| Предыдущий | Следующий |
| ERROR_DS_DESTINATION_DOMAIN_NOT_IN_FOREST | ERROR_DS_CANT_FIND_DC_FOR_SRC_DOMAIN |
ERROR_DS_DESTINATION_AUDITING_NOT_ENABLED
Обязательный аудит в месте назначения не настроен
Добавление истории SID изменяет поведение авторизации, поскольку старые SID могут продолжать удовлетворять записям управления доступом. Поэтому Microsoft требует аудита как в исходном домене, так и в домене назначения для DsAddSidHistory. Контроллер домена назначения должен иметь возможность регистрировать успешное и неуспешное выполнение операции; это обязательное условие безопасности, а не необязательная диагностическая телеметрия.
Проверьте действующую политику аудита на контроллере домена назначения, выполняющем вызов, включая аудит успехов и отказов управления учётными записями. Убедитесь, что политика применена и журнал безопасности может принимать события. Не обходите проверку прямым изменением объектов: запись sIDHistory вне защищённого пути API нарушает гарантии авторизации, защиты транспорта и аудита, предусмотренные для операции миграции.
Что проверить
- Проверьте действующий аудит управления учётными записями на контроллере домена назначения.
- Убедитесь в исправности журнала безопасности и применении политики.
- Выполните операцию на предполагаемом контроллере назначения.
Ссылки
- Microsoft: обязательный аудит для DsAddSidHistory
- Microsoft: защита изменений привилегированных удостоверений
- MS-ADTS: терминология субъектов безопасности и SID
Нужно найти другой код? Найти другой код состояния или ошибки.