Журнал входов

Журнал входов отвечает на три вопроса: кто входил, откуда и что не удалось. Он ведётся в каждой организации, и лицензия для него не нужна.

Где его найти

  • Сотрудники > Журнал входов показывает записи всех сотрудников.

  • Вкладка История входов в записи сотрудника показывает записи только этого сотрудника.

Оба экрана показывают одни и те же колонки и фильтры, кроме того, что на вкладке сотрудника нет фильтров Сотрудник и Логин или идентификатор.

Кто может его открыть

В редакторе ролей есть сущность Журнал входов с действиями Просмотр и Экспорт. Право выдаётся только на всю организацию. Экспорт включает Просмотр.

Пока администратор не выдаст это право, его нет ни у одной роли. Выдайте Журнал входов ролям тех, кто проверяет входы, например сотрудников службы безопасности или ИТ. Главный администратор видит журнал без выдачи права. Сотрудник без такого права не видит даже собственную историю.

О том, как редактировать роли, см. Роли и права.

Что записывается

Журнал записывает каждый вход в любой точке входа, каждую неудачную проверку пароля, кода, токена или секрета и каждую блокировку повторных неудач. Он также записывает каждый выход, каждую сессию, которая истекла или была завершена администратором, каждую смену пароля, запрос сброса и сброс, а также каждую настройку, удаление и смену способов двухэтапной проверки.

Журнал показывает вход, создавший сессию, и показывает каждый отказ.

Записи никогда не редактируются. Они остаются в журнале, пока не пройдёт срок хранения.

Колонки

Колонка Что показывает

Время

Когда произошло событие.

Событие

Тип события с пометкой Успешно или Отказ. Ниже идут причина отказа, Заблокирован на N мин. для блокировки и Выполнил: с именем администратора, который выполнил действие. Метка ×N означает, что в эту запись объединено N событий.

Пользователь

Сотрудник, потребитель LDAP или OAuth-приложение, о котором событие, со ссылкой на сотрудника. Если ни одна учётная запись не подошла, показывается логин как введён, а Не определён появляется, когда ничего не предъявлено.

Точка входа

Где были предъявлены учётные данные, а ниже — вид учётных данных.

Источник

IP-адрес источника и краткое название клиентской программы.

Типы событий

Событие Когда записывается

Вход

Учётные данные были предъявлены и приняты или отклонены.

Вход заблокирован

Повторные неудачи начали блокировку, см. Блокировка при повторных неудачных входах.

Выход

Сотрудник вышел, завершил одну из своих сессий или подтвердил выход, который запросило подключённое приложение.

Сессия завершена администратором

Администратор завершил сессию сотрудника.

Сессия истекла

Сессия дошла до конца своей длительности или завершилась, потому что истёк пароль.

Пароль изменён

Сотрудник сменил собственный пароль.

Запрошен сброс пароля

Ссылку для сброса запросил сотрудник или отправил администратор.

Пароль сброшен

Новый пароль был задан по ссылке для сброса.

Код проверки отправлен

Код был отправлен по почте при входе или для включения двухэтапной проверки.

Двухэтапная проверка настроена

Включена двухэтапная проверка кодом из письма, созданы резервные коды или подтверждено приложение-аутентификатор.

Двухэтапная проверка удалена

Двухэтапная проверка кодом из письма выключена либо удалены резервные коды или приложение-аутентификатор.

Способы двухэтапной проверки изменены

Сотрудник или администратор выбрал другие способы получения кода для входа.

События пропущены

Некоторые события не удалось записать. Метка ×N показывает их число.

Причины отказа

Причина Что значит

Неизвестный логин

Ни у одной учётной записи нет такого логина, как введён.

Нет сотрудника для учётной записи

Учётная запись существует без записи сотрудника.

Организация отключена, Учётная запись отключена

Организация или учётная запись отключена.

Пароль не принимается в этой точке входа

Пароль верный, но эта точка входа его не принимает, например пароль учётной записи по LDAP у сотрудника с двухэтапной проверкой.

Неверный пароль или секрет

Пароль или секрет не совпадает.

Неверный код проверки

Код или резервный код был неверным, уже использованным или истёкшим.

Заблокировано после неудачных попыток

Попытка пришлась на время блокировки, и учётные данные не проверялись.

Проверка лимита попыток недоступна

Проверка лимита попыток не смогла выполниться, поэтому попытка была отклонена без проверки учётных данных.

Неизвестный токен, Токен истёк

Токен неизвестен, или срок его действия закончился.

Нет лицензии

Учётные данные относятся к функции, которой нет в вашей лицензии.

Данные для входа не принимаются в этой точке входа

Учётные данные действительны, но здесь не принимаются.

Токен выдан для другого сервиса

Токен доступа OAuth привязан к другому ресурсу, чем тот, которому он был предъявлен.

У токена нет области доступа api

Токен доступа OAuth, выданный от имени сотрудника и без области доступа api, был предъявлен там, где эта область нужна.

Пароль истёк

Пароль был верным и истёк. При входе через веб это ведёт к шагу нового пароля.

Точки входа и учётные данные

Точка входа — это место, где были предъявлены учётные данные:

  • Вход через веб-интерфейс

  • Форма входа OAuth

  • LDAP-привязка (bind)

  • HTTP Basic

  • REST API

  • Эндпоинт токенов OAuth

  • Эндпоинт завершения сессии OAuth

Учётные данные — это то, что было предъявлено:

  • Пароль

  • Секрет LDAP-потребителя

  • Токен сессии

  • Персональный токен доступа

  • Секрет клиента

  • Токен доступа OAuth

  • Код авторизации

  • Токен обновления OAuth

  • Пароль приложения

  • Код из письма

  • Код из приложения

  • Резервный код

Объединённые записи

Неудачи, в которых не названа ни одна учётная запись, например неизвестные или истёкшие токены, объединяются в одну запись с меткой ×N. Каждая неудача, в которой предъявлен логин или названа учётная запись, сохраняет собственную запись.

Фильтры

Откройте Фильтры над списком, заполните поля и выберите Применить фильтр. Очистить фильтры сбрасывает их.

Фильтр Что совпадает

Сотрудник

Один или несколько сотрудников.

Логин или идентификатор

Часть логина как введён, в любом регистре.

С, По

Период в днях. Последний день включается.

Событие, Результат, Причина отказа, Точка входа

Одно значение из каждого списка выше.

Адрес источника

IP-адрес целиком.

Как долго хранятся записи

Журнал входов ведётся всегда. Поле Хранить журнал входов (дней) в разделе Настройки > Общие задаёт, как долго хранятся записи, — от 90 до 3650 дней, по умолчанию 365. Более старые записи удаляются автоматически.

Все настройки этой вкладки см. в разделе Настройки организации.

Экспорт

Экспорт записывает записи, подходящие под текущие фильтры, в файл XLSX, который появляется в разделе Настройки > Задания экспорта как Журнал входов. В файле не больше 100 000 строк.

Сначала выберите Применить фильтр, потому что экспорт следует применённым фильтрам. Для него нужно действие Экспорт. Кнопка есть и на вкладке История входов сотрудника, где она экспортирует записи этого сотрудника.

Если подходит больше 100 000 записей, экспорт отклоняется с сообщением «Слишком много событий для экспорта: N, максимум 100000. Сузьте поиск.»

В файле одна строка на запись, последние сверху, со следующими колонками:

Колонка Содержание

Время (UTC)

Время в формате ISO 8601, в UTC.

Событие, Результат, Причина отказа, Точка входа, Учётные данные

Значения как фиксированные коды, например WRONG_CREDENTIAL.

Тип учётной записи, ID учётной записи, Учётная запись

Вид, ID и имя сотрудника, потребителя LDAP или OAuth-приложения, о котором событие.

Идентификатор

Логин как введён.

ID инициатора, Инициатор

ID и имя администратора, который выполнил действие.

Адрес источника, User-Agent

IP-адрес источника и клиентская программа.

Блокировка, мин

Длительность блокировки.

Попытки

Число объединённых событий в строке.

Заголовки колонок следуют языку интерфейса того, кто экспортирует.

Для интеграторов

Журнал доступен через REST API с теми же правами, что и экраны.

  • GET /authentication-events возвращает список записей, последние сверху. Параметр search принимает ключи occurredAt (миллисекунды эпохи, с >= и ⇐ для диапазонов), type, result, failureReason, entryPoint, credential, principalKind, principalId, identifier (содержит, в любом регистре) и sourceAddress.

  • GET /authentication-events/{id} возвращает одну запись.

  • POST /authentication-events/export запускает экспорт с тем же search и необязательным fileName и отвечает значением exportId, за которым вы следите по адресу /export-jobs/{exportId}.

Связанные страницы