在ActiveDirectory中,如何将安全审核事件传输到域控制器的事件日志？机制如何扩展？

Question

在多域设置中,我想在中心位置收集安全文件访问审核事件.

在ActiveDirectory中,可以通过创建GPO在域控制器上启用文件访问审核.此外,在不同的"文件服务器"计算机(即其中一个域的成员)中,必须在我要审核的文件系统对象(以及包含在网络共享中)中配置SACL.

完成此操作后,将记录文件访问事件,并以某种方式神奇地转移到域控制器的事件日志.

我真的很想知道:

• 这些事件如何以及何时转移？转移是加密的吗？
• 除了域控制器之外,是否可以直接选择那些事件的另一个(附加)接收器？我知道以后可以转发这些日志事件,但它们是否默认转发到域控制器？是否配置了隐式转发？
• 在网络负载方面会产生多少流量？

Answer 1

首先，域控制器是具有 Active Directory（一种组织数据库）的服务器。Active Directory 将连接到域的每个组件/资源（无论是逻辑（用户）还是物理（计算机和打印机））识别为对象。该对象具有称为架构的属性。该模式已在称为 GC（全局目录）的存储库中进行编目，但 gc 仅具有部分信息，以便可以定位资源。现在，谈谈这项政策。有两个东西 GPO 和 OU。GPO 是一组可以应用于 OU 或更高分组单元的策略。让我们看看沟通是如何发生的。同样，有两个广泛使用的术语 1. 复制和 2. LDAP 查询。

复制在控制器之间完成，以便减少网络流量并提高连接到服务器的资源的可用性。复制时，所有资源信息已与服务器同步。为了确保安全完整性，有证书（提供标识以及加密机制）和委托（提供权限）。

LDAP 是对用户进行身份验证的协议。所以LDAP有与其他查询语言类似的查询。好吧，所有这些查询最终都已记录到服务器。

GPO已复制到资源上，或者您可以强制申请。如果你想立即做。