Gérer le nettoyage des événements d’audit AD

Le nettoyage supprime les détails historiques éligibles et leur contenu d’origine associé dans Ping64, selon la catégorie et la durée de conservation. Les statistiques agrégées déjà produites restent conservées : leurs totaux peuvent donc différer des détails encore visibles. L’opération nettoie les données de la plateforme, pas les journaux de sécurité des contrôleurs de domaine ; elle ne restaure pas les données perdues.

Le nettoyage supprime des données. Les règles s’appliquent aux enregistrements éligibles de plusieurs domaines de l’organisation actuelle, et non seulement au domaine affiché. Vérifiez tous les domaines, catégories et exigences de conservation concernés avant exécution. L’annulation ne restaure pas les données déjà supprimées. Si des preuves doivent être conservées, confirmez d’abord des sauvegardes disponibles et une procédure de restauration conformes aux règles de l’organisation ; ne supposez pas une restauration automatique.

Préparation

1. Vérifiez la licence de gestion AD et les droits d’afficher et de modifier les règles. Le lancement manuel ou l’annulation nécessite aussi le droit d’opération correspondant. Avec les responsables des données, confirmez les exigences d’audit, de conformité et d’enquête pour tous les domaines concernés.
2. À l’aide de la collecte et consultation des événements de sécurité, identifiez l’usage des données et les preuves d’origine à préserver. Examinez les enquêtes en cours et les obligations légales de conservation. Les périmètres de collecte et de nettoyage sont distincts : arrêter la collecte ne protège pas automatiquement l’historique contre le nettoyage.
3. Effectuez le changement approuvé pendant une fenêtre de maintenance. Confirmez d’abord la sauvegarde et la restauration et prévoyez un contrôle après exécution. Si l’impact ou les preuves à conserver ne sont pas clairs, n’activez pas de règle et ne lancez pas le nettoyage.

Règles de conservation par catégorie

1. Dans la gestion de domaine AD, ouvrez Audit Event Cleanup. Examinez pour chaque catégorie le nombre actuel, l’estimation échue, l’état et Retention Days. Les catégories comprennent notamment l’authentification, la gestion des comptes et l’audit DNS ; référez-vous à la liste affichée.
2. Activez Enable cleanup uniquement pour les catégories approuvées et définissez une durée de 1 à 3650 jours pour chacune. Les règles initiales sont désactivées avec une durée de 180 jours ; une configuration existante peut différer. Une catégorie désactivée ne participe pas au nettoyage selon cette règle.
3. Vérifiez les activations et durées, puis sélectionnez Save rules. Si une modification simultanée empêche l’enregistrement, actualisez, vérifiez la configuration récente et son impact, puis modifiez-la selon le processus d’approbation. Ne l’écrasez pas aveuglément.

Prévisualiser et nettoyer manuellement

1. Après enregistrement, sélectionnez Clean up now. Une prévisualisation valide exige au moins une règle active ; enregistrez et vérifiez d’abord les modifications non sauvegardées. Ouvrir la prévisualisation ne supprime pas de données.
2. Dans Confirm immediate cleanup, vérifiez chaque catégorie, durée, date limite et nombre estimé, ainsi que le total. La prévisualisation repose sur les données et règles à cet instant ; le périmètre d’exécution est redéfini à la soumission. Les nombres réels peuvent différer : l’estimation n’est pas une liste de suppression figée.
3. Si l’impact est approuvé et les dispositions de sauvegarde et restauration confirmées, choisissez Confirm cleanup ; sinon annulez et réévaluez. Une soumission réussie ne signifie pas que la suppression est terminée.
4. Ouvrez Cleanup runs, consultez l’état et les détails et vérifiez par catégorie les nombres analysés et supprimés, les erreurs et les résultats. Une tâche peut attendre, s’exécuter, être réessayée, échouer totalement ou partiellement, se terminer ou être annulée. Ne soumettez pas de nouveau le même nettoyage avant d’avoir confirmé son état final.

Nettoyage automatique et annulation

1. Pour une exécution périodique, ouvrez Automatic cleanup settings, activez Enable daily automatic cleanup, définissez Daily execution time et enregistrez. L’exécution utilise l’heure locale du serveur : vérifiez d’abord son fuseau, la maintenance et les règles actives. L’automatisation est initialement désactivée ; pour une configuration existante, vérifiez l’affichage.
2. Une tâche automatique utilise les règles actives lors de sa création. Après modification ou désactivation, revérifiez les règles et l’automatisation. Désactiver un paramètre n’annule pas automatiquement une tâche déjà soumise.
3. Pour une tâche en attente, en cours ou en attente de nouvel essai, choisissez l’annulation dans Cleanup runs et confirmez l’arrêt. Après la demande, vérifiez l’état final et le nombre supprimé. Le traitement se fait par lots : l’annulation ne restaure pas les données supprimées et ne garantit pas l’arrêt immédiat du lot en cours.

Contrôle et dépannage

• Si la prévisualisation ne donne pas le résultat attendu, vérifiez qu’une catégorie est active, les durées, la date limite et la présence d’historique éligible. Certains enregistrements peuvent ne pas encore satisfaire les conditions ; l’âge seul ne garantit pas la suppression.
• En cas d’échec total ou partiel, consultez les résultats et erreurs par catégorie et identifiez les données déjà supprimées avant de suivre la procédure de l’organisation. Ne relancez pas à l’aveugle et ne raccourcissez pas la conservation pour élargir la suppression sans comprendre le résultat.
• Après exécution, interrogez de nouveau les événements de sécurité si nécessaire et comparez-les au suivi de tâche. Les agrégats peuvent subsister. L’absence de détails sur la plateforme ne signifie ni que le journal d’origine du contrôleur a été effacé ni qu’une sauvegarde restaurable existe.