Syntax: AuditPol /resourceSACL /set /type: /success /failure /user: /access: /condition: /remove /type: /user: /type: /clear ...

Syntax: AuditPol /resourceSACL
       [/set /type: [/success] [/failure] /user:
         [/access:] [/condition:]]
       [/remove /type: /user: [/type:]]
       [/clear [/type:]]
       [/view [/user:] [/type:]]


Mit diesem Befehl werden die Einstellungen für die globale
Objektzugriffsüberwachung konfiguriert. Bei Ereignissen, die vom System
generiert wurden, ist eine Aktivierung der entsprechenden Unterkategorie für
den Objektzugriff erforderlich. Weitere Informationen erhalten Sie durch
Eingabe von "auditpol /set /?".



Befehle
  /?            Zeigt die Hilfe für den jeweiligen Befehl an.
  /set          Fügt der SACL für die Ressource des angegebenen Ressourcentyps
                einen neuen Eintrag hinzu oder aktualisiert einen vorhandenen
                Eintrag.
  /remove       Entfernt alle Einträge für den angegebenen Benutzer aus der
                globalen Überwachungsliste für den Objektzugriff, die durch
                den Ressourcentyp angegeben ist.
  /clear        Entfernt alle Einträge aus der globalen Überwachungsliste für
                den Objektzugriff für den angegebenen Ressourcentyp.
  /view         Führt die Überwachungseinträge für den globalen Objektzugriff
                für den angegebenen Ressourcentyp und Benutzer auf. Die
                Angabe eines Benutzers ist optional.


Argumente


/type           Die Ressource, für die die Objektzugriffsüberwachung
                konfiguriert wird. Die unterstützten Argumentwerte sind
                "File" und "Key".
                File: Verzeichnisse und Dateien
                Key:  Registrierungsschlüssel
/success        Gibt eine erfolgreiche Überwachung an.
/failure        Gibt eine fehlerhafte Überwachung an.
/user           Benutzer können wie folgt angegeben werden:
                - DomänenName\Konto (z. B. DOM\Administratoren)
                - EigenständigerServer\Gruppe
                - Konto (siehe LookupAccountName API)
                - {S-1-x-x-x-x}. x wird als Dezimalwert angegeben, und die
                  gesamte Sicherheitskennung muss in geschweiften Klammern
                  stehen.
                  (z. B.: {S-1-5-21-5624481-130208933-164394174-1001})
                  Warnung: In diesem Fall wird nicht überprüft,
                  ob ein Konto vorhanden ist.
/access         Gibt eine Berechtigungsmaske an, die eines von zwei Formaten
                aufweisen kann:
                - Eine Folge von einfachen Rechten:
                  Allgemeine Zugriffsrechte:
                    GA - GENERIC ALL
                    GR - GENERIC READ
                    GW - GENERIC WRITE
                    GX - GENERIC EXECUTE
                  Zugriffsrechte für Dateien:
                    FA - FILE ALL ACCESS
                    FR - FILE GENERIC READ
                    FW - FILE GENERIC WRITE
                    FX - FILE GENERIC EXECUTE
                  Zugriffsrechte für Registrierungsschlüssel:
                    KA - KEY ALL ACCESS
                    KR - KEY READ
                    KW - KEY WRITE
                    KX - KEY EXECUTE
                  Beispiel: Von "/access:FRFW" werden Überwachungsereignisse
                  für Lese- und Schreibvorgänge aktiviert.
                - Ein Hexwert für die Zugriffsmaske (z. B.: 0x1200a9).
                  Dies ist hilfreich, wenn Sie ressourcenspezifische
                  Bitmasken verwenden,
                  die nicht zum SDDL-Standard gehören. Wenn keine Angabe
                  erfolgt, wird der Vollzugriff verwendet.
/condition      Fügt einen attributbasierten Ausdruck wie den folgenden an:
                Dokumentvertraulichkeit ist HBI ("High")
                "(@Resource.Sensitivity == \"High\")"


Beispiele:


  auditpol /resourceSACL /set /type:Key /user:MYDOMAIN\myuser /success
  auditpol /resourceSACL /set /type:File /user:MYDOMAIN\myuser /success
    /failure /access:FRFW
  auditpol /resourceSACL /set /type:File /user:everyone /success
    /failure /access:FRFW /condition:"(@Resource.Sensitivity == \"High\")"
  auditpol /resourceSACL /type:File /clear
  auditpol /resourceSACL /remove /type:File
    /user:{S-1-5-21-56248481-1302087933-1644394174-1001}
  auditpol /resourceSACL /type:File /view
  auditpol /resourceSACL /type:File /view /user:MYDOMAIN\myuser