要让AD DS准确记录操作日志，必须先启用高级审核策略（如“审核目录服务访问/更改”），再为具体AD对象配置SACL审计条目；缺一不可，否则不生成47xx事件。

要让 Active Directory 域服务（AD DS）准确记录用户和管理员对目录对象的操作日志，关键不是“打开一个开关”，而是分两步完成：**先启用全局审核策略，再为具体对象配置访问审计规则（SACL）**。缺一不可，否则安全日志里不会出现 AD 相关的 47xx 事件。

配置域控制器的高级审核策略

这是基础，决定哪些类型的操作会被系统捕获。必须在域控制器的组策略中设置，推荐使用“高级审核策略配置”（适用于 windows server 2008 及以上）：

• 用域管理员账号登录，打开组策略管理控制台（GPMC）
• 定位到 Default Domain Controllers Policy（或新建一个 GPO 并链接到域控制器 OU）→ 右键 → “编辑”
• 导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置 → 审核策略
• 重点启用以下子类别（勾选“成功”或“成功和失败”，按需）：
  • DS 访问 → 审核目录服务访问：记录对 AD 对象属性的读取（如查看用户邮箱、登录脚本）
  • DS 访问 → 审核目录服务更改：记录写入类操作（如修改密码、重置账户、加组、改OU）
  • 账户管理 → 审核用户账户管理：记录创建/禁用/删除用户、重命名等动作（建议选“成功和失败”）
  • 账户管理 → 审核安全组管理：记录向关键组（如 Domain Admins）添加或移除成员
  • 账户登录 → 审核 Kerberos 身份验证服务：记录域登录尝试（4768、4776 等事件）
• 配置后，运行 gpupdate /force 刷新策略，或等待默认刷新周期

为特定 AD 对象设置 SACL（系统访问控制列表）

仅开策略还不够——AD 不会自动审计所有对象。你必须手动为需要监控的 OU、用户、组或容器“添加审计条目”：

• 打开 Active Directory 用户和计算机（ADUC），勾选“查看 → 高级功能”
• 右键目标对象（例如：一个存放高管账号的 OU）→ “属性” → 切换到“安全性”选项卡 → 点击右下角“高级”
• 切换到“审核”选项卡 → 点击“添加”
• 在“选择用户或组”中输入 Everyone（或更精确的组，如“Domain Admins”）→ 点击“确定”
• 在下方权限框中，勾选你关心的操作，例如：
  • “写入所有属性”（对应修改用户信息）
  • “删除”、“删除子项”（对应删用户或OU）
  • “更改权限”、“更改所有者”（防权限篡改）
  • 注意：勾选“仅适用于：这个对象”或“这个对象和子对象”，根据监控范围选择
• 点击“确定”保存。该对象及其子对象后续操作就会触发日志（前提是上一步策略已启用）

验证与查看日志

日志统一记录在域控制器的安全日志中，不是本地工作站或成员服务器：

windows-shell

Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。

下载

• 在任意域控制器上打开事件查看器 → Windows 日志 → 安全
• 筛选事件 ID，常用 AD 审核事件包括：
  • 4720：创建用户账户
  • 4722：启用账户
  • 4725：禁用账户
  • 4726：删除用户账户
  • 4732：将成员添加到安全全局组
  • 4738：用户账户已更改
  • 4768：Kerberos 票据请求（登录）
  • 4776：凭据验证（域控身份验证结果）
• 右键事件 → “将所有事件另存为…”可导出分析，或用 PowerShell 过滤：Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4720,4732} -MaxEvents 50

注意事项和常见问题

实际部署中容易忽略但影响效果的关键点：

• 权限要求：配置审核策略需“域管理员”；设置 SACL 需对该 AD 对象有“管理所有属性”或“完全控制”权限
• 日志容量：开启过多审核（尤其“失败”+“Everyone”）会导致安全日志迅速填满，建议先聚焦高价值对象和关键操作
• 传统策略冲突：如果同时启用了旧版“审核策略（本地策略）”，它会覆盖高级策略。务必在 GPO 中禁用“本地策略 → 审核策略”下的全部项
• 跨域场景：审核只记录在执行操作的域控制器上。多域环境需在各域控制器上分别配置对应 GPO
• NTFS 文件 vs AD 对象：文件/文件夹审核走的是“对象访问”策略 + NTFS SACL；AD 对象审核走的是“DS 访问”策略 + AD SACL，两者机制不同，别混淆设置位置