Partager via

Auditer les événements d’administrateur dans Microsoft Entra Connect Sync (préversion publique)

En janvier 2025, nous avons publié une nouvelle version (2.4.129.0) de Microsoft Entra Connect Sync. Cette version contient une mise à jour de l’audit, activée par défaut. Avec cette mise à jour, vous pouvez désormais surveiller les événements et les activités de l’administrateur. Cet article explique comment désactiver la fonctionnalité d’audit.

Désactiver manuellement l’audit des événements d’administrateur

Pour désactiver l’audit des événements d’administrateur, procédez comme suit :

  1. Ouvrez l’Éditeur du Registre. Sélectionnez Win+R pour ouvrir la boîte de dialogue d’exécution .
  2. Entrez regedit , puis sélectionnez Entrée pour ouvrir l’Éditeur du Registre. Confirmez les messages de sécurité pour continuer.
  3. Accédez à HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Azure AD Connect.
  4. Cliquez avec le bouton droit sur la clé Azure AD Connect pour modifier ou créer la valeur AuditEventLogging . Sélectionnez Nouveau et sélectionnez la valeur DWORD (32 bits) si la valeur AuditEventLogging n’existe pas déjà.
  5. Nommez le nouveau DWORD sous le nom de AuditEventLogging.
  6. Double-cliquez sur l’entrée AuditEventLogging et entrez 0 pour désactiver la journalisation des événements d’audit. Entrez 1 pour le réactiver.

Capture d’écran montrant la nouvelle clé de Registre AuditEventLogging.

Utiliser PowerShell pour désactiver l’audit des événements d’administrateur

Vous pouvez également utiliser PowerShell pour désactiver la journalisation d’audit des événements d’administrateur. Utilisez le script suivant :

#Declare variables
$registryPath = 'HKLM:\SOFTWARE\Microsoft\Azure AD Connect'
$valueName = 'AuditEventLogging'
$newValue = '0'

#Create the AuditEventLogging key if it doesn't exist
if (!(Test-Path $registryPath)) {New-Item -Path $registryPath -Force}

#Set the value of the new AuditEventLogging key
Set-ItemProperty -Path $registryPath -Name $valueName -Value $newValue

Liste des événements consignés

Le tableau suivant est une liste d’événements enregistrés avec la nouvelle fonctionnalité d’audit. Pour afficher les événements, utilisez l’Observateur d’événements et affichez le journal des applications.

Capture d’écran montrant l’Observateur d’événements.

ID de l’événement Nom d'événement Descriptif
2503 Ajouter/mettre à jour/supprimer des répertoires. Fournit le nom du répertoire affecté.
2504 Activez le mode Paramètres Express.  Cet événement est enregistré une fois que l’administrateur sélectionne Express Setup.
2505 Activez/désactivez les domaines et les unités d’organisation pour la synchronisation.  Affiche la liste de tous les domaines connectés à Microsoft Entra Connect Sync.
2506 Activer/désactiver la synchronisation de hachage de mot de passe (PHS).  Indique que phS est activé ou désactivé.
2507 Activer/désactiver le démarrage de la synchronisation après l’installation.  L’événement est enregistré lorsque la synchronisation est activée ou désactivée une fois l’installation terminée.
2508 Créez un compte Ad DS (Active Directory Domain Services).  Affiche le compte créé nécessaire pour se connecter au nouveau répertoire ajouté.
2509 Utilisez un compte AD DS existant.  Affiche le nom du compte utilisé pour se connecter au répertoire.
2510 Créer/mettre à jour/supprimer une règle de synchronisation personnalisée.  Affiche le nom de la règle de synchronisation qui a changé avec des informations sur ce qui a changé.
2511 Activer/désactiver le filtrage basé sur un domaine. Montre que le filtrage de domaine est sélectionné et répertorie les domaines sélectionnés.
2512 Activer/désactiver le filtrage basé sur l’unité d’organisation.  Indique que le filtrage basé sur l’unité d’organisation est sélectionné et répertorie les unités d’organisation sélectionnées.
2513 La méthode de connexion de l’utilisateur a changé. Affiche l’ancienne méthode de connexion et la nouvelle.
2514 Configurez la nouvelle batterie de serveurs Ad FS (Active Directory Federation Services).  Affiche le nom des services de fédération.
2515 Activez/désactivez l’authentification unique.  Affiche le changement de l’authentification unique.
2516 Installez le serveur proxy d’application web. Affiche les serveurs AD FS sélectionnés et le nom d’utilisateur administrateur de domaine.
2517 Définissez les autorisations.  Affiche l’autorisation ADSync spécifique qui a changé.
2518 Modifiez les informations d’identification du connecteur AD DS.  Affiche les informations d’identification du connecteur AD DS qui ont changé.
2519 Réinitialiser le mot de passe du compte Microsoft Entra ID Connector.  Indique que le mot de passe du compte ADSync a été réinitialisé.
2520 Installez le serveur AD FS.  Affiche le serveur sélectionné.
2521 Définissez le compte de service AD FS.  Spécifie s'il s'agit d'un groupe géré ou d'un utilisateur de domaine. Inclut le nom d’utilisateur administrateur.
2522 ConfigureEntraApplicationAuthentication Indique qu’une tentative de configuration de l’authentification de l’application à Microsoft Entra ID a été effectuée. Il fournit l’état de l’opération ainsi que les détails pertinents, tels que l’ID d’application (client).
2523 RotateEntraApplicationCertificate Spécifie que la rotation du certificat d’application utilisé pour l’authentification auprès de Microsoft Entra ID a été tentée, avec indication du statut de l’opération.
2524 DeleteEntraConnectorAccount Indique qu’une tentative de suppression du compte de synchronisation Microsoft Entra ID a été effectuée. Cela fournit l’état de l’opération ainsi que le nom du compte.
2525 DeleteEntraApplication Spécifie que la suppression de l’application Microsoft Entra Connect Sync utilisée pour la synchronisation avec l’ID Microsoft Entra a été tentée. Il fournit l’ID d’application (client) ainsi que l’état de l’opération.
2526 DeleteApplicationCertificate Spécifie que la suppression du certificat d’application Microsoft Entra Connect Sync a été tentée. Il fournit l’ID d’application (client) et l’ID de certificat ainsi que l’état de l’opération.

Contenu connexe