在ActiveDirectory中，如何将安全审核事件传输到域控制器的事件日志？机制如何扩展？

Question

在多域设置中，我想在中心位置收集安全文件访问审核事件。

在ActiveDirectory中，可以通过创建GPO在域控制器上启用文件访问审核。 此外，在不同的“文件服务器”计算机（即其中一个域的成员）中，必须在我想要审核的文件系统对象（以及包含在网络共享中）中配置SACL。 / p>

完成此操作后，将记录文件访问事件，并以某种方式神奇地转移到域控制器的事件日志。

我真的很想知道：

• 这些事件如何以及何时转移？是转移 加密？
• 除了域控制器之外，是否可以直接选择那些事件的另一个（附加）接收器？我知道以后可以转发这些日志事件，但它们是否默认转发到域控制器？是否配置了隐式转发？
• 在网络负载方面会产生多少流量？

Answer 1

首先，域控制器是具有Active Directory（一种组织数据库）的服务器。活动目录识别连接到域的每个组件/资源，无论是逻辑（用户）还是物理（计算机和打印机）作为对象。此对象具有称为Schema的属性。此模式已存储在称为GC（全局编录）的存储库中，但gc仅包含部分信息，因此可以找到资源。 现在，来到这个政策。 GPO和OU有两件事。 GPO是一组可以应用于OU或更高分组单元的策略。 让我们看看沟通是如何发生的。同样，有两个广泛使用的术语1.复制和2. LDAP查询。

在控制器之间完成复制，以便减少网络流量并提高连接到服务器的资源的可用性。在复制中，所有资源信息都已与服务器同步。为了确保安全完整性，有证书（提供标识和加密机制）和委托（提供权利）。

LDAP是用户通过身份验证的协议。因此LDAP具有与其他查询语言类似的安静查询。所有这些查询都已最终记录到服务器。

GPO已在资源上复制，或者您可以强行申请。如果你想立即这样做。