Überwachen von Ressourcenattributdefinitionen
In diesem Thema, das sich an IT-Experten richtet, wird beschrieben, wie Änderungen an Ressourcenattributänderungen überwacht werden, wenn Sie die erweiterten Sicherheitsüberwachungsoptionen zum Überwachen von dynamischen Zugriffssteuerungsobjekten verwenden.
Anhand von Ressourcenattributdefinitionen werden die grundlegenden Eigenschaften der Ressourcenattribute definiert, dazu zählt auch, was es für eine Ressource bedeutet, als „hoher Geschäftswert“ definiert zu werden. Die Ressourcenattributdefinitionen werden in AD DS unter dem Container „Ressourceneigenschaften“ gespeichert. Änderungen an diesen Definitionen könnten zu erheblichen Änderungen an den Ressourcenschutzvorkehrungen führen, auch wenn die für die Ressource zutreffenden Ressourcenattribute nicht geändert werden würden. Änderungen können wie jedes andere AD DS-Objekt überwacht werden.
Informationen über das Überwachen von Änderungen an den für Dateien geltenden Ressourcenattributen finden Sie unter Überwachen der Ressourcenattribute für Dateien und Ordner.
Gehen Sie wie folgt vor, um die Einstellungen für das Überwachen von Änderungen an den Ressourcenattributdefinitionen in AD DS zu konfigurieren und die Änderungen zu überprüfen. In diesen Vorgehensweisen wird davon ausgegangen, dass Sie die dynamische Zugriffssteuerung, einschließlich der zentralen Zugriffsrichtlinien, Ansprüche und der anderen Komponenten, in Ihrem Netzwerk konfiguriert und bereitgestellt haben. Wenn Sie die dynamische Zugriffssteuerung noch nicht in Ihrem Netzwerk bereitgestellt haben, finden Sie unter Bereitstellen einer zentralen Zugriffsrichtlinie (Demonstrationsschritte) eine entsprechende Anleitung.
Hinweis
Die Funktionsweise des Servers ist möglicherweise abhängig von der Version und der Edition des installierten Betriebssystems, von Ihren Kontoberechtigungen sowie von den Menüeinstellungen.
.gif "Mt431883.wedge(de-de,VS.85).gif")
So konfigurieren Sie Einstellungen zum Überwachen von Änderungen an Ressourcenattributen
Melden Sie sich mithilfe Ihrer Domänenadministratoranmeldeinformationen an Ihrem Domänencontroller an.
Zeigen Sie im Server-Manager auf Extras, und klicken Sie dann auf Gruppenrichtlinienverwaltung.
Klicken Sie in der Konsolenstruktur mit der rechten Maustaste auf „Gruppenrichtlinienobjekt“ für den Standarddomänencontroller, und klicken Sie dann auf Bearbeiten.
Doppelklicken Sie auf Computerkonfiguration, klicken Sie auf Sicherheitseinstellungen, erweiterten Sie Erweiterte Überwachungsrichtlinienkonfiguration und dann Systemüberwachungsrichtlinien, klicken Sie auf DS-Zugriff, und doppelklicken Sie dann auf Verzeichnisdienständerungen überwachen.
Aktivieren Sie die Kontrollkästchen Folgende Überwachungsereignisse konfigurieren, Erfolgreich (und bei Bedarf Fehler), und klicken Sie dann auf OK.
Schließen Sie den Gruppenrichtlinienverwaltungs-Editor.
Öffnen Sie das Active Directory-Verwaltungscenter.
Klicken Sie mit der rechten Maustaste unter Dynamische Zugriffssteuerung auf Ressourceneigenschaften, und klicken Sie dann auf Eigenschaften.
Klicken Sie auf der Registerkarte Sicherheit auf die Option Erweitert, um das Dialogfeld Erweiterte Sicherheitseinstellungen zu öffnen, und klicken Sie dann auf die Registerkarte Überwachung.
Klicken Sie auf Hinzufügen, um eine Sicherheitsüberwachungseinstellung für den Container hinzuzufügen, und schließen Sie dann alle Dialogfelder für die Sicherheitseigenschaften.
Nachdem Sie die Einstellungen für das Überwachen von Änderungen an den Ressourcenattributen in AD DS konfiguriert haben, müssen Sie sicherstellen, ob die Änderungen überwacht werden.
So überprüfen Sie, ob die Änderungen an den Ressourcendefinitionen überwacht werden
Melden Sie sich mithilfe Ihrer Domänenadministratoranmeldeinformationen an Ihrem Domänencontroller an.
Öffnen Sie das Active Directory-Verwaltungscenter.
Klicken Sie unter Dynamische Zugriffssteuerung auf Ressourceneigenschaften, und doppelklicken Sie anschließend auf ein Ressourcenattribut.
Nehmen Sie die Änderungen an diesem Ressourcenattribut vor.
Klicken Sie auf OK, und schließen Sie dann das Active Directory-Verwaltungscenter-
Klicken Sie im Server-Manager auf Extras und dann auf Ereignisanzeige.
Erweitern Sie Windows-Protokolle, und klicken Sie dann auf Sicherheit. Überprüfen Sie, ob das Ereignis 5137 im Sicherheitsprotokoll angezeigt wird.