事件記錄中的稽核活動可以協助您隔離、診斷及解決您環境中的問題。本節提供的資訊可協助您啟用及瞭解事件記錄，以及如何與記錄歸檔搭配運作。
為了讓您檢閱及報告助理管理員動作，DRA 會在管理伺服器電腦上的記錄歸檔中，記錄所有使用者操作。使用者操作包括變更定義的所有嘗試，例如更新使用者帳戶、刪除群組或重新定義 ActiveView。DRA 也會記錄特定內部操作，例如管理伺服器初始化和相關伺服器資訊。除了記錄這些稽核事件之外，DRA 也會記錄事件的前後值，讓您可以確實看到變更的項目。
DRA 會使用 NetIQLogArchiveData 資料夾 (稱為記錄歸檔) 以安全地儲存歸檔記錄資料。DRA 會在一段時間之後歸檔記錄，然後透過稱為清理的程序刪除較舊的資料，為較新的資料騰出空間。
DRA 會使用儲存在記錄歸檔中的稽核事件來顯示「活動詳細資料」報告，例如顯示在指定時間期間已對物件進行哪些變更。您也可以設定 DRA 從這些記錄歸檔檔案將資訊輸出到 SQL Server 資料庫，NetIQ Reporting Center 會用來顯示「管理」報告。
DRA 一律會將稽核事件寫入至記錄歸檔。您也可以啟用或停用讓 DRA 將事件寫入至 Windows 事件記錄。
當您安裝 DRA 時，稽核事件預設不會記錄在 Windows 事件記錄中。您可以藉由修改登錄機碼來啟用此類型的記錄。
警告：編輯您的 Windows 登錄時請小心謹慎。如果您的登錄中有錯誤，您的電腦可能會變得無法運作。如果發生錯誤，您可以將登錄還原至您上次成功啟動電腦時的狀態。如需詳細資訊，請參閱 Windows 登錄編輯器的說明。
若要啟用事件稽核：
按一下「開始」>「執行」。
在開啟欄位中輸入 regedit，然後按一下確定。
展開下列登錄機碼：HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\。
按一下編輯 > 新增 > DWORD 值。
輸入 IsNTAuditEnabled 作為機碼名稱。
按一下編輯 > 修改。
在值資料欄位中輸入 1，然後按一下確定。
關閉登錄編輯器。
若要停用事件稽核：
按一下「開始」>「執行」。
在開啟欄位中輸入 regedit，然後按一下確定。
展開下列登錄機碼：HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Modules\ServerConfiguration\。
選取 IsNTAuditEnabled 機碼。
按一下編輯 > 修改。
在值資料欄位中輸入 0，然後按一下確定。
關閉登錄編輯器。
為了確定所有使用者動作都已稽核，DRA 會在產品無法驗證記錄活動時，提供替代記錄方法。當您安裝 DRA 時，AuditFailsFilePath 機碼和路徑會新增至您的登錄，以確保下列動作：
如果 DRA 偵測到稽核事件不再記錄在記錄歸檔中，DRA 會在管理伺服器的本機檔案中記錄稽核事件。
如果 DRA 無法將稽核事件寫入至本機檔案，DRA 會將稽核事件寫入至 Windows 事件記錄。
如果 DRA 無法將稽核事件寫入至 Windows 事件記錄，產品會將稽核事件寫入至 DRA 記錄。
如果 DRA 偵測到未記錄稽核事件，它會封鎖進一步的使用者操作。
若要在記錄歸檔無法使用時啟用寫入操作，您也必須為 AllowOperationsOnAuditFailure 機碼設定登錄機碼值。
警告：編輯您的 Windows 登錄時請小心謹慎。如果您的登錄中有錯誤，您的電腦可能會變得無法運作。如果發生錯誤，您可以將登錄還原至您上次成功啟動電腦時的狀態。如需詳細資訊，請參閱 Windows 登錄編輯器的說明。
若要啟用寫入操作：
按一下「開始」>「執行」。
在開啟欄位中輸入 regedit，然後按一下確定。
展開下列登錄機碼：HKLM\Software\WOW6432Node\Mission Critical Software\OnePoint\Administration\Audit\。
按一下編輯 > 新增 > DWORD 值。
輸入 AllowOperationsOnAuditFailure 作為機碼名稱。
按一下編輯 > 修改。
在值資料欄位中輸入 736458265。
在基本欄位中選取十進位，然後按一下確定。
關閉登錄編輯器。
DRA 會在管理伺服器的記錄歸檔中記錄使用者活動資料。DRA 會建立每日記錄歸檔分割區，以儲存當天收集及標準化的資料。DRA 會使用管理伺服器上本機時間的日期 (YYYYMMDD)，作為每日記錄歸檔分割區的命名慣例。
如果您已啟用「管理包告收集器」，DRA 會將記錄歸檔資料輸出至 SQL Server 資料庫，作為 DRA 管理報告的來源。
DRA 一開始預設會將記錄資料無限期保留在記錄歸檔中。記錄歸檔大小會達到大小上限，這個上限是在安裝時根據可用硬碟空間所決定的。當記錄歸檔超過此大小上限時，系統就不會儲存新的稽核事件。您可以針對資料保留設定時間限制，DRA 會透過稱為清理的程序移除最舊的資料，為較新的資料騰出空間。請在啟用清理之前，確定已準備好備份策略。您可以使用「記錄歸檔組態」公用程式來設定記錄歸檔保留期間。如需詳細資訊，請參閱 修改記錄歸檔清理設定。
您可以使用「記錄歸檔檢視器」公用程式來檢視儲存在記錄歸檔檔案中的資料。您可以選擇與 DRA 一併安裝的 NetIQ DRA Log Archive Resource Kit (LARK)，提供「記錄歸檔檢視器」公用程式。如需詳細資訊，請參閱 NetIQ DRA Log Archive Resource Kit 技術參考。
記錄歸檔檔案是記錄區塊的集合。因為記錄歸檔檔案是位於實體資料庫外部的壓縮二進位檔案，所以您不需要使用 Microsoft SQL Server Management Studio 來備份記錄歸檔。如果您已準備好自動化檔案備份系統，您的記錄歸檔檔案就會像其它檔案一樣自動備份。
規劃備份策略時請記住下列最佳實務：
每天都會建立單一分割區，其中包含當天的事件資料。當您啟用清理時，「記錄歸檔服務」預設每 90 天會自動清理這些分割區中的資料。備份策略應該將清理排程納入考量以決定備份的頻率。當清理記錄歸檔分割區時，DRA 會刪除二進位檔案。您無法擷取已清理的資料。您必須從備份還原已清理的資料。如需詳細資訊，請參閱 修改記錄歸檔清理設定。
您應該只在分割區關閉之後才進行備份。在正常狀況下，分割區會在隔天午夜的 2 小時內關閉。
將分割區資料夾及其所有子資料夾視為一個單位來進行備份及還原。在進行分割區備份時備份 VolumeInfo.xml 檔案。
如果您想要還原報告的記錄歸檔分割區，請確定已保留備份的記錄歸檔或者可以還原為其原始格式。
當設定您的程序以備份記錄歸檔檔案時，NetIQ 建議您同時排除位於主要記錄歸檔資料夾中的 index_data 和 CubeExport 子資料夾。這些子資料夾包含暫存資料，不應該進行備份。
當您安裝 DRA 時，記錄歸檔清理依預設為停用。當您為您的記錄歸檔檔案建立定期備份程序時，應該啟用記錄歸檔清理以節省磁碟空間。您使用「記錄歸檔組態」公用程式來修改記錄歸檔分割區清理前的天數。
若要變更記錄歸檔分割區在進行清理之前的天數：
請使用「本機管理員」群組成員的帳戶登入管理伺服器。
在「NetIQ Security Manager > 組態」程式群組中啟動記錄歸檔組態。
按一下記錄歸檔伺服器設定。
如果您想要啟用分割區清理，請將分割區清理已啟用欄位的值設為 True。
在清理前的天數欄位中，輸入您想要在清理前保留記錄歸檔分割區的天數。
按一下「套用」。
按一下「是」。
按一下「關閉」。
找到<LogArchiveData 的路徑>\<分割區名稱> 資料夾，然後
如果未勾選指定分割區內檔案或資料夾上的「File is ready for archiving」屬性，您必須編輯 CONFIG 檔案以啟用記錄歸檔清理。若要瞭解為何要或不要勾選此屬性，請參閱額外資訊一節，位於您要如何為 DRA 記錄歸檔資料設定資料保留期間？知識庫文章。
若要啟用 DRA 記錄歸檔伺服器以清理未歸檔的資料：
以本機管理員群組成員的身分登入每個 DRA 伺服器視窗主控台本機。
使用文字編輯器開啟 C:\ProgramData\NetIQ\Directory Resource Administrator\LogArchiveConfiguration.config 檔案，並且找出 <Property name="GroomUnarchivedData" value="false" /> 行。
將 "false" 變更為 "true" 並且儲存檔案。
重新啟動 NetIQ DRA 記錄歸檔服務。
附註：如果您修改任何記錄歸檔設定，則必須重新啟動記錄歸檔服務才能讓變更生效。