オブジェクト タイプに属性を設定しDRAがサポートする操作のうちの1つを実行すると、その操作を誰が行ったかなど、DRA固有の情報がその属性に追加されて(スタンプが押されて)更新されます。これにより、ADがその属性変更に関する監査イベントを生成します。
例として、extensionAttribute1という属性をユーザ属性に選択し、AD DS監査を設定していた場合を考えてみましょう。アシスタント管理者がユーザを更新するたびに、DRAはextensionAttribute1という属性をイベントスタンプのデータを使って更新します。つまり、各属性に対し発生するAD DSイベントに伴って(たとえば説明や名前など)、extensionAttribute1 属性のために追加のAD DSイベントが存在することになります。
これらのイベントのそれぞれに、相関性IDが含まれます。このIDは、ユーザが更新されたときに変更された各属性のものと同一です。こうして、アプリケーションがイベントスタンプのデータと更新された別の属性を関連付けることができるのです。
このようなイベントは、DRAがサポート対象の操作を実行したときにいつでも、Windowsログのセキュリティで確認することができます。
|
LDAPの表示名: |
extensionAttribute1 |
|---|---|
|
構文(OID): 2.5.5.12 |
2.5.5.12 |
|
値: |
<dra-event user="DRDOM300\drauseradmin" sid="S-1-5-21-53918190-1560392134-2889063332-1914" tid="E0E257E6B4D24744A9B0FE3F86EC7038" SubjectUserSid="S-1-5-21-4224976940-2944197837-1672139851-500" ObjectDN="CN=admin_113,OU=Vino_113,DC=DRDOM113,DC=LAB"/>+a+02ROO+bJbhyPbR4leJpKWCGTp/KXdqI7S3EBhVyniE7iXvxIT6eB6IdcXQ5StkbIAHJgKzLN5FCOM5fZcITxyAPLWhbstaA7ZA0VbVC9MGlVIaAcjl3z7mpF9GKXsfDogbSeNlmHliXvH5KpOX3/29AKMPj/zvf6Yuczoos= |
イベントの値は、2つの部分で構成されています。1つ目はイベントスタンプのデータを含んだXML文字列です。2つ目はデータの署名です。これはデータが実際にDRAによって生成されたことを検証するために使用できます。署名を認証するには、アプリケーションがその署名の公開鍵を持っている必要があります。
XMLの文字列は、次に示す情報で構成されています。
|
User |
操作を実行したアシスタント管理者 |
|
Sid |
操作を実行したアシスタント管理者のSID |
|
Tid |
各イベントを一意にするためのDRA監査トランザクションのID |
|
SubjectUserSid |
実際にADを更新したDRAサービスアカウントまたはアクセスアカウントのSID |
|
ObjectDN |
変更されたオブジェクトの識別名 |
|
ユーザ |
|
|
グループ |
|
|
連絡先 |
|
|
コンピュータ |
|
|
部門 |
|