Windows イベント監査を構成する

Defender for Identity 検出を有効にするように Windows イベント監査を構成します。 センサーは、ドメイン コントローラー、AD FS サーバー、AD CS サーバー、Microsoft Entra Connect サーバーからの特定の Windows イベント ログを解析します。 適切なイベントを監査し、Windows イベント ログに含めるには、これらのサーバーに適切な高度な監査ポリシー設定が必要です。

次のいずれかの方法を使用して監査を構成します。

Defender for Identity では、不適切な Windows イベント監査構成が検出されると、正常性アラートが生成されます。 詳細については、「Microsoft Defender for Identity の正常性アラート」を参照してください。

監査を適切に構成した場合、Windowsイベント監査はサーバーのパフォーマンスに与える影響を最小限に抑えます。

Windows イベントを自動的に収集するように Defender for Identity を構成する

ドメイン コントローラーにセンサー v3.x を展開する場合は、Windows の自動監査を使用します。 これは推奨される方法です。手動で構成する必要はなく、すべての監査設定を処理します。

Windows の自動監査を有効にする

  1. Microsoft Defender ポータルで、[設定]、[ID] の順に移動します。
  2. [ 全般 ] セクションで、[ 高度な機能] を選択します。
  3. [ Windows の自動監査構成] をオンにします。

自動監査で構成される内容

有効にすると、センサーは自動的に次の手順を実行します。

  • 現在の Windows イベント監査の構成を確認します。
  • 構成のギャップを識別します。
  • 手動構成のすべての手順を含め、必要な変更を適用します。
    • ディレクトリ サービスの高度な監査: 必要なディレクトリ サービス監査を有効にするために、ドメイン ルート オブジェクトの System Access Control List (SACL) に監査エントリを追加します。
    • NTLM 監査: 標準の Windows レジストリ API を使用して、必要な NTLM 監査レジストリ値を構成します。
    • ドメイン オブジェクトの監査: ディレクトリ サービス構成オブジェクトへの変更をキャプチャするように構成パーティションの SACL を変更します。
    • ADFS 監査: AD FS 構成コンテナーのオブジェクトのシステム Access Control リスト (SACL) に監査エントリを追加して、AD FS 関連のディレクトリ オブジェクトの監査を有効にします。
    • Windows 監査ポリシー: Windows ローカル セキュリティ機関 (LSA) 監査ポリシー API を使用して、ローカル Windows 監査ポリシーを構成します。
  • ドメイン コントローラーのローカル システム ポリシーに監査設定を直接適用します。
  • 構成状態に関する正常性アラートを送信します。
  • 24 時間に 1 回実行されます。

注:

  • Defender for Identity センサー バージョン 3.x のみを使用するドメイン コントローラーでは、Windows イベントの自動監査がサポートされています。 v2.x ドメイン コントローラーや、ドメイン コントローラーではない AD FS、AD CS、Microsoft Entra Connect サーバーには適用されません。 これらのサーバーの場合は、 Windows イベント監査を手動で構成します。
  • 自動Windows監査を有効にしない場合は、Windowsイベント監査を手動で構成するか、PowerShell を使用してイベント収集Windows構成する必要があります。
  • GPO の設定は、センサーによって設定されたローカル設定と競合する可能性があります。

必要な Windows イベント

このセクションでは、Defender for Identity センサーに必要な Windows イベントの一覧を示します。 特定のイベントは、センサーがインストールされているサーバーの種類によって異なります。

必要な AD FS イベント

AD FS サーバーには、次のイベントが必要です。

  • 1202: フェデレーション サービスが新しい資格情報を検証しました
  • 1203: フェデレーション サービスが新しい資格情報を検証できませんでした
  • 4624: アカウントが正常にログオンしました
  • 4625: アカウントのログオンに失敗しました

詳細については、「 AD FS サーバーで監査を構成する」を参照してください。

必要な AD CS のイベント

AD CS サーバーには、次のイベントが必要です。

  • 4870: 証明書サービスが証明書を取り消しました
  • 4882: Certificate Services のセキュリティアクセス許可が変更されました
  • 4885: 証明書サービスの監査フィルターが変更されました
  • 4887: 証明書サービスが証明書要求を承認し、証明書を発行しました
  • 4888: 証明書サービスが証明書要求を拒否しました
  • 4890: Certificate Services の証明書マネージャーの設定が変更されました
  • 4896: 証明書データベースから 1 つ以上の行が削除されました

詳細については、「 AD CS サーバーで監査を構成する」を参照してください。

必要なMicrosoft Entra接続イベント

Microsoft Entra Connect サーバーには、次のイベントが必要です。

  • 4624: アカウントが正常にログオンしました

詳細については、「Microsoft Entra Connect で監査を構成する」を参照してください。

その他の必要な Windows イベント

ドメイン コントローラー上のすべての Defender for Identity センサーには、次の一般的な Windows イベントが必要です。

  • 4662: オブジェクトに対して操作が実行されました
  • 4726: ユーザー アカウントが削除されました
  • 4728: グローバル セキュリティ グループに追加されたメンバー
  • 4729: グローバル セキュリティ グループからメンバーが削除されました
  • 4730: グローバル セキュリティ グループが削除されました
  • 4732: ローカル セキュリティ グループに追加されたメンバー
  • 4733: ローカル セキュリティ グループから削除されたメンバー
  • 4741: コンピューター アカウントが追加されました
  • 4743: コンピューター アカウントが削除されました
  • 4753: グローバル配布グループが削除されました
  • 4756: ユニバーサル セキュリティ グループに追加されたメンバー
  • 4757: ユニバーサル セキュリティ グループからメンバーが削除されました
  • 4758: ユニバーサル セキュリティ グループが削除されました
  • 4763: ユニバーサル配布グループが削除されました
  • 4776: ドメイン コントローラーがアカウントの資格情報を検証しようとしました (NTLM)
  • 5136: ディレクトリ サービス オブジェクトが変更されました
  • 7045: 新しいサービスがインストールされました
  • 8004: NTLM 認証

詳細については、「 NTLM 監査の構成 」および「 ドメイン オブジェクト監査の構成」を参照してください。

スタンドアロンセンサーのイベント収集

スタンドアロン Defender for Identity センサーを使用している場合は、次のいずれかの方法を使用して、イベント収集を手動で構成します。

重要

Defender for Identity スタンドアロン センサーでは、複数の検出のデータを提供するイベント トレーシング for Windows (ETW) ログ エントリの収集はサポートされていません。 環境を完全にカバーするには、Defender for Identity センサーをデプロイします。

詳細については、SIEM システムまたは syslog サーバーの製品ドキュメントを参照してください。

現在の構成を確認する

Windows イベント コレクションを手動で構成する前に、PowerShell スクリプトを実行して現在の構成をチェックし、必要な調整のレポートを生成できます。

  1. Defender for Identity PowerShell モジュールをダウンロードします。

  2. Defender for Identity New-MDIConfigurationReport PowerShell モジュールを実行して、現在の Windows イベント監査構成のレポートを生成します。

        New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -Identity "DOMAIN\ServiceAccountName" -OpenHtmlReport

    ここで:

    • Path は、レポートが保存されるディレクトリです。
    • Mode は、設定の収集元を示します。
      • Domain モードでは、グループ ポリシー オブジェクト (GPO) から設定が収集されます。 -Mode Domainを使用する場合は、対話型プロンプトを回避するために -Identity パラメーターを含めます。
      • LocalMachine モードでは、設定はローカル コンピューターから収集されます。
    • OpenHtmlReport は、レポートの生成後に HTML レポートを開きます。 たとえば、レポートを生成し、既定のブラウザーで開くには、次のコマンドを実行します。
    New-MDIConfigurationReport -Path "C:\Reports" -Mode Domain -OpenHtmlReport

    詳細については、「 New-MDIConfigurationReport」を参照してください。

  3. Windows イベント コレクションを構成する前に、レポートを確認し、必要な調整を行います。

Windows イベント収集を手動で構成する

このセクションでは、Windows イベント コレクションを手動で構成する手順について説明します。 センサー v2.x を展開する場合、AD FS、AD CS、または Entra ドメイン コントローラーではないサーバーを接続する場合、またはセンサー v3.x の自動監査をオプトアウトする場合は、次の手順を使用します。

注:

既知の問題: 一部の v3 センサー環境では、監査が正しく構成されている場合でも、Windows イベント監査に関する正常性アラートが保持される場合があります。 これは主に、グループ ポリシーや PowerShell の使用など、手動の監査構成で発生します。 センサーは正常なままであり、検出は影響を受けません。 この問題を解決するには、Defender for Identity ポータルの 設定> で Windows 監査の自動構成 を有効にします。

次のセクションでは、各サーバーの種類の構成について説明します。

ドメイン コントローラーで監査を構成する

ドメイン コントローラーで監査を構成するには、次の手順を実行します。

Directory Services の高度な監査を構成する

このセクションでは、Defender for Identity のドメイン コントローラーの監査 (Premium) ポリシー設定を変更する方法について説明します。

  1. ドメイン管理者としてサーバーにサインインします。

  2. サーバー マネージャー>ツール>グループ ポリシーの管理 からグループ ポリシー管理エディターを開きます。

  3. [ ドメイン コントローラー組織単位] を展開し、[ 既定のドメイン コントローラー ポリシー] を右クリックし、[編集] を選択 します。

    ドメイン コントローラーの既定のポリシーを編集するためのペインのスクリーンショット。

    注:

    既定のドメイン コントローラー ポリシーまたは専用 GPO を使用して、これらのポリシーを設定します。

  4. > > > に移動します。 有効にするポリシーに応じて、次の操作を行います。

    1. [高度な監査ポリシーの構成>監査ポリシー] に移動します。

      監査ポリシーを開く選択のスクリーンショット。

    2. [監査ポリシー] で、次の各ポリシーを編集し、[成功イベントと失敗イベントの両方に対して次の監査イベントを構成する] を選択します。

      監査ポリシー 下位カテゴリ イベント ID をトリガーします
      アカウント ログオン 資格情報検証監査 4776
      アカウント管理 コンピューター アカウント管理の監査に関するメモを参照してください 4741, 4743
      アカウント管理 配布グループ管理の監査注記を参照 4753, 4763
      アカウント管理 セキュリティ グループ管理の監査注を参照 4728, 4729, 4730, 4732, 4733, 4756, 4757, 4758
      アカウント管理 ユーザー アカウント管理の監査 4726
      DS アクセス ディレクトリ サービスの変更の監査注を参照 5136
      システム 監査セキュリティ システム拡張機能注記を参照 7045
      DS アクセス ディレクトリ サービス アクセスの監査 4662 - このイベントの場合は、 ドメイン オブジェクト監査も構成する必要があります。

      注:

      * これらのサブカテゴリは、エラー イベントをサポートしていません。 将来実装される場合に備えて、監査目的で追加します。 詳細については、「 監査コンピューター アカウント管理」、「 監査セキュリティ グループ管理」、および「 監査セキュリティ システム拡張機能」を参照してください。

    3. 監査セキュリティ グループ管理を構成するには、[アカウント管理] で [監査セキュリティ グループの管理] を選択し、[成功イベントと失敗イベントの両方に対して次の監査イベントを構成する] を選択します。

      監査セキュリティ グループ管理プロパティ ログのスクリーンショット。

  5. 管理者特権で開いたコマンド プロンプトで、gpupdate と入力します。

  6. GPO を使用してポリシーを適用した後、新しいイベントが [Windows ログ>セキュリティ] の下のイベント ビューアーに表示されることを確認します。

    コマンド ラインから監査ポリシーをテストするには、次のコマンドを実行します。

    auditpol.exe /get /category:*

詳細については、 auditpol リファレンス ドキュメントを参照してください。

NTLM 監査を構成する

Defender for Identity センサーが Windows イベント 8004 を解析すると、Defender for Identity NTLM 認証アクティビティがサーバーアクセスデータで強化されます。 このセクションでは、Windows イベント 8004 を監査するための構成手順について説明します。

注:

ドメイン グループ ポリシーを適用して、Windows イベント 8004 をドメイン コントローラー にのみ 収集します。

NTLM 監査を構成するには:

  1. [グループ ポリシー管理] を開き、[ドメイン コントローラー組織単位] を展開し、[既定のドメイン コントローラー ポリシー] を右クリックし、[編集] を選択します。

  2. [既定のドメイン コントローラー ポリシー>ローカル ポリシー>セキュリティ オプション] に移動します。

  3. 指定したセキュリティ ポリシーを次のように構成します。

    セキュリティ ポリシー設定 値
    ネットワーク セキュリティ: NTLM を制限する: リモート サーバーへの送信 NTLM トラフィック すべて監査する
    ネットワーク セキュリティ: NTLM を制限する: このドメインの NTLM 認証を監査する すべて有効にする
    ネットワーク セキュリティ: NTLM を制限する: 受信 NTLM トラフィックを監査する すべてのアカウントの監査を有効にする

  4. リモート サーバーへの送信 NTLM トラフィックを構成するには、[セキュリティ オプション] の [ネットワーク セキュリティ: NTLM を制限する: リモート サーバーへの発信 NTLM トラフィック] をダブルクリックし、[すべて監査] を選択します。

リモート サーバーへの送信 NTLM トラフィックの監査構成のスクリーンショット。

ドメイン オブジェクトの監査を構成する

イベント 4662 などのオブジェクト変更のイベントを収集するには、ユーザー、グループ、コンピューター、およびその他のオブジェクトに対するオブジェクト監査も構成する必要があります。 次の手順では、Active Directory ドメインで監査を有効にする方法について説明します。

ドメイン オブジェクトの監査を構成するには:

  1. Active Directory ユーザーとコンピューター コンソールに移動します。

  2. 監査するドメインを選択します。

  3. [ 表示 ] メニューを選択し、[ 高度な機能] を選択します。

  4. ドメインを右クリックし、[プロパティ] を選択 します。

    コンテナーのプロパティを開く選択のスクリーンショット。

  5. [ セキュリティ ] タブに移動し、[ 詳細設定] を選択します。

    高度なセキュリティ プロパティを開くダイアログのスクリーンショット。

  6. [ セキュリティの詳細設定] で、[ 監査 ] タブを選択し、[ 追加] を選択します。

    [セキュリティの詳細設定] ダイアログの [監査] タブのスクリーンショット。

  7. プリンシパルを選択 を選択します。

    プリンシパルを選択するためのボタンのスクリーンショット。

  8. 選択するオブジェクト名を入力します で、Everyone と入力します。 次に、[名前の確認>OK] を選択します。

    Everyone のオブジェクト名を入力しているスクリーンショット。

  9. 監査エントリに戻る。 次のオブジェクトの種類 ごとに 個別の監査エントリを作成する必要があります。

    • 下位ユーザーオブジェクト
    • 子孫グループ オブジェクト
    • 子孫コンピューター オブジェクト
    • 下位の msDS-GroupManagedServiceAccount オブジェクト
    • 子孫 msDS-ManagedServiceAccount オブジェクト
    • 配下の msDS-DelegatedManagedServiceAccount オブジェクト1

    重要

    監査は、ユーザー オブジェクトだけでなく、一覧表示 されているすべての オブジェクトの種類に対して構成する必要があります。 1 つのオブジェクトの種類に対してのみ監査を構成すると、検出範囲が不完全になります。

    オブジェクトの種類ごとに、次の選択を行います。

    1. 種類 で、成功 を選択します。

    2. [ 適用先] で、一覧からオブジェクトの種類を選択します。

    3. [ アクセス許可] で下にスクロールし、[ すべてクリア ] ボタンを選択します。

      すべてのアクセス許可をクリアするためのボタンのスクリーンショット。

    4. 上にスクロールし、[ フル コントロール] を選択します。 すべてのアクセス許可が選択されています。

    5. リストの内容、すべてのプロパティの読み取り、アクセス許可の読み取り の各アクセス許可の選択を解除してから、OK を選択します。 この手順では、すべての [プロパティ ] 設定を [書き込み] に設定します。

      アクセス許可の選択のスクリーンショット。

      これで、ディレクトリ サービスに関連するすべての変更は、トリガーされると 4,662 イベントとして表示されます。

注:

  • 前の手順で詳しく説明したオブジェクトの種類のみを使用して、 すべての子孫オブジェクトに監査アクセス許可を割り当てることができます。
  • msDS-DelegatedManagedServiceAccount クラスは、少なくとも 1 つのWindows Server 2025 ドメイン コントローラーを実行しているドメインにのみ関連します。

AD FS 構成フォルダーでオブジェクト レベルの監査を構成する

  1. Active Directory ユーザーとコンピューター コンソールに移動し、ログを有効にするドメインを選択します。

  2. [プログラム データ>Microsoft>ADFS] に移動します。

    Active Directory フェデレーション サービス (AD FS)のコンテナーのスクリーンショット。

  3. ADFS を右クリックし、[プロパティ] を選択します。

  4. [セキュリティ] タブに移動し、[詳細設定] > [Advanced Security Settings]\(セキュリティ設定\) を選択します。 次に、[監査] タブに移動し、[追加] を選択>プリンシパルを選択します。

  5. 選択するオブジェクト名を入力します で、Everyone と入力します。 次に、[名前の確認>OK] を選択します。

  6. 監査エントリに戻ります。 次の選択を行います。

    • 種類 で、すべて を選択します。
    • [ 適用対象] で、 このオブジェクトとすべての子孫オブジェクトを選択します。
    • [ アクセス許可] で下にスクロールし、[ すべてクリア] を選択します。 上にスクロールし、[ すべてのプロパティの読み取り ] と [ すべてのプロパティの書き込み] を選択します。

    Active Directory フェデレーション サービス (AD FS)の監査設定のスクリーンショット。

  7. [OK] を選択します。

AD FS サーバーで監査を構成する

このセクションでは、Defender for Identity のActive Directory フェデレーション サービス (AD FS) (AD FS) 監査構成を変更する方法について説明します。

イベント監査用のグループ ポリシーを構成する

  1. Active Directory フェデレーション サービス (AD FS) (AD FS) に適用するグループ ポリシーを作成します。

  2. 次の監査設定を構成します。

    1. コンピューターの構成\Policies\Windows 設定\セキュリティ設定\高度な監査ポリシー構成\監査ポリシー\オブジェクト アクセス\監査アプリケーション生成に移動します。

    2. 成功 と 失敗 の監査イベントを設定するには、チェックボックスを選択します。

    高度な監査監査ポリシー構成のスクリーンショット。

AD FS Management で AD FS イベント監査を構成する

  1. [ Start>Programs>Administrative Tools>AD FS Management] を選択します。

  2. アクション>フェデレーション サービスのプロパティの編集 に移動します。

  3. [ イベント ] タブを選択します。

  4. [成功の監査] ボックスと [失敗の監査] チェックボックスを選択します。

  5. [OK] を選択します。

    フェデレーション サービスのプロパティ ページを示すスクリーンショット。

AD FS イベントの詳細ログ記録を構成する

AD FS サーバーで実行されているセンサーは、関連するイベントの監査レベルを Verbose に設定する必要があります。

次の PowerShell コマンドを使用して、監査レベルを Verbose に構成します。

Set-AdfsProperties -AuditLevel Verbose

AD CS サーバーで監査を構成する

Active Directory Certificate Services (AD CS) が構成されている専用サーバーを使用している場合は、専用アラートとセキュリティ スコア レポートを表示するために、次のように監査を構成します。

  1. AD CS サーバーに適用するグループ ポリシーを作成します。 編集し、次の監査設定を構成します。

    1. [コンピューターの構成]\[ポリシー]\[Windows 設定]\[セキュリティ設定]\[詳細な監査ポリシーの構成]\[監査ポリシー]\[オブジェクト アクセス]\[監査認定サービス] の順に移動します。

    2. 成功 と 失敗 の監査イベントを設定するには、チェックボックスを選択します。

    グループ ポリシー管理エディターでの Active Directory 証明書サービスの監査イベントの構成のスクリーンショット。

  2. 次のいずれかの方法を使用して、証明機関 (CA) の監査を構成します。

    • PowerShell を使用して CA 監査を構成するには、次を実行します。
certutil -setreg CA\AuditFilter 127 
Restart-Service certsvc

このコマンドは、CA 監査設定を更新し、変更が有効になるように Certificate Services サービスを再起動します。

  • Defender ポータルで CA 監査を構成するには:

    1. Start>証明機関 (MMC デスクトップ アプリケーション) を選択します。 CA の名前を右クリックし、[プロパティ] を選択 します。

      [証明機関] ダイアログのスクリーンショット。

    2. [監査] タブ を 選択し、監査するすべてのイベントを選択し、[ 適用] を選択します。

      証明機関のプロパティの [監査] タブのスクリーンショット。

注:

Active Directory Certificate Services イベント監査の開始と停止を構成すると、大規模な AD CS データベースを処理するときに再起動の遅延が発生する可能性があります。 データベースから無関係なエントリを削除することを検討してください。 または、この特定の種類のイベントを有効にしないでください。

Microsoft Entra Connect で監査を構成する

Microsoft Entra Connect サーバーで監査を構成するには:

  1. Microsoft Entra Connect サーバーに適用するグループ ポリシーを作成します。

  2. グループ ポリシーを編集し、次の監査設定を構成します。

    1. [コンピューターの構成]\[ポリシー]\[Windows 設定]\[セキュリティ設定]\[詳細な監査ポリシーの構成]\[監査ポリシー]\[ログオン/ログオフ]\[監査ログオン] の順に移動します。

    2. 成功 と 失敗 の監査イベントを設定するには、チェックボックスを選択します。

    グループ ポリシー管理エディターのスクリーンショット。

構成コンテナーで監査を構成する

構成コンテナー監査は、現在または以前に Microsoft Exchange を持っていた環境に対してのみ必要です。 これらの環境には、ドメインの [構成] セクション内に Exchange コンテナーがあります。

  1. ADSI 編集ツールを開きます。

  2. [ Start>Run] を選択し、「 ADSIEdit.msc」と入力し、[ OK] を選択します。

  3. [ アクション ] メニューの [ 接続先] を選択します。

  4. 接続設定 に移動し、>既知のネーミング コンテキストを選択し、>Configuration を選択して、OK を選択します。

  5. [構成] コンテナーを展開して、"CN=Configuration,DC=.." で始まる [構成] ノードを表示します。

    [CN 構成] ノードのプロパティを開く選択のスクリーンショット。

  6. [構成] ノードを右クリックし、[プロパティ] を選択します。

    [構成] ノードのプロパティを開く選択のスクリーンショット。

  7. [ セキュリティ ] タブを選択し、[ 詳細設定] を選択します。

  8. [ セキュリティの詳細設定] で、[ 監査 ] タブを選択し、[ 追加] を選択します。

  9. プリンシパルを選択 を選択します。

  10. 選択するオブジェクト名を入力します で、Everyone と入力します。 次に、[名前の確認>OK] を選択します。

  11. 監査エントリに戻ります。 次の選択を行います。

    • 種類 で、すべて を選択します。
    • [ 適用対象] で、 このオブジェクトとすべての子孫オブジェクトを選択します。
    • [ アクセス許可] で下にスクロールし、[ すべてクリア] を選択します。 上にスクロールし、[ すべてのプロパティを書き込む] を選択します。

    構成コンテナーの監査設定のスクリーンショット。

  12. [OK] を選択します。

PowerShell を使用して Windows イベント コレクションを構成する

詳細については、 Defender for Identity PowerShell リファレンスを参照してください。

次のコマンドは、PowerShell を使用して Defender for Identity のドメイン コントローラーの監査 (Premium) ポリシー設定を変更する方法を示しています。

監査ポリシーを表示するには:

Get-MDIConfiguration コマンドレットを使用して、ドメインまたはローカル コンピューター モードの ID 構成値の現在のDefenderを取得します。

Get-MDIConfiguration [-Mode] <String> [-Configuration] <String[]>

ここで:

  • Mode は、 Domain モードと LocalMachine モードのどちらを使用するかを指定します。 Domain モードでは、設定は グループ ポリシー オブジェクトから取得されます。 LocalMachine モードでは、設定はローカル コンピューターから取得されます。
  • Configuration は、取得する構成を指定します。 すべての構成を取得するには、 All を使用します。

設定を構成するには:

ドメインまたはローカル コンピューター モードで ID 構成に 1 つ以上のDefenderを適用するには、次の構文を使用します。

Set-MDIConfiguration [-Mode] <String> [-Configuration] <String[]> [-CreateGpoDisabled] [-SkipGpoLink] [-Force]

ここで:

  • Mode は、 Domain モードと LocalMachine モードのどちらを使用するかを指定します。 Domain モードでは、設定は グループ ポリシー オブジェクトから取得されます。 LocalMachine モードでは、設定はローカル コンピューターから取得されます。
  • Configuration は、設定する構成を指定します。 Allを使用して、すべての構成を設定します。
  • CreateGpoDisabled は、GPO が作成され、無効として保持されるかどうかを指定します。
  • SkipGpoLink は、GPO リンクが作成されていないことを指定します。
  • Force は、構成が設定されているか、現在の状態を検証せずに GPO が作成されることを指定します。

次の例では、ドメイン モードでグループ ポリシーを使用して設定された ID 構成に対して推奨される完全なDefenderを適用し、グループ ポリシー オブジェクトを作成してリンクします。

Set-MDIConfiguration -Mode Domain -Configuration All

レガシ構成を更新する

Defender for Identity では、1,644 イベントのログ記録が不要になります。 次のいずれかの設定を有効にした場合は、レジストリから削除します。 これらのレジストリ値は、以前はイベント 1644 収集に必要でしたが、不要になった NTDS 診断ログ レベルと検索しきい値を構成しました。

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics]
"15 Field Engineering"=dword:00000005

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Parameters]
"Expensive Search Results Threshold"=dword:00000001
"Inefficient Search Results Threshold"=dword:00000001
"Search Time Threshold (msecs)"=dword:00000001

関連コンテンツ

詳細については、以下を参照してください:

  • Last updated on