Nouvelle fonctionnalité AD DS : Amélioration de l’Audit des objets

plus intéressante puisqu’elle journalise les événements de modifications des valeurs des attributs d’objets soumis à l’audit. Les anciennes valeurs ainsi que les nouvelles sont consignées. Cette nouvelle fonctionnalité sera très pratique en cas de mauvaise manipulation puisque l’opération et les détails des valeurs seront consignés. L’administrateur d’un domaine Active Directory pourra contrôler la stratégie d’audit de la même manière que dans l’environnement Windows Server 2003 en éditant la stratégie par défaut des contrôleurs de domaine. Par défaut, les contrôleurs de domaine Windows Server 2008 implémentent une stratégie d’audit globale qui active la sous-catégorie « Directory Service Changes ». Enfin, les nouveaux événements relatifs à ces opérations seront consignés dans le bien connu journal de sécurité des contrôleurs de domaine.

Nouveaux événements liés aux opérations de modification des objets Active Directory
Event ID 5136 : opérations de modification d’un attribut.
Event ID 5137 : opérations de création d’objet.
Event ID 5138 : opérations de récupération d’un objet.
Event ID 5139 : opérations de déplacement d’un objet au sein du domaine.

Il convient toutefois de noter que le contrôle des nouvelles sous-catégories d’audit sera réalisé en ligne de commande à l’aide de la commande Auditpol.exe. Par exemple, la commande auditpol /set /user:adds-corp\Bob.Durand /Category: "System" /success:enable /include, définit l’audit des succès pour l’utilisateur Bob Durand sur les objets de la catégorie System. Il semble que Microsoft ne prévoit pas d’implémenter le contrôle de ces événements dans l’interface graphique.

Nouvelle fonctionnalité AD DS : Protection des objets Active Directory contre l’effacement
Il est aussi possible de protéger des objets de tous types (ordinateurs, contrôleurs de domaine, unités d’organisation, sites Active Directory, etc.) contre une éventuelle opération d’effacement de la part d’une personne qui disposerait de ces droits. De cette manière, une grande partie des incidents Active Directory causés par des erreurs de manipulation sera supprimée ! C’est une nouvelle fonctionnalité qui rendra c’est sûr de nombreux services !