服务器 Gind.cn
  1. 服务器 Gind.cn
  3. 审核日志已满 – 事件日志存档GPO不能正常工作
Intereting Posts
VSFTPD将不允许上传到挂载（共享）目录。 RHEL6 如何检查一个具有沉重的IO使用情况的进程是否正常运行 是多用户环境下dynamic端口转发的安全替代scheme 如何阻止Windows DNS服务器属性设置自行更改？ Amazon AWS Ec2实例，Elastic IP，来自外部域名销售商的域名以及Google Apps for Email Foreman和ESX Integration，文档和示例; 推出虚拟机 一台交换机在networking上的STP 如何在内核升级时避免丢失根文件系统上的更改？ 在Dell PowerEdge上通过脚本（R210，R410）部署/设置BIOS密码 ssh到dom0和domU同时从dom0下降连接 OpenVPN的UDP和TCPstream量前进 使用GPO禁止通过ntvdm.exe访问16位应用程序 ldapsearch显示objectClass的内容 我如何“注册”本地域名，例如只在我的NT域名上？ 从一台计算机允许站点和服务器访问？

审核日志已满 – 事件日志存档GPO不能正常工作

我正在尝试创build一个事件日志档案，但它似乎并没有工作。

服务器2k12 R2环境。

以下是我启用的GPO：

Windows事件日志记录存档GPO

我重新启动了服务器，并确保使用“gpresult / r / scope computer”进行应用。 我也使用gpedit.msc在本地进行了检查，并成功传播了相同的设置。 不幸的是，除了“审核日志已满”popup窗口日志不断被覆盖。

我不妨提一下，所有的日志都是100MB的大小。

编辑：我启动了进程监视器，发现这个：

在这里输入图像说明

这对我来说太奇怪了。 如何才能写入Security.evtx，但不能创build一个新的文件？ 如果系统对该目录有完整的控制，可能会丢失什么？

解：

ICACLS C：\ Windows \ System32 \ winevt \ logs / grant * S-1-5-80-880578595-1860270145-482643319-2788375705-1540778122：（F）

看来Eventlog是由一个名为Eventlog的安全组控制的。 我不知道为什么，但事件日志目录中根本没有任何权限。

请注意，由于某些原因，这不会将实际的权限添加到目录中。 执行后，我必须手动为“eventlog”组勾选“完全权限”。 另外请注意，您可以使用“NT SERVICE \ EVENTLOG”手动添加它。