Windows Server 2008R2 - 审核对服务帐户的更改

Question

我想设置审计，以便我可以查看是否正在对 AD 中用于运行备份应用程序的服务帐户（任何更改）进行任何更改。

我需要在组策略管理中启用什么：审核目录服务更改或审核帐户管理？

Answer 1

您可以启用 Windows 2008 中引入的目录服务更改功能。这具有在发生修改时记录属性的当前值和先前值的额外好处。

警告：如果您在组策略中配置此设置，这将在新的审核部分作为“DS 访问”进行介绍。您应该使用新的审计设置或旧的审计部分，但不能同时使用两者。当使用新审计部分中的设置时，旧部分中的任何设置都可能被忽略。

新地点：

计算机配置 > Windows 设置 > 安全设置 > 高级审核策略配置

旧地点：

计算机配置 > Windows 设置 > 安全设置 > 本地策略 > 审核策略。

可以使用 auditpol.exe 命令进行配置，但如果使用该方法，则应将其作为计算机启动脚本执行，以确保在计算机重新启动时设置生效。这是命令：

auditpol /set /subcategory:"directory service changes" /success:enable

您还需要在 AD 用户和计算机中启用审核：

• 运行 Active Directory 用户和计算机。

• 右键单击要为其启用审核的组织单位 (OU)（或任何对象），然后单击“属性”。

• 单击“安全”选项卡，单击“高级”，然后单击“审核”选项卡。

• 单击“添加”，在“输入要选择的对象名称”下，键入 Authenticated Users（或任何其他安全主体），然后单击“确定”。

• 在应用到中，单击后代用户对象（或任何其他对象）。

• 在访问下，为写入所有属性选中成功复选框。

• 单击“确定”，直到退出 OU 或其他对象的属性表。

更多信息：

AD DS 审核分步指南
http://technet.microsoft.com/en-us/library/cc731607%28v=ws.10%29.aspx

哪些版本的 Windows 支持高级审计策略配置？
http://technet.microsoft.com/en-us/library/dd692792(WS.10).aspx

“同时使用Local Policies\Audit Policy 下的基本审核策略设置和Advanced Audit Policy Configuration 下的高级设置可能会导致意外结果。因此，不应将两组审核策略设置结合使用。如果使用Advanced Audit Policy Configuration 设置，您应该启用审核：强制审核策略子类别设置（Windows Vista 或更高版本）以覆盖本地策略\安全选项下的审核策略类别设置策略设置。这将通过强制忽略基本安全审核来防止类似设置之间的冲突。”