Windows Server 2019 中事件查看器中缺少的文件夹审核事件 - Windows Server

总结

在 Windows Server 2019 文件服务器上启用文件夹审核后，审核事件不会显示在Event Viewer中。 本文可帮助你识别和修复阻止记录文件夹审核事件的常见配置问题。

症状

配置文件夹审计以监视 Windows Server 2019 文件服务器上的文件夹，以便检查访问和更改操作。 但是，你看不到你期望在Event Viewer中记录的审核事件。 此外，你看不到任何指示审核问题的事件或错误代码。

原因

如果在文件服务器上审核策略或权限不完整或配置不正确，则可能会出现此问题。 Windows Server 2019 不会生成文件夹访问或更改的审核日志，除非正确配置了审核策略和文件夹特定的审核条目。

解决方案

若要配置文件夹审核，请执行以下步骤。

步骤 1：验证审核策略设置

1. 如果使用Group Policy对象（GPO）管理配置，请按照以下步骤查找正确的设置：

   1. 在域控制器（DC）上，打开Server Manager，然后选择Tools>Group Policy Management。
   2. 打开或创建链接到受影响计算机的Group Policy对象（GPO）。 若要打开Group Policy管理编辑器，请右键单击 GPO，然后选择Edit。
   3. 在编辑器中，选择计算机配置>策略>Windows 设置>安全设置>高级审核策略配置>审核策略>对象访问。

2. 如果未配置 GPO，并且在本地级别使用Group Policy，请按照以下步骤查找正确的设置：

   1. 在受影响的计算机上，选择 Start，键入 gpedit.msc，然后从搜索结果中选择 Edit group policy。
   2. 在编辑器中，选择 计算机配置>Windows 设置>安全设置>高级审核策略配置>系统审核策略 - 本地组策略对象>对象访问.

3. 右键单击要启用的策略（如 审核文件系统），然后选择“ 属性”。

4. 确保已选中 “配置以下审核事件 ”，并选中要审核的事件类型（成功、 失败或两者）。

5. 在受影响的计算机上，打开管理命令提示符窗口。

6. 若要强制计算机更新其Group Policy设置，请在命令提示符处运行以下命令：

   gpupdate /force
   

步骤 2：配置要为其审核文件夹使用情况的用户或组

1. 在受影响的计算机上的File Explorer中，右键单击目标文件夹，然后选择Properties。
2. 选择 “安全高级审核”。
3. 在 Auditing 选项卡上，添加要审核其访问权限的用户或组。
4. 选择要审核的access类型（例如，创建文件/写入数据或 Read data/list 文件夹）。
5. 选择是审核成功尝试、失败尝试还是同时审核两者尝试。

步骤 3：验证审核日志记录是否正常工作

1. 在受影响的计算机上，验证 Windows 事件日志服务是否正在运行。

2. 若要验证计算机是否正在记录文件夹访问事件，请打开事件查看器，然后选择 Windows Logs>Security。

3. 若要测试审核配置，请使用与审核规则匹配的帐户来access或更改目标文件夹。

   记录您操作的审核事件现在应显示在事件查看器中。

数据收集

以下类型的数据可以帮助你排查此问题。 此外，如果联系Microsoft Support，可以将此数据附加到支持请求。

• 从安全事件日志导出的数据

• Windows Server 2019 版本和内部版本详细信息

  注意：若要查看确切的版本和内部版本号，请在出现问题的计算机上打开命令提示符窗口并输入命令运行。

• Group Policy管理控制台中审核策略配置的屏幕截图

• 文件夹 属性 对话框中文件夹审核条目的屏幕截图

• 测试中所用步骤的详细信息，包括使用的用户账户和执行的操作。

参考

• 高级审核策略配置