- ベストアンサー
クライアントのログオンとログオフの記録について
- クライアントのログオンとログオフの記録方法について困っています。Windows Server 2008 R2 StandardのサーバーとWinXPからWin7までのクライアント環境で、アカウント ログオン イベントの監査設定ではログを確認できません。
- Default Domain Policy - ユーザーの構成 - ポリシー - Windowsの設定 - スクリプトのログオンとログオフに設定しても、クライアントからのログオン・ログオフはイベントビューワーのアプリケーションログに記録されません。
- 他の管理者の皆さんはクライアントからのログオン・ログオフをどのように記録されているのでしょうか？ご意見をお聞かせください。
- kuma-jiji
- お礼率100% (18/18)
- Windows系OS
- 回答数1
- ありがとう数1
- みんなの回答 （1）
- 専門家の回答
質問者が選んだベストアンサー
参考にされたスクリプトを使用したログオン、ログオフの記録を運用している環境を構築したことがありますので、方向性は正しいと思います。 ＞これだとサーバーのコンソールに直接ログオン・ログオフした結果はイベントビューワーのWindows ログのアプリケーションに記録されるのですが、クライアントからログオン・ログオフした場合は記録されません。 スクリプトを組み込んだだけだと思っていいでしょうか？ そうであればおそらくイベントログのアクセス権によるものだと思います。 既定ではDomainUsersに対しては書込みの権限がありませんので、 ＞objShell.LogEvent AUDIT_SUCCESS, strMsg, objADSys.GetAnyDCName ここで書込みがエラーとなってイベントログには書かれない状態だと思います。 DCにログオンした場合はDomainAdminsの権限があるユーザーでログオンしたと思いますので権限が有るため記録されたと推測します。 一般ユーザーに高い権限を与えるわけにはいかないので、イベントログの権限を設定するのが良いと思います。 以下のWebサイトを参考にして下さい。 http://blogs.technet.com/b/askcorejp/archive/2010/03/30/ws08.aspx こちらも http://support.microsoft.com/kb/323076 例として書かれているものはDomainUsersに読み書きの権限を付与するようになっていますが、これだとちょっと知識があればDomainUsersな人がサーバのセキュリティログを見ることが出来てしまうというリスクがあります。 書き込み権限のみを与えるほうがセキュリティ上は好ましいと思います。 SDDL文字列によるセキュリティ記述子の表現は少しわかりにくいかもしれせんが、詳しくはこちらも参照して見て下さい。 http://www.atmarkit.co.jp/fwin2k/win2ktips/725sddl/sddl.html あとちょっとした注意点ですが、 ＞objShell.LogEvent AUDIT_SUCCESS, strMsg, objADSys.GetAnyDCName この記述だとDCが複数台ある場合には、記録がそれぞれのDCに分散されることになります。 ログオン・ログオフの情報をまとめて見たい場合にはその都度複数のDCから集計しないといけません。 このような場合は1台にまとめるほうが良い場合もあるでしょう。 その場合は直接ホスト名を指定すればいいです。 objShell.LogEvent AUDIT_SUCCESS, strMsg, "hostname" また、ログを記録するサーバはDCである必要はありませんのでDC以外で記録を収集してもいいです。
お礼
詳しいご説明ありがとうございます。 また、お礼が遅れまして申し訳ありません。 内容についてはまだ、詳しく読んでいないため、これから確認します。 もしも、わからないことがあったらまた質問することがあるかもしれませんが、その時はよろしくお願いいたします。