手动配置

必须配置审核策略，在任何活动发生时记录事件。

对于模块日志

• 使用域管理员凭证登录到具有组策略管理控制台(GPMC)的任意计算机。
• 打开GPMC，基于您的设置，编辑:
  • Default Domain Controllers Policy启用DC的模块日志记录。
  • ADAuditPlusMSPolicy启用Windows服务器的模块日志记录。
• 在组策略管理编辑器中，点击计算机配置 > 策略 > 管理模板 > Windows组件 > Windows Powershell。在右侧栏中，右键点击启用模块日志记录 > 已启用。
• 在选项框中，点击显示。在模块名称窗口中，输入*记录所有模块，然后点击确定。

对于脚本执行日志记录

• 使用域管理员凭证登录到具有组策略管理控制台(GPMC)的任意计算机。
• 打开GPMC，基于您的设置，编辑:
  • Default Domain Controllers Policy启用DC的模块日志记录。
  • ADAuditPlusMSPolicy启用Windows服务器的模块日志记录。
• 在组策略管理编辑器中，点击计算机配置 > 策略 > 管理模板 > Windows组件 > Windows Powershell。在右侧栏中，右键点击启用脚本执行 > 已启用。