windows-server-2008 – 如何最大程度地更改活动的DIrectory审核

发布时间：2020-12-13 23:29:03 所属栏目：Windows 来源：网络整理

导读：我们最近开始测试ADAudit工具并在AD中启用了一些新的审核功能. 我在我编写的自定义程序中有一个LDAP修改操作,它为AD(10,000)中的组更新了非常大的成员资格.由于审计变更,它看起来已经开始失败.这是目录服务事件日志中的事件描述. While logging audit events

我们最近开始测试ADAudit工具并在AD中启用了一些新的审核功能.

我在我编写的自定义程序中有一个LDAP修改操作,它为AD(10,000)中的组更新了非常大的成员资格.由于审计变更,它看起来已经开始失败.这是目录服务事件日志中的事件描述.

While logging audit events for the following object,the directory service reached the maximum number of audit events that could be cached in memory at any given time. As a result of reaching this limit,the operation was aborted.

Maximum number of audit events that can be cached:
17000

有谁知道如何改变这个的最大限制？我无处可找到有关它的信息.

如果您问题的唯一相关搜索结果是您刚刚提出的Serverfault问题,那么您知道自己已经陷入困境.

尝试一下：

HKLMSystemCurrentControlSetservicesNTDSParametersMaximum Audit Queue Size

您必须创建密钥,因为它很可能不存在.它完全没有由Microsoft公开(公开),因此很可能不受支持.我知道目录服务检查是否存在该密钥的唯一原因是我运行Procmon并重新启动AD DS以查看它搜索的reg密钥.

我没有测试过它,也没有像你一样疯狂的Active Directory来测试它,但我怀疑你会在没有联系微软支持的情况下得到更好的答案.

大多数other keys似乎都是DWORDS,所以我会从那开始.

lsass.exe使用函数RegQueryValueExA在AD DS启动期间搜索它.不幸的是我看不到传递给函数的参数,所以我无法确切地告诉你它需要什么类型的注册表项.你只需要测试一下.

（编辑：李大同）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!