我的Active Directory目录林有6个子域。 作为安全控制的一部分，当有人触发域名更改时，我们需要得到警报（例如使用SCOM）。
我的问题：当pipe理员执行域重命名时，是否有由Microsoft Windows 2008生成的事件ID？ 我知道，对于服务器/计算机重命名，我们可以通过事件ID 4742或6011进行跟踪，但域名重新分配相同的ID？
至于看到一个域名更名操作发生，是的。
Event ID: 1875 Level: Warning Source: ActiveDirectory_DomainService Log: Directory Service Active Directory Domain Services has detected that the replication epoch (as indicated by the msDS-ReplicationEpoch attribute of the following object) of the local domain controller has been changed. This typically occurs as part of the domain rename process. Object: CN=NTDS Settings,CN=CONTOSO01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=Contoso,DC=com Old replication epoch: 0 New replication epoch: 1 As a result, replication between this domain controller and domain controllers that are using the old replication epoch is no longer allowed. Replication can occur only with those domain controllers using the new replication epoch. Event ID: 1882 Level: Information Source: ActiveDirectory_DomainService Log: Directory Service Active Directory Domain Services is shutting down the system to complete the domain rename operation.
至于看谁做的…这有点棘手。 希望你没有超过一小撮可以做到的人。 基本上，通过组策略启用对象访问审计，并观察对DC=Domain,DC=com对象的更改。
编辑：只是想澄清一点在最后一部分。
使用
repadmin /showobjmeta . "CN=NTDS Settings,CN=CONTOSO01,CN=Servers,CN=Default-First-Site-Name,CN=Sites,CN=Configuration,DC=Contoso,DC=Com"
如果属性msDS-ReplicationEpoch已被更改，它将显示来自哪个域控制器（源“DSA”）以及什么时候发生更改。 从那里，您将需要检查源DC上的安全日志，以查看当时谁已login。