Возможно ли на Win7 включить «аудит управления учетными записями» через cmd/при помощи скрипта?

Question

[Phoen]

Имеется ряд не доменных компьютеров на которых есть необходимость массововключить "аудит управления учетными записями" в локальных политиках безопасности. На удивление "решения в лоб" найти не удалось.

Экспортировать настройки с помощью secedit и изменить AuditAccountManage на 3 - результата не дало.

auditpol /set /subcategory:"Управление учетными записями" /success:enable /failure:enable Тоже результата не дало, хоть при auditpol /get /subcategory:"Управление учетными записями" и выдает:

Политика аудита системы
Категория или подкатегория Параметр
Учетные записи
Управление учетными записями Успех и отказ

На деле изменений не происходит и события в журнал не пишутся.

Основная цель плясок - заставить винду писать в ивентлог события по изменению групп пользователей.

Answer 1

[FuriousAngel]

Powershell?
Навскидку там достаточно командлетов для управления групповыми политиками
только требуется установка RSAT
Windows® 7 with Remote Server Administration Tools (RSAT) installed. (RSAT includes the GPMC and the Group Policy cmdlets)

А если открыть оснастку gpedit.msc и посмотреть что винда сообщает о настройках данной политики? что написано?
У меня например на основной вкладке политики указано, что параметр может не применяться, если другая политика переопределяет политики на уровне категории. И отсылка к базе знаний
Хотя статья и про разворачивание политик в домене, но по сути - изменение локальной политики произведено, а действия заявленные политикой не выполняются..
Проверьте, может у вас тоже самое?

Comments

[Phoen]

Статью читал, цимес в том что если галки "успех" и "отказ" проставить в ручную через гуй все заводится, вопрос как это сделать без него. Пробовал regshot'ом спалить что меняется при изменении настроек - различий не нашел.

[FuriousAngel]

Самое смешное что у меня получилось
C:\Windows\system32>auditpol /set /category:"Учетные записи" /success:enable /failure:enable
Команда выполнена успешно.

В редакторе политики ничего не отображается но при добавлении пользователя в группу
событие 4732 Добавлен член локальной группы с включенной безопасностью.
....

Группа:
Идентификатор безопасности: ...\123
Имя группы: 123
....
При удалении 4733
Удален член локальной группы с включенной безопасностью.

Если это то что вы хотели то оно заработало....

[Phoen]

FuriousAngel: Ну да, оно, только у меня почему-то не работает :)

Сегодня пошёл дальше. Обнаружил что при установке галок в secpol.msc меняется хеш в ветке реестра HKEY_LOCAL_MACHINE\SECURITY\Policy\PolAdtEv , а вернее 58ая строка (доступ к ветке по умолчанию есть только у системной УЗ, права админам надо давать поэтому раньше и не заметил изменений). Включил галки, экспортировал эту ветку, импортировал на другой компьютер залитый аналогичным образом и с выключенным аудитом и все равно 100 процентного результата по включению аудита добиться не удалось. Аудит то включается, то нет. Перепроверил winmerge - различия только в этой ветке. Завтра буду копать дальше.

По структуре PolAdtEv нашел ещё такую вот полезную pdf'ку:
https://www.kazamiya.net/files/PolAdtEv_Structure_...
И не особо информативная статья на саппорте:
https://support.microsoft.com/en-us/kb/246120

[FuriousAngel]

Собственно я про этот параметр читала, но при изменении настроек через редактор в этой ветке ничего не менялось. вышеуказанный пример не помог? собственно в редакторе у меня стоит "не настроено" а после auditpol /set /category:"Учетные записи" /success:enable /failure:enable
в логах записи про изменения групп появились...