事件日志中的审计活动可以帮助您隔离、诊断和解决环境中的问题。本节提供的信息可帮助您启用和了解事件日志记录以及如何使用日志存档。
为了允许您查看和报告助理管理员操作，DRA 会在管理服务器计算机上的日志存档中记录所有用户操作。用户操作包括更改定义的所有尝试，例如更新用户帐户、删除组或重新定义 ActiveView。DRA 还会记录特定的内部操作，例如管理服务器初始化和相关的服务器信息。除了记录这些审计事件外，DRA 还会记录事件的之前值和之后值，以便您可以确切地看到更改的内容。
DRA 使用称为日志存档的文件夹 NetIQLogArchiveData 来安全地储存存档的日志数据。DRA 会随着时间的推移对日志进行存档，然后删除较旧的数据，以通过清理过程为较新的数据腾出空间。
DRA 使用储存在日志存档文件中的审计事件来显示 Activity Detail（活动细节）报告，例如显示在指定时间段内对对象所作的更改。您还可以配置 DRA 以将这些日志存档文件中的信息导出到 NetIQ Reporting Center 用于显示管理报告的 SQL Server 数据库。
DRA 始终会将审计事件写入日志存档。您也可以启用或禁用 DRA 将事件写入 Windows 事件日志。
在安装 DRA 时，默认情况下不会在 Windows 事件日志中记录审计事件。您可以通过修改注册表项来启用此类型的日志记录。
警告：编辑 Windows 注册表时需要加倍小心。如果您的注册表中存在错误，则您的计算机可能无法正常运行。如果发生错误，您可以将注册表恢复到上次成功启动计算机时的状态。有关更多信息，请参见 Help for the Windows Registry Editor（Windows 注册表编辑器帮助）。
要启用事件审计：
单击启动 > 运行。
在打开字段中键入 regedit，然后单击确定。
展开以下注册表项：HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\。
单击编辑 > 新建 > DWORD 值。
输入 IsNTAuditEnabled 作为项名称。
单击编辑 > 修改。
在 Value data（数值数据）字段中输入 1，然后单击确定。
关闭注册表编辑器。
要禁用事件审计：
单击启动 > 运行。
在打开字段中键入 regedit，然后单击确定。
展开以下注册表项：HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\。
选择 IsNTAuditEnabled 项。
单击编辑 > 修改。
在 Value data（数值数据）字段中输入 0，然后单击确定。
关闭注册表编辑器。
为确保审计所有用户操作，DRA 在产品无法校验日志记录活动时提供备用日志记录方法。安装 DRA 时，会将 AuditFailsFilePath 项和路径添加到注册表中，以确保执行以下操作：
如果 DRA 检测到审计事件不再记录到日志存档中，则 DRA 会将审计事件记录到管理服务器上的本地文件中。
如果 DRA 无法将审计事件写入本地文件，则 DRA 会将审计事件写入 Windows 事件日志。
如果 DRA 无法将审计事件写入 Windows 事件日志，则产品会将审计事件写入 DRA 日志。
如果 DRA 检测到未记录审计事件，则会阻止进一步的用户操作。
要在日志存档不可用时启用写入操作，还必须为 AllowOperationsOnAuditFailure 项设置注册表项值。
警告：编辑 Windows 注册表时需要加倍小心。如果您的注册表中存在错误，则您的计算机可能无法正常运行。如果发生错误，您可以将注册表恢复到上次成功启动计算机时的状态。有关更多信息，请参见 Help for the Windows Registry Editor（Windows 注册表编辑器帮助）。
要启用写入操作：
单击启动 > 运行。
在打开字段中键入 regedit，然后单击确定。
展开以下注册表项：HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\。
单击编辑 > 新建 > DWORD 值。
输入 AllowOperationsOnAuditFailure 作为关键字名称。
单击编辑 > 修改。
在 Value data（数值数据）字段中输入 736458265。
在基准字段中选择十进制，然后单击确定。
关闭注册表编辑器。
DRA 会将用户活动数据记录在管理服务器上的日志存档中。DRA 将创建每日日志存档分区以储存当天收集和规范化的数据。DRA 将使用管理服务器上的本地时间日期 (YYYYMMDD) 作为每日日志存档分区的命名约定。
如果已启用“管理报告收集器”，则 DRA 会将日志存档数据导出到 SQL Server 数据库，作为 DRA 管理报告的来源。
最初，DRA 默认情况下会无限期地将日志数据保留在日志存档中。日志存档大小可以达到在安装时根据可用硬盘空间确定的最大大小。当日志存档超过此最大大小时，便不会储存新的审计事件。您可以设置数据保留的时间限制，而 DRA 会去除最旧的数据，以通过清理过程为较新的数据腾出空间。在启用清理之前，请确保您已有备份策略。您可以使用日志存档配置实用程序配置日志存档保留期。有关更多信息，请参见修改日志存档清理设置。
您可以使用日志存档查看器实用程序查看储存在日志存档文件中的数据。您可以选择随 DRA 一同安装的 NetIQ DRA 日志存档资源包 (LARK) 将提供日志存档查看器实用程序。有关更多信息，请参见 NetIQ DRA Log Archive Resource Kit Technical Reference（NetIQ DRA 日志存档资源包技术参考）。
日志存档文件是记录块的集合。由于日志存档文件是位于物理数据库之外的压缩二进制文件，因此您无需使用 Microsoft SQL Server Management Studio 备份日志存档。如果您有自动文件备份系统，则会像任何其他文件一样自动备份日志存档文件。
在计划备份策略时，请记住以下最佳实践：
每天创建一个包含当天事件数据的分区。启用清理时，日志存档服务默认情况下会每隔 90 天自动清理这些分区中的数据。备份策略应考虑清理日程表以确定备份的频率。在清理日志存档分区时，DRA 会删除二进制文件。您无法检索已清理的数据。您必须从备份中恢复已清理的数据。有关更多信息，请参见修改日志存档清理设置。
只应在分区关闭后备份分区。在正常情况下，分区将在第二天午夜的 2 小时内关闭。
将分区文件夹及其所有子文件夹作为一个单元进行备份和恢复。备份 VolumeInfo.xml 文件作为分区备份的一部分。
如果要恢复报告的日志存档分区，请确保备份日志存档保留或可以恢复为其原始格式。
配置备份日志存档文件的过程时，NetIQ 建议您排除主日志存档文件夹中的 index_data 和 CubeExport 子文件夹。这些子文件夹包含临时数据，不应备份。
安装 DRA 时，默认情况下禁用日志存档清理。为日志存档文件建立常规备份过程时，应启用日志存档清理以节省磁盘空间。您可以使用日志存档配置实用程序修改清理日志存档分区之前的天数。
要更改清理日志存档分区之前的天数：
使用属于本地管理员组的帐户登录到管理服务器。
从 NetIQ\DRA\NetIQLogArchive 程序文件夹启动 Log Archive Configuration（日志存档配置）(LogArchiveUtility.exe)。
单击 Log Archive Server Settings（日志存档服务器设置）。
如果要启用分区清理，请将 Partition Grooming Enabled（已启用分区清理）字段的值设置为 True。
在 Number of Days before Grooming（清理前的天数）字段中键入要在清理之前保留日志存档分区的天数。
单击应用。
单击是。
单击关闭。
找到 <LogArchiveData 路径>\<分区名称> 文件夹且
如果未选中指定分区中文件或文件夹的 File is ready for archiving（可以存档文件）属性，则必须编辑 CONFIG 文件以启用日志存档清理。要了解选中或没有选中此属性的原因，请参见 Additional Information（其他信息）部分（知识库文章 How do you configure the data retention period for DRA Logarchival Data?（如何为 DRA 日志存档数据配置数据保留期？）中）。
要使 DRA 日志存档服务器能够清理未存档的数据：
以本地管理员组的成员身份在本地登录到每个 DRA 服务器 Windows 控制台。
使用文本编辑器打开 C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config 文件，然后找到 <Property name="GroomUnarchivedData" value="false" /> 行。
将 "false" 更改为 "true" 并保存文件。
重启动 NetIQ DRA 日志存档服务。
注：如果修改任何日志存档设置，则必须重启动日志存档服务才能使更改生效。