné načtení dat z databáze Logmanager.
Otevřete si Microsoft Entra admin center: https://entra.microsoft.com/#home
V levém panelu klikněte na Show more a otevřete Identity
Dále zvolte Applications a App registrations, poté klikněte na New registration.

Registrace aplikace
Do formuláře vyplňte vlastní název aplikace. Každá aplikace, kterou používáte, by měla mít jedinečný název. Tuto hodnotu budete muset vyplnit do registračního formuláře pro komponentu uživatelského rozhraní Logmanager O365. V podporovaných typech účtů vyberte druhou možnost, pro povolení přístupu jakéhokoliv druhu.
- Pokud plánujete shromažďovat protokoly od více organizací, vyberte možnost „Účty v adresáři libovolné organizace“.
- Pokud plánujete shromažďovat protokoly pouze pro vaši organizaci, vyberte možnost „Účty v adresáři této organizace“.
V Logmanageru si zkopírujte hodnotu veřejné URL adresy pro příjem logů, kterou vložíte do formuláře na webu MS do políčka Redirect URI a klikněte na Register.

Zaregistrování aplikace
Přejděte do Identity / Roles & admins / Roles & admins, do vyhledávacího pole zadejte Global Reader a klikněte na nalezenou roli.

Nastavení role Global Reader
Klikněte na Add assignments, vyhledejte v předchozím kroku vytvořenou aplikaci logmanager, vyberte ji a klikněte na tlačítko Add.

Nastavení role Global Reader
Přejděte do Identity / Applications / Enterprise applications, kde nyní můžete vidět Logmanager aplikaci. Klikněte na ní a v nově otevřené stránce Overview si zkopírujte Application ID, které vložte do GUI Logmanager.

ID aplikace

ID aplikace
Nyní je nutné ve webové konzoli MS přidat oprávnění nově vytvořené aplikaci pro čtení logů. Přejděte do Identity / Applications / App registrations, klikněte na All applications a na Logmanager aplikaci.

Oprávnění rozhraní API
Dále klikněte v levém menu na API permissions a Add a permission a vyberte ze seznamu Office 365 Management APIs.
V nově otevřené stránce klikněte na Delegated permissions a zaškrtněte všechna oprávnění. Klikněte na Application permissions a opět přidejte všechna dostupná oprávnění. Klikněte na tlacitko Add permissions.

Oprávnění rozhraní API
V dalším kroku je nutné odsouhlasit tato nová oprávnění administrátorem. Klikněte na Grant admin consent, jak je znázorněno na obrázku:

Oprávnění rozhraní API
Jakmile odsouhlasíte oprávnění, vše by mělo zezelenat:

Oprávnění rozhraní API
Dále na stránce Microsoft klikněte na Certificates & secrets a nechte vygenerovat nový New client secret:

Certifikáty a tajné kódy
Zkopírujte si vygenerovanou hodnotu tajného kódu do schránky.

Certifikáty a tajné kódy
V Logmanageru vložte hodnotu Secret do pole klíč aplikace, uložte formulář a obnovte stránku. Poté klikněte na tlačítko Otestujte zda je LM dostupný z internetu, otevře se nová webová stránka, která pomocí webserveru výrobce Logmanageru ověří, že je komponenta O365 dostupná z internetu.

Certifikáty a tajné kódy

Služba je dostupná až po uložení kompletní konfigurace ID, klíče a veřejné URL, do té doby je služba vypnutá a není dostupná z internetu. Pokud vám testovací webová stránka říká, že není komponenta dostupná, ověřte prosím, zda máte správně zadanou URL, prostupy na firewallech, vyplněné všechny hodnoty formuláře.

Dále je nutné přidat nového tenanta pro čtení logů z MS (Pokračujte pouze v případě, že máte funkční test dostupnosti Logmanager komponenty z internetu!). V GUI Logmanager nastavení stačí kliknout na tlačítko Register a new tenant at Microsoft.

Pokud vám testovací web sdělí, že komponenta je neplatná, zkuste obnovit stránku pomocí control-F5.

Mělo by to vypadat následovně:

nebo v JSON formátu:

  {
    "content": [
      {
        "contentType": "Audit.AzureActiveDirectory",
        "webhook": {
          "expiration": "",
          "status": "enabled",
          "address": "https://demo.logmanager.cz:8443/wh/o365/",
          "authId": "o365_logmanager_H4SB13"
        },
        "status": "enabled"
      },
      {
        "contentType": "Audit.Exchange",
        "webhook": {
          "expiration": "",
          "status": "enabled",
          "address": "https://demo.logmanager.cz:8443/wh/o365/",
          "authId": "o365_logmanager_H4SB13"
        },
        "status": "enabled"
      },
      {
        "contentType": "Audit.General",
        "webhook": {
          "expiration": "",
          "status": "enabled",
          "address": "https://demo.logmanager.cz:8443/wh/o365/",
          "authId": "o365_logmanager_H4SB13"
        },
        "status": "enabled"
      },
      {
        "contentType": "Audit.SharePoint",
        "webhook": {
          "expiration": "",
          "status": "enabled",
          "address": "https://demo.logmanager.cz:8443/wh/o365/",
          "authId": "o365_logmanager_H4SB13"
        },
        "status": "enabled"
      },
      {
        "contentType": "DLP.All",
        "webhook": {
          "expiration": "",
          "status": "enabled",
          "address": "https://demo.logmanager.cz:8443/wh/o365/",
          "authId": "o365_logmanager_H4SB13"
        },
        "status": "enabled"
      }
    ],
    "msg": "Tenant registration result tenant_id: 6a98b5da-7b3c-4486-bb0b-66a048c6da62",
    "registeredContent": {
      "Audit.AzureActiveDirectory": "enabled",
      "Audit.SharePoint": "enabled",
      "Audit.General": "enabled",
      "Audit.Exchange": "enabled",
      "DLP.All": "enabled"
    },
    "result_subscribe_content": [
      {
        "Audit.AzureActiveDirectory": "OK"
      },
      {
        "Audit.Exchange": "OK"
      },
      {
        "Audit.SharePoint": "OK"
      },
      {
        "Audit.General": "OK"
      },
      {
        "DLP.All": "OK"
      }
    ],
    "status": "OK"
  }

Při úspěšné registraci se vám zobrazí stránka s textem výstupu registračního procesu (JSON data, která zobrazuje Microsoft cloud).
Po registraci je nutné v Logmanager donastavit název vaší organizace/domény v menu Zdroje => O365 bude zobrazena nová organizace. Upravte nově vytvořeného tenanta bez jakékoli domény a nastavte jej na název vaší domény.

Editace tenanta
Nakonec byste měli vidět také nového tenanta v Logmanager menu.

O365 tenants

Zadaný název vaší organizace/domény bude pak automaticky ukládán do všech přijatých zpráv do pole meta.src.host

Pokud při pokusu o registraci nového tenanta (nové domény) hlasí chybu oprávnění (permission error), je nutné ověřit, že vytvořená aplikace má správně nastavené oprávnění takovým způsobem, aby přes ni mohli číst data i ostatní tenanti. To lze zjistit pouze na tomto odkazu (nové UI webového rozhraní MS tuto informaci neposkytuje): https://entra.microsoft.com/#view/Microsoft_AAD_RegisteredApps/ApplicationMenuBlade/~/Overview/appId/xxx, kde místo xxx je nutné dosadit ID aplikace. Na této stránce pak hledejte Supported account types, kde musí být vyplněno Multiple organizations.

Jiné možnosti auditování O365 najdete zde: https://docs.microsoft.com/cs-cz/microsoft-365/compliance/enable-mailbox-auditing

Další podrobnosti najdete také na následujících odkazech:

Zdrojové adresy IP, které komunikují s Logmanagerem z internetu, můžete omezit pomocí této příručky od společnosti Microsoft.

https://docs.microsoft.com/en-us/microsoft-365/enterprise/urls-and-ip-address-ranges?view=o365-worldwide

Řešení potíží s registrací

Pokud registrace tenanta selže, stránka, kterou vrátí tlačítko Register a new tenant at Microsoft, zobrazí pouze obecnou zprávu:

Registration failed; see the O365 component logs for guidance. Check O365 component documentation for more details.

Z bezpečnostních důvodů se skutečná příčina na této veřejné stránce nezobrazuje - je zaznamenána v logu komponenty O365 v Logmanageru. Pro jeho zobrazení otevřete Analýza → Objevit (Discover), vyberte index pattern vendor-internal a zadejte dotaz:

meta.src.program:"logmanager.component-o365"

Logy komponenty O365 v Discover — Filtrování logů komponenty O365 v Discover

Pokud k chybě došlo před více než několika minutami, rozšiřte časový rozsah ve výběru času vpravo nahoře.

Nejčastější příčiny a jejich řešení:

Zpráva v logu	Příčina	Řešení
`AADSTS7000215: Invalid client secret provided`	Hodnota klíče aplikace je nesprávná nebo vypršela. Častou chybou je vložení ID klíče (GUID) místo jeho hodnoty.	Vygenerujte nový client secret (kroky 14-16) a do pole klíč aplikace vložte jeho hodnotu, poté uložte a obnovte stránku (Control-F5).
`Tenant <tenantID> does not exist`	V tenantovi není povoleno jednotné auditování (unified audit logging), nebo nebyl udělen admin souhlas (admin consent) pro Office 365 Management APIs.	Povolte jednotné auditování a udělte admin souhlas (krok 12).
`AADSTS50011` (neshoda redirect URI)	Veřejná URL pro příjem O365 logů neodpovídá Redirect URI zaregistrované v Microsoft Entra.	Nastavte obě hodnoty shodně (kroky 1 a 5).
`AADSTS700016` / `AADSTS90002` (aplikace/tenant nenalezen)	Application ID je nesprávné, nebo aplikace není dostupná pro ostatní tenanty.	Zkontrolujte Application ID (krok 8) a že Supported account types je nastaveno na Multiple organizations.

Pokud jste změnili Application ID nebo klíč aplikace, před opětovnou registrací formulář uložte a obnovte stránku (Control-F5), aby se nové hodnoty projevily.

Změna Redirect URI

Pokud dojde ke změně veřejné adresy Logmanageru (např. v souvislosti se změnou certifikátu nebo domény), je nutné změnit i hodnotu Redirect URI. Postupujte podle následujících kroků:

V Logmanageru v nastavení O365 komponenty upravte pole Veřejná URL pro příjem událostí z O365 na novou hodnotu (celé doménové jméno a správný externí port, na kterém bude Logmanager z internetu dostupný). Po uložení formuláře stiskněte F5 pro opětovné načtení dat z databáze Logmanager.
V Microsoft Entra admin center (https://entra.microsoft.com/#home) přejděte do Identity / Applications / App registrations a otevřete registrovanou aplikaci Logmanager. V levém menu klikněte na Authentication, přidejte novou hodnotu Redirect URI odpovídající nové veřejné adrese Logmanageru, starou (již neplatnou) hodnotu odstraňte.
V Logmanageru přejděte do menu Zdroje / O365 / Seznam, najděte organizaci (tenanta), která používala původní Redirect URI, a odstraňte ji.
Na stránce aplikace v Microsoftu přejděte do Certificates & secrets. Buď použijte stávající platný client secret, nebo nechte vygenerovat nový kliknutím na New client secret a zkopírujte si jeho vygenerovanou hodnotu do schránky.

Certifikáty a tajné kódy

Certifikáty a tajné kódy
V Logmanageru přejděte do menu Zdroje / O365 / Globální nastavení, vložte tuto hodnotu do pole O365 klíč aplikace, uložte formulář a obnovte stránku. Poté klikněte na tlačítko Otestujte zda je LM dostupný z internetu a ověřte, že je komponenta O365 dostupná z internetu na nové adrese.

Certifikáty a tajné kódy
V GUI Logmanageru klikněte na tlačítko Registrovat nového tenanta pro příjem logů na Microsoftu a zaregistrujte nového tenanta.

Konfigurace tenanta
Po úspěšné registraci v Logmanageru v menu Zdroje upravte nově vytvořeného tenanta (zobrazí se bez domény) a nastavte mu název vaší organizace/domény.

Editace tenanta
Nakonec byste měli vidět nového tenanta s vaší doménou v Logmanager menu a mít přístup k prohlížení posledních O365 protokolů.

O365 tenants