Windows Server 2008 Active Directory 改進：AD DS 稽核原則子類別與新舊屬性值記錄

Windows Server 2008 強化 AD DS 稽核能力，引入「目錄服務變更」子類別，可記錄屬性修改前後的新舊值，大幅提升追蹤與合規審計能力。同樣適用於 AD LDS。

AD DS 稽核新功能

• 全域稽核原則「稽核目錄服務存取」預設啟用，控制是否記錄目錄物件操作事件至安全性記錄。
• 透過物件 SACL (系統存取控制清單) 精細控制稽核成功/失敗/不稽核。
• 關鍵突破： 成功屬性變更事件現在會記錄 舊值與新值 (舊版僅記錄屬性名稱)。多值屬性僅記錄實際變更的值。

四大稽核子類別 (取代目錄服務存取單一原則)

「目錄服務變更」記錄事件詳情

注意： 物件刪除不產生變更事件，若啟用「目錄服務存取」則會記錄存取事件。

啟用稽核兩步驟

步驟一：啟用稽核原則 (GUI 或命令列)

GPMC → 預設網域控制器原則 → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 稽核原則 → 稽核目錄服務存取 → 成功
或
auditpol /set /subcategory:"directory service changes" /success:enable

步驟二：於物件 SACL 設定稽核

1. ADUC (Active Directory Users and Computers) → 右鍵目標 OU/物件 → 內容 → 安全性 → 進階 → 稽核。
2. 新增 → 輸入「Authenticated Users」 (或其他主體)。
3. 「套用至」選「子系使用者物件」 (或其他)。
4. 「存取」勾選「寫入所有屬性」→ 成功。
5. 確定關閉所有對話方塊。

完成後，符合條件的屬性變更將寫入安全性記錄，含完整新舊值，滿足法規遵循與安全調查需求。