Comment suivre les modifications apportées aux groupes dans Active Directory ?

Suivi des changements de groupe avec l'outil AD natif

• Étape 1 : Activer l'audit des stratégies de groupe

• Lancez le Gestionnaire de serveur et ouvrez la console de gestion des stratégies de groupe (GPMC).

• Dans le volet de gauche, développez les nœuds 'Forêt' et 'Domaines' pour faire apparaître le domaine spécifié pour lequel vous souhaitez suivre les modifications.

• Développez le domaine et faites un clic droit sur 'Stratégie de domaine par défaut.'. Vous pouvez également choisir une stratégie de domaine universelle ou créer un nouveau GPO et le lier à la stratégie de domaine par défaut.

• Cliquez sur 'Modifier' dans la stratégie de groupe souhaitée pour ouvrir l'éditeur de gestion de la stratégie de groupe.

• Développez Configuration de l’ordinateur --->Stratégies---->Paramètres Windows ----->Paramètres de sécurité----->Stratégies locales------->Audit des stratégies.

• Activez les options de succès et d'échec pour les propriétés de stratégie 'Audit de la gestion des comptes' et 'Audit de l'accès aux objets.' Quitter l'éditeur de gestion des stratégies de groupe.

  

• Dans la GPMC, choisissez la GPO modifiée et cliquez sur 'Ajouter' dans la section 'Sécurité' du volet de droite. Tapez « Tout le monde » dans la zone de texte et cliquez sur « Vérifier les noms » pour « suivre les modifications apportées par toutes les personnes qui se sont connectées au domaine » ou quelque chose de similaire fonctionnerait. Quittez GPMC.

• Pour appliquer ces changements à l'ensemble du domaine, exécutez la commande « gpupdate /force » dans la console Exécuter" .

• Étape 2 : Autoriser l'audit AD via ADSI Edit

• Dans le ' Gestionnaire de serveur' allez dans 'Outils' et sélectionnez 'ADSI Edit'.

• Faites un clic droit sur le nœud 'ADSI Edit' dans le panneau de gauche et sélectionnez l’option 'Se connecter.'La fenêtre 'Paramètres de connexion ' s'affiche.

• Sélectionnez l’option 'Contexte d'attribution de noms par défaut' dans le menu déroulant 'Sélectionner un contexte d’attribution de noms connu.'.

• Cliquez sur 'OK' et revenez à la fenêtre ADSI Edit. Développez 'Contexte de dénomination par défaut' et sélectionnez le sous-nœud 'DC' associé. Faites un clic droit sur ce sous-nœud et cliquez sur « Propriétés ».

• Dans la fenêtre 'Propriétés' allez dans l’onglet 'Sécurité' et sélectionnez 'Avancé'. Ensuite, sélectionnez l’onglet 'Audit' et cliquez sur 'Ajouter'.

  

• Cliquez sur ' Sélectionner un principal de service'. La fenêtre 'Sélectionner un utilisateur, un ordinateur ou un groupe 's'affiche. Tapez Tout le monde dans la zone de texte et vérifiez-le en cliquant sur 'Vérifier les noms.'.

• Le Principal de la fenêtre 'Entrée d'audit ' affiche désormais Tout le monde. Dans le menu déroulant Type, sélectionnez 'Tous' pour vérifier les événements de type Succès et Échec.

• Dans le menu déroulant 'Sélectionner' choisissez 'Cet objet et tous les objets descendants. Cela permet d'auditer les objets descendants de l’UO. Sélectionnez 'Contrôle total' dans la section Autorisations.

• Cela permet de sélectionner toutes les cases à cocher disponibles. Désélectionnez les cases à cocher suivantes :

  1. Contrôle total

  2. Répertorier les contenus

  3. Lire toutes les propriétés

  4. Lire les autorisations

  

• Étape 3 : Afficher les événements dans l’Observateur d'événements

• Vous pouvez consulter les modifications apportées à vos groupes en accédant aux « Journaux de sécurité » dans l'Observateur d’événements. La liste ci-dessous correspond aux événements de changements de groupes AD. Vous pouvez rechercher ou filtrer ces événements dans votre Observateur d'événements.

• ID d'événement : 4727 Un groupe de sécurité a été créé

• ID d'événement : 4729 Un membre a été retiré d'un groupe de sécurité

• ID d'événement : 4728 Un membre a été ajouté à un groupe de sécurité

• ID d'événement : 4730 Un groupe de sécurité a été supprimé.