Nota
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
En este artículo se proporciona ayuda para resolver un problema por el que la configuración de auditoría de seguridad no se aplica a los equipos cliente de un dominio de Active Directory al implementar una directiva basada en dominio.
Número de KB original: 921468
Síntomas
Considere el siguiente escenario: Implemente una directiva basada en dominio para configurar las opciones de auditoría de seguridad en equipos basados en Windows Vista o basados en Windows Server 2008 en un dominio de servicio de directorio de Active Directory. Ejecute la herramienta Conjunto resultante de directivas (RSoP) en uno de los equipos basados en Windows Vista o basados en Windows Server 2008. Al hacerlo, la herramienta RSoP indica que se está aplicando la directiva. Sin embargo, la directiva no se aplica realmente a uno o varios equipos basados en Windows Vista o basados en Windows Server 2008.
Causa
Este problema se produce si la configuración de la subcategoría de directiva de auditoría (Windows Vista o posterior) para invalidar la configuración de directiva de auditoría está habilitada en Windows Vista o en Windows Server 2008. La configuración de directiva se puede habilitar mediante la directiva de grupo o se puede habilitar manualmente modificando el Registro.
Para resolver este problema, utilice uno de los siguientes métodos, según corresponda a su situación.
Resolución 1: Deshabilitar la configuración de directiva mediante el Editor de objetos de directiva de grupo
Compruebe que la configuración de directiva se ha habilitado mediante la directiva de grupo y, a continuación, deshabilite la configuración de directiva mediante el Editor de objetos de directiva de grupo. Para ello, siga estos pasos:
Compruebe que la configuración de la subcategoría de directiva de auditoría (Windows Vista o posterior) para invalidar la configuración de directiva de directiva de auditoría se ha habilitado mediante la directiva de grupo. Para ello, siga estos pasos:
- En el equipo, haga clic en Inicio, seleccione Todos los programas, Accesorios, Ejecutar, escriba rsop.msc en el cuadro Abrir y, a continuación, haga clic en Aceptar.
- Expanda Configuración del equipo, Configuración de Windows, Configuración de seguridad, Directivas localesy, a continuación, haga clic en Opciones de seguridad.
- Haga doble clic en Audit: Forzar la configuración de subcategoría de directiva de auditoría (Windows Vista o posterior) para invalidar la configuración de la categoría de directiva de auditoría.
- Compruebe que la configuración de directiva está establecida en Habilitado y, a continuación, anote el objeto de directiva de grupo (GPO).
Deshabilite la configuración de la subcategoría de directiva de auditoría (Windows Vista o posterior) para invalidar la configuración de directiva de auditoría en el GPO. Para ello, siga estos pasos:
- En el Editor de objetos de directiva de grupo, abra el GPO.
- Expanda Configuración del equipo, Configuración de Windows, Configuración de seguridad, Directivas localesy, a continuación, haga clic en Opciones de seguridad.
- Haga doble clic en Audit: Forzar la configuración de subcategoría de directiva de auditoría (Windows Vista o posterior) para invalidar la configuración de la categoría de directiva de auditoría.
- Haga clic en Deshabilitadoy, a continuación, haga clic en Aceptar.
Reinicie el equipo o los equipos.
Resolución 2: Deshabilitar la configuración de directiva mediante el Editor del Registro
Importante
Esta sección, método o tarea contiene pasos que le indican cómo modificar el Registro. No obstante, pueden producirse problemas graves si modifica el registro de manera incorrecta. Por lo tanto, asegúrese de que sigue estos pasos con atención. Para la protección añadida, realice una copia de seguridad del Registro antes de modificarlo. A continuación, puede restaurar el Registro si se produce un problema. Para obtener más información sobre cómo realizar copias de seguridad y restaurar el registro, vea Cómo hacer copia de seguridad y restaurar el registro en Windows.
Para deshabilitar manualmente la configuración de directiva mediante el Editor del Registro, siga estos pasos:
- Inicie sesión en Windows Vista o Windows Server 2008 como usuario que sea miembro del grupo Administradores.
- Haga clic en Inicio, seleccione Todos los programas, Accesorios, Ejecutar, escriba regedit en el cuadro Abriry, a continuación, haga clic en Aceptar. Si el cuadro de diálogo Control de cuentas de usuario se muestra en la pantalla y le pide que eleva el token de administrador, haga clic en Continuar.
- Busque la siguiente subclave del Registro y haga clic en ella:
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\LSA. - Haga clic con el botón derecho en SCENoApplyLegacyAuditPolicy y, a continuación, haga clic en Modificar.
- Escriba 0 en el cuadro Datos de valor y, a continuación, haga clic en Aceptar.
- Salga del Editor del Registro.
- Reinicie el equipo.
Nota:
Si la directiva es una directiva basada en dominio y no es una directiva basada localmente, es posible que tenga que esperar a que se complete la replicación de Active Directory y la replicación SYSVOL antes de que la configuración de directiva surta efecto en los equipos.
Más información
Windows Vista y versiones posteriores de Windows permiten administrar directivas de auditoría de forma más precisa mediante subcategorías de directivas de auditoría. Si configura directivas de auditoría en el nivel de categoría, invalida las subcategorías de directivas de auditoría.
Si quiere administrar directivas de auditoría mediante subcategorías de directivas de auditoría y no quiere usar la directiva de grupo, puede configurar la entrada del registro SCENoApplyLegacyAuditPolicy. Al configurar la entrada del registro SCENoApplyLegacyAuditPolicy, impide que se apliquen directivas de auditoría de nivel de categoría configuradas mediante la directiva de grupo o la herramienta Directiva de seguridad local.
Sin embargo, tenga en cuenta que es posible que la configuración de directiva no se aplique si se configura una directiva diferente para invalidar la directiva de auditoría de nivel de categoría.