Cómo auditar los cambios en la recopilación de dispositivos SCCM - Prajwal Desai

Esta es una publicación útil que cubre cómo auditar los cambios en la recopilación de dispositivos SCCM. Con la ayuda de un informe, puede encontrar quién creó, modificó y eliminó la colección SCCM. Siempre que desee auditar los cambios en la recopilación de dispositivos SCCM, las consultas de mensajes de estado y los ID de mensajes son muy útiles.

Puede utilizar consultas de mensajes de estado para identificar cuándo se modificó o eliminó un componente específico u objeto SCCM y la cuenta que se utilizó para realizar la modificación.

Si tiene un entorno SCCM más grande, probablemente tendrá que monitorear muchas cosas. Audite especialmente los cambios que se realizan en SCCM y sus componentes. Solo estoy eligiendo una pequeña sección aquí que audita los cambios en la recopilación de dispositivos SCCM.

Su soporte de primera línea o servicio de asistencia técnica pueden tener permisos para crear colecciones de dispositivos en SCCM. Sin embargo, querrás monitorear los cambios realizados en estas colecciones de dispositivos.

¿Qué sucede si un usuario elimina una colección de dispositivos SCCM, ya sea por error o intencionalmente, y ahora desea saber quién eliminó la colección SCCM? O puede ser el caso en el que desee saber quién modificó la colección SCCM o quién creó la colección SCCM eliminada.

Para responder a todas estas preguntas, este post te ayudará. En mis publicaciones anteriores, hablé sobre la importancia de las consultas de mensajes de estado de SCCM. Puede hacer las siguientes cosas con consultas de mensajes de estado.

Supervisar el progreso de la secuencia de tareas de SCCM
Encuentre quién modificó la secuencia de tareas de SCCM
Encuentre quién eliminó la secuencia de tareas de SCCM

Requisitos previos para auditar la recopilación de dispositivos

Muy bien, antes de comenzar a auditar los cambios en la recopilación de dispositivos SCCM, el requisito previo más importante son los informes. Debe tener acceso para ejecutar los informes. Puede ejecutar los informes desde su consola de Configuration Manager o mediante un navegador web.

Si tiene algún problema con su punto de servicios de informes SCCM, puede reinstalar fácilmente SQL Reporting Services para SCCM.

ID de mensajes de recopilación de dispositivos SCCM

Conocer los ID de los mensajes es muy útil al intentar averiguar quién creó/modificó/eliminó la colección de dispositivos SCCM. Usaremos los ID de mensaje a continuación para auditar los cambios en la recopilación del dispositivo SCCM.

Message ID: Descripción del ID del mensaje
30015: Encuentre quién creó la colección SCCM
30016: Encuentre quién modificó la colección SCCM
30017: Encuentre quién eliminó la colección SCCM

Encuentre quién creó la colección de dispositivos SCCM

Estos son los pasos para descubrir quién creó la colección de dispositivos SCCM.

Inicie la consola del Administrador de configuración.
Vaya a Supervisión\Descripción general\Informes\Informes.
Busque el informe Todos los mensajes para un ID de mensaje específico.
Haga clic derecho en Todos los mensajes para un ID de mensaje específico y haga clic en Ejecutar.

En el informe Todos los mensajes para un ID de mensaje específico, haga clic en Valores e ingrese el ID del mensaje como 30015. El ID de mensaje 30015 le brinda información sobre quién creó la colección SCCM. Haga clic en Ver informe.

Los siguientes detalles se muestran en el resultado.

Mensaje de estado
ID de registro
Gravedad
ID de mensaje
Componente
Nombre del dispositivo
Hora(UTC)
Código del sitio

Si observa detenidamente, el mensaje de estado en realidad le muestra el usuario que creó la colección de dispositivos. Por ejemplo, en este caso: El usuario cmadmin creó una colección denominada Windows 10 Test Computers (TP100014).

Buscar quién modificó la colección de dispositivos SCCM

Usaremos el mismo informe para encontrar quién modificó la colección de dispositivos SCCM pero con un ID de mensaje 30016. Ejecute el informe denominado Todos los mensajes para un ID de mensaje específico y haga clic en Valores. En el cuadro de valor, ingrese el ID del mensaje como 30016. Haga clic en Ver informe.

En el resultado, puede ver que el mensaje de Estado realmente muestra el usuario que modificó la colección de dispositivos. Por ejemplo, en este caso: El usuario James modificó las propiedades de la colección para una colección llamada Windows 10 Test Computers (TP100014). Esta colección está asignada actualmente a los siguientes administradores de ConfigMgr.

Es posible que encuentre más de dos entradas en el resultado porque muchos usuarios pueden modificar una colección de dispositivos. Lo importante aquí es la columna Hora(UTC) que indica quién modificó por última vez la colección de dispositivos SCCM.

Buscar quién eliminó la colección de dispositivos SCCM

Esta es la sección importante donde encontramos quién eliminó la colección de dispositivos SCCM. Una colección cuando se modifica está bien, pero se convierte en un problema muy crítico cuando sabes que se elimina una colección de dispositivo.

Nuevamente ejecutaremos el informe Todos los mensajes para un ID de mensaje específico para encontrar el usuario que eliminó la colección del dispositivo. Usaremos el ID de mensaje 30017 para encontrar al usuario que eliminó la colección de dispositivos SCCM.

Ejecute el informe, introduzca el ID del mensaje como 30017 y haga clic en Ver informe. El resultado revelará el usuario que eliminó la colección de dispositivos SCCM. Por ejemplo, en este caso: El usuario James eliminó una colección llamada Windows 10 Test Computers (TP100014).