Comment faire pour utiliser la stratégie de groupe pour configurer des paramètres d'audit de sécurité détaillés pour des ordinateurs clients Windows Vista dans un domaine Windows Server 2003 ou Windows 2000
Cet article traite d'une version bêta d'un produit Microsoft. Les informations contenues dans cet article sont fournies « en l'état » et peuvent faire l'objet de modifications sans préavis.
Aucun support produit officiel n'est proposé par Microsoft pour ce produit bêta. Pour obtenir des informations sur la façon d'obtenir de l'assistance sur une version bêta, consultez la documentation fournie avec les fichiers du produit bêta ou effectuez une recherche sur le site Web à partir duquel vous avez téléchargé la version.
Cet article décrit comment utiliser la stratégie de groupe pour configurer des paramètres d'audit de sécurité pour des ordinateurs clients Microsoft Windows Vista dans un domaine Windows Server 2003 ou Windows 2000. Windows Vista vous permet de gérer des stratégies d'audit de manière plus précise à l'aide de sous-catégories de stratégie d'audit. Cet article décrit une procédure permettant aux administrateurs de déployer une stratégie d'audit personnalisée qui applique des paramètres d'audit de sécurité détaillés pour des ordinateurs clients Windows Vista.
Cet article décrit comment utiliser la stratégie de groupe pour configurer des paramètres d'audit de sécurité détaillés pour des ordinateurs clients Windows Vista dans un domaine Windows Server 2003 ou Windows 2000. Sous Windows Vista, vous bénéficiez d'un meilleur contrôle de chaque sous-catégorie de stratégie d'audit que dans les versions antérieures des systèmes d'exploitation Windows. Les sous-catégories de stratégie d'audit disponibles sous Windows Vista ne sont pas exposées de manière individuelle dans l'interface des outils de stratégie de groupe. Les administrateurs peuvent utiliser la procédure décrite dans cet article pour déployer une stratégie d'audit personnalisée qui applique des paramètres d'audit de sécurité détaillés aux ordinateurs clients Windows Vista dans un domaine Windows Server 2003 ou Windows 2000.
Les éléments suivants sont à prendre en compte avant d'effectuer la procédure présentée dans cet article :
La procédure utilise un exemple de code. L'exemple de code utilise le partage Netlogon. Par ailleurs, l'exemple de code utilise le dossier %SystemRoot%\Temp comme cache.
La procédure utilise l'exemple de domaine Contoso.com.
La procédure suppose que les conditions suivantes sont remplies :
Vous maîtrisez les technologies et outils suivants :
scripts de démarrage de stratégie de groupe ;
console de gestion des stratégies de groupe ;
outil de ligne de commande Auditpol.exe.
Vous possédez des notions de base sur le traitement des fichiers de commandes.
Vous pouvez configurer une stratégie d'audit pour des ordinateurs clients Windows Vista dans un domaine Windows Server 2003 ou Windows 2000. La stratégie d'audit est affectée à la stratégie de domaine par défaut.
Vous maîtrisez les scripts que la procédure utilise pour substituer des paramètres hérités de stratégie d'audit au niveau d'un domaine par des paramètres de stratégie d'audit détaillés disponibles sous Windows Vista. Si vous ne souhaitez pas configurer les paramètres de stratégie d'audit détaillés disponibles sous Windows Vista, n'appliquez pas la procédure présentée dans cet article.
Utilisation de la stratégie de groupe pour configurer des paramètres d'audit de sécurité détaillés pour des ordinateurs clients Windows Vista
Pour utiliser la stratégie de groupe pour configurer des paramètres d'audit de sécurité détaillés pour des ordinateurs clients Windows Vista dans un domaine Windows Server 2003 ou Windows 2000, procédez comme suit :
Étape 1 : Détermination des paramètres d'audit de sécurité à déployer sur des ordinateurs clients Windows Vista
Ouvrez une session sur un ordinateur Microsoft Vista en tant qu'utilisateur disposant d'informations d'identification d'administrateur.
Cliquez sur Démarrer, pointez sur Tous les programmes, cliquez sur Accessoires, cliquez avec le bouton droit sur Invite de commandes, puis cliquez sur Exécuter en tant qu'administrateur.
Dans la boîte de dialogue Contrôle de compte d'utilisateur, cliquez sur Continuer.
Videz les paramètres de stratégie d'audit par défaut. Pour cela, tapez la commande suivante à l'invite de commandes, puis appuyez sur ENTRÉE :
auditpol /clear
Utilisez l'outil de ligne de commande Auditpol.exe pour configurer les paramètres de stratégie d'audit personnalisés souhaités.
Par exemple, tapez les lignes suivantes à l'invite de commandes. Appuyez sur ENTRÉE après chaque ligne.
auditpol /set /subcategory:"IPSEC Main Mode" /failure:enable
Remarque Pour afficher toutes les catégories et sous-catégories possibles, tapez la ligne suivante à l'invite de commandes, puis appuyez sur ENTRÉE :
auditpol /list /subcategory:*
À l'invite de commandes, tapez la ligne suivante, puis appuyez sur ENTRÉE :
auditpol /backup /file:auditpolicy.txt
Copiez le fichier Auditpolicy.txt dans le partage Netlogon du contrôleur de domaine qui joue le rôle d'émulateur de contrôleur de domaine principal dans le domaine.
Le fichier Auditpolicy.txt contient tous les paramètres de stratégie d'audit que vous avez configurés. Le script de démarrage utilise ce fichier pour réappliquer la stratégie. Après avoir appliqué une fois le script de démarrage, il est inutile de redémarrer l'ordinateur pour mettre à jour les paramètres de stratégie d'audit. Pour mettre à jour les paramètres de stratégie d'audit, remplacez la version antérieure du fichier Auditpolicy.txt copié par le partage Netlogon. Pour cela, créez un nouveau fichier Auditpolicy, puis copiez-le dans le partage Netlogon.
Étape 2 : Procédure pour empêcher la stratégie d'audit de domaine héritée de remplacer la stratégie d'audit sur des ordinateurs clients Windows Vista
Pour empêcher la stratégie de domaine héritée de remplacer la stratégie d'audit, vous devez activer le paramètre de stratégie les paramètres de sous-catégorie de stratégie d'audit (Windows Vista ou version ultérieure) sont prioritaires et remplacent les paramètres de catégorie de stratégie d'audit. Ce paramètre empêche une stratégie d'audit au niveau d'un domaine de remplacer les paramètres de stratégie d'audit plus détaillés sur des ordinateurs clients Windows Vista. Pour cela, procédez comme suit :
Sur un ordinateur client Windows Vista joint au domaine, ouvrez la stratégie de domaine par défaut.
Développez Configuration de l'ordinateur, Paramètres Windows, Paramètres de sécurité, Stratégies locales, puis cliquez sur Options de sécurité.
Double-cliquez sur Audit : les paramètres de sous-catégorie de stratégie d'audit (Windows Vista ou version ultérieure) sont prioritaires et remplacent les paramètres de catégorie de stratégie d'audit.
Cliquez sur Activé, puis sur OK.
Étape 3 : Création et ajout des scripts dans le partage Netlogon
Microsoft fournit des exemples de programmation à des fins d'illustration uniquement, sans garantie explicite ou implicite. Ceci inclut, de manière non limitative, les garanties implicites de qualité marchande ou d'adéquation à un usage particulier. Cet article suppose que vous connaissez le langage de programmation présenté et les outils utilisés pour créer et déboguer des procédures. Les techniciens du support technique Microsoft peuvent vous expliquer les fonctionnalités d'une procédure particulière, mais ils ne peuvent pas modifier les exemples en vue de vous fournir des fonctionnalités supplémentaires ou de créer des procédures répondant à vos besoins spécifiques.
Créez le script AuditPolicy.cmd. Pour cela, procédez comme suit :
Démarrez le Bloc-notes, puis ouvrez un nouveau document.
Copiez le code suivant dans le document du Bloc-notes :
@echo off
REM AuditPolicy.cmd
REM (c) 2006 Microsoft Corporation. All rights reserved.
REM Sample Audit Script to deploy Windows Vista
REM Granular Audit Policy settings.
REM Should be run as a startup script from Group Policy
REM ###################################################
REM Declare Variables so that we only need to edit file
REM names/paths in one location in script
REM ###################################################
set AuditPolicyLog=%systemroot%\temp\auditpolicy.log
set OSVersionSwap=%systemroot%\temp\osversionwap.txt
set OsVersionTxt=%systemroot%\temp\osversion.txt
set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
set ApplyAuditPolicyCMD=applyauditpolicy.cmd
set AuditPolicyTxt=auditpolicy.txt
REM ###################################################
REM Clear Log & start fresh
REM ###################################################
if exist %AuditPolicyLog% del %AuditPolicyLog% /q /f
date /t > %AuditPolicyLog% & time /t >> %AuditPolicyLog%
echo.
REM ###################################################
REM Check OS Version
REM ###################################################
ver | findstr "[" > %OSVersionSwap%
for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
echo OS Version=%osversion% >> %AuditPolicyLog%
REM ###################################################
REM Skip Pre-Vista
REM ###################################################
if "%osversion%" LSS "6.0" exit /b 1
REM ###################################################
REM Get Domain Name
REM ###################################################
WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
echo Machine domain=%machinedomain% >> %AuditPolicyLog%
REM ###################################################
REM Copy Script & Policy to Local Directory or Terminate
REM ###################################################
xcopy \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% %systemroot%\temp\*.* /r /h /v /y
if %ERRORLEVEL% NEQ 0 (
echo Could not read \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% >> %AuditPolicyLog%
exit /b 1
) else (
echo Copied \\%machinedomain%\netlogon\%ApplyAuditPolicyCMD% to %systemroot%\temp >> %AuditPolicyLog%
)
xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
if %ERRORLEVEL% NEQ 0 (
echo Could not read \\%machinedomain%\netlogon\%AuditPolicyTxt% >> %AuditPolicyLog%
exit /b 1
) else (
echo Copied \\%machinedomain%\netlogon\%AuditPolicyTxt% to %systemroot%\temp >> %AuditPolicyLog%
)
REM ###################################################
REM Create Named Scheduled Task to Apply Policy
REM ###################################################
%systemroot%\system32\schtasks.exe /create /ru System /tn audit /sc hourly /mo 1 /f /rl highest /tr "%systemroot%\temp\%ApplyAuditPolicyCMD%"
if %ERRORLEVEL% NEQ 0 (
echo Failed to create scheduled task for Audit >> %AuditPolicyLog%
exit /b 1
) else (
echo Created scheduled task for Audit >> %AuditPolicyLog%
)
REM ###################################################
REM Start Named Scheduled Task to Apply Policy
REM ###################################################
%systemroot%\system32\schtasks.exe /run /tn audit
if %ERRORLEVEL% NEQ 0 (
Failed to execute scheduled task for Audit >> %AuditPolicyLog%
) else (
echo Executed scheduled task for Audit >> %AuditPolicyLog%
)
Dans le menu Fichier, cliquez sur Enregistrer.
Dans la zone Type, cliquez sur Tous les fichiers, dans la zone Nom du fichier, tapez AuditPolicy.cmd, puis cliquez sur Enregistrer.
Créez le script AuditPolicy.cmd. Pour cela, procédez comme suit :
Démarrez le Bloc-notes, puis ouvrez un nouveau document.
Copiez le code suivant dans le document du Bloc-notes :
@echo off
REM ApplyAuditPolicy.cmd
REM (c) 2006 Microsoft Corporation. All rights reserved.
REM Sample Audit Script to deploy Windows Vista
REM Granular Audit Policy settings.
REM ###################################################
REM Declare Variables so that we only need to edit file
REM names/paths in one location in script
REM ###################################################
set DeleteAudit=DeleteAudit.txt
set AuditPolicyLog=%systemroot%\temp\AuditPolicy.log
set ApplyAuditPolicyLog=%systemroot%\temp\ApplyAuditPolicy.log
set OSVersionSwap=%systemroot%\temp\osversionwap.txt
set OsVersionTxt=%systemroot%\temp\osversion.txt
set MachineDomainTxt=%systemroot%\temp\machinedomain.txt
set MachineDomainSwap=%systemroot%\temp\machinedomainSwap.txt
set ApplyAuditPolicyCMD=ApplyAuditpolicy.cmd
set AuditPolicyTxt=AuditPolicy.txt
REM ###################################################
REM Clear Log & start fresh
REM ###################################################
if exist %ApplyAuditPolicyLog% del %ApplyAuditPolicyLog% /q /f
date /t > %ApplyAuditPolicyLog% & time /t >> %ApplyAuditPolicyLog%
echo.
REM ###################################################
REM Check OS Version
REM ###################################################
ver | findstr "[" > %OSVersionSwap%
for /f "tokens=2 delims=[" %%i in (%OSVersionSwap%) do echo %%i > %OsVersionTxt%
for /f "tokens=2 delims=] " %%i in (%OsVersionTxt%) do set osversion=%%i
echo OS Version=%osversion% >> %ApplyAuditPolicyLog%
REM ###################################################
REM Skip Pre-Vista
REM ###################################################
if "%osversion%" LSS "6.0" exit /b 1
REM ###################################################
REM Get Domain Name
REM ###################################################
WMIC /namespace:\\root\cimv2 path Win32_ComputerSystem get domain /format:list > %MachineDomainSwap%
find /i "Domain=" %MachineDomainSwap% > %MachineDomainTxt%
for /f "Tokens=2 Delims==" %%i in (%MachineDomainTxt%) do set machinedomain=%%i
echo Machine domain=%machinedomain% >> %ApplyAuditPolicyLog%
REM ###################################################
REM Delete Audit Task
REM Should only be used to remove the pseudo-policy from
REM client machines (designed for future Vista revisions
REM where this script will no longer be necessary, and this
REM script needs to be backed out).
REM to use, simply create a file in NETLOGON with a name
REM that matches the contents of DeleteAudit variable (above)
REM ###################################################
if exist \\%machinedomain%\netlogon\%DeleteAudit% (
%systemroot%\system32\schtasks.exe /delete /tn "Audit" /F
DEL %AuditPolicyLog%
DEL %ApplyAuditPolicyLog%
DEL %OSVersionSwap%
DEL %OsVersionTxt%
DEL %MachineDomainTxt%
DEL %MachineDomainSwap%
DEL %systemroot%\temp\%ApplyAuditPolicyCMD%
DEL %systemroot%\temp\%AuditPolicyTxt%
exit /b 1
)
REM ###################################################
REM Copy Audit Policy to Local Directory
REM This is tolerant of failures since the copy is just
REM a "cache refresh".
REM ###################################################
xcopy \\%machinedomain%\netlogon\%AuditPolicyTxt% %systemroot%\temp\*.* /r /h /v /y
if %ERRORLEVEL% NEQ 0 (
echo Could not read \\%machinedomain%\netlogon\%AuditPolicyTxt% so using previous cached copy>> %ApplyAuditPolicyLog%
) else (
echo Copied \\%machinedomain%\netlogon\%AuditPolicyTxt% to %systemroot%\temp >> %ApplyAuditPolicyLog%
)
REM ###################################################
REM Apply Policy
REM ###################################################
%systemroot%\system32\auditpol.exe /restore /file:%systemroot%\temp\%AuditPolicyTxt%
if %ERRORLEVEL% NEQ 0 (
Failed to apply audit settings >> %ApplyAuditPolicyLog%
) else (
echo Successfully applied audit settings >> %ApplyAuditPolicyLog%
)
Dans le menu Fichier, cliquez sur Enregistrer.
Dans la zone Type, cliquez sur Tous les fichiers, tapez ApplyAuditPolicy.cmd dans la zone Nom du fichier, puis cliquez sur Enregistrer.
Copiez les scripts AuditPolicy.cmd et ApplyAuditPolicy.cmd dans le partage Netlogon du contrôleur de domaine qui joue le rôle d'émulateur de contrôleur de domaine principal dans le domaine.
Attendez l'exécution de la réplication Active Directory. Par ailleurs, attendez que les fichiers et dossiers dans le dossier partagé du volume système (SYSVOL) se répliquent sur les contrôleurs de domaine dans le domaine.
Ajoutez le script de démarrage à la stratégie de domaine par défaut. Pour cela, procédez comme suit :
Démarrez l'outil Utilisateurs et ordinateurs Active Directory.
Cliquez avec le bouton droit sur nom_domaine, puis cliquez sur Propriétés.
Cliquez sur l'onglet Stratégie de groupe, sur Stratégie de domaine par défaut, puis sur Modifier. L'outil Éditeur d'objets de stratégie de groupe démarre.
Développez Configuration ordinateur et Paramètres Windows, puis cliquez sur Scripts (démarrage/arrêt).
Double-cliquez sur Démarrage, puis cliquez sur Ajouter.
Dans la zone Nom du script, tapez le chemin d'accès UNC (Universal Naming Convention) du fichier AuditPolicy.cmd situé dans le partage Netlogon. Utilisez les formats suivants :
\\nom_domaine_complet\Netlogon\AuditPolicy.cmd
Par exemple, tapez \\contoso.com\netlogon\auditpolicy.cmd.
Cliquez deux fois sur OK.
Étape 4 : Vérification que les paramètres d'audit de sécurité sont correctement appliqués
Attendez l'exécution de la réplication Active Directory. Par ailleurs, attendez que les fichiers et dossiers dans le dossier partagé du volume système (SYSVOL) se répliquent sur les contrôleurs de domaine dans le domaine.
Redémarrez un ordinateur client Windows Vista joint au domaine. Puis, ouvrez une session sur l'ordinateur en tant qu'utilisateur disposant d'informations d'identification d'administrateur.
Cliquez sur Démarrer, pointez sur Tous les programmes, puis cliquez sur Accessoires.
Cliquez avec le bouton droit sur Invite de commandes, puis cliquez sur Exécuter en tant qu'administrateur.
Dans la boîte de dialogue Contrôle de compte d'utilisateur, cliquez sur Continuer.
À l'invite de commandes, tapez la ligne suivante, puis appuyez sur ENTRÉE :
auditpol /get /category:*
Vérifiez que les paramètres d'audit de sécurité figurant à l'invite de commandes correspondent à ceux configurés dans le fichier AuditPolicy.txt créé à l'étape 1 : « Détermination des paramètres d'audit de sécurité à déployer sur des ordinateurs clients Windows Vista ».
Si les paramètres d'audit de sécurité ne correspondent pas, examinez les fichiers journaux générés par le script de démarrage dans le dossier %SystemRoot%\Temp. Si le dossier %SystemRoot%\Temp ne contient aucun fichier journal, examinez l'ordinateur client Windows Vista pour déterminer la raison pour laquelle la stratégie de groupe n'a pas été appliquée.
Pour plus d'informations sur la façon de configurer des scripts de démarrage dans Active Directory, reportez-vous au site Web de Microsoft aux adresses suivantes (en anglais) :
Pour plus d'informations sur les outils de ligne de commande Auditpol.exe et Schtasks.exe, reportez-vous au Centre d'aide et de support de Windows Vista.
Numéro d'article: 921469 - Dernière mise à jour: vendredi 17 novembre 2006 - Version: 2.1
Les informations contenues dans cet article s'appliquent au(x) produit(s) suivant(s):
Windows Vista Ultimate
Windows Vista Business
Windows Vista Enterprise
Mots-clés :
kbhowto kbinfo kbexpertiseinter KB921469
L'INFORMATION CONTENUE DANS CE DOCUMENT EST FOURNIE PAR MICROSOFT SANS GARANTIE D'AUCUNE SORTE, EXPLICITE OU IMPLICITE. L'UTILISATEUR ASSUME LE RISQUE DE L'UTILISATION DU CONTENU DE CE DOCUMENT. CE DOCUMENT NE PEUT ETRE REVENDU OU CEDE EN ECHANGE D'UN QUELCONQUE PROFIT.
Quel niveau d'effort avez-vous dû personnellement fournir pour utiliser cet article ?
Très faible
Faible
Moyen
Elevé
Très élevé
Dites-nous pourquoi et ce que nous pouvons faire pour améliorer ces informations.
Merci ! Vos commentaires sont très utiles pour l'amélioration de notre contenu d'aide et de support. Si vous avez besoin d'aide complémentaire, veuillez consulter la page d'accueil d'aide et support.
Retour au début
