要让windows server的ipam审计所有ip地址变更记录，关键在于确保ipam持续采集dhcp、dns、dc和nps的原始事件数据并正确关联生命周期操作；需在各托管服务器启用对应审计策略、通过gpo精确配置安全筛选、在ipam控制台启用变更跟踪，并利用报告与告警功能实现有效审计。
要让 windows server 的 ipam 审计所有 ip 地址变更记录，关键不是直接“开启日志开关”，而是确保 ipam 能持续、完整地采集来自 dhcp、dns、域控制器（dc）和网络策略服务器（nps）的原始事件数据，并正确关联到 ip 地址生命周期操作。
确保托管服务器已启用必要审计策略
IPAM 本身不生成变更事件，它依赖底层服务器的日志。必须在每台被管理的服务器上预先配置：
- DHCP 服务器：启用“DHCP 服务器审核日志”，并确保“记录所有客户端请求”和“记录地址分配/释放”已勾选；同时确认 Windows 事件日志中“Microsoft-Windows-DHCP-Server/Operational”通道已启用。
- DNS 服务器：在 DNS 管理器中右键服务器 → “属性” → “事件日志”选项卡，勾选“调试日志”或至少启用“区域更新”和“动态更新”相关事件；关键日志位于“DNS Server”通道。
- 域控制器：启用组策略中的“审核账户管理”和“审核目录服务访问”，尤其要确保对 DNS 区域容器和 DHCP 授权对象的修改可被记录在“Security”和“Directory Service”日志中。
完成 GPO 预配并正确链接安全筛选
IPAM 通过 GPO 向托管服务器部署远程管理权限和防火墙规则。仅运行向导不等于完成审计准备：
- 使用 Invoke-IpamGpoProvisioning 命令创建三个核心 GPO（如 IPAM_DHCP、IPAM_DNS、IPAM_DC_NPS），前缀需统一且易识别；
- GPO 默认链接到域根但**无安全筛选生效**——必须手动将每台目标 DHCP/DNS/DC 服务器的计算机账户添加进对应 GPO 的“安全筛选”列表；
- 确认这些 GPO 已成功应用（可在服务器上运行 gpresult /h report.html 验证）；否则 IPAM 无法读取事件日志或服务状态。
在 IPAM 控制台启用并验证变更跟踪范围
IPAM 审计能力需在发现和导入后主动激活：
- 进入 IPAM 客户端控制台 → “监视和管理” → “服务器” → 右键目标 DHCP 服务器 → “编辑服务器属性” → 勾选“启用配置更改审核”；
- 同样为 DNS 服务器启用“区域更改审核”；为 DC/NPS 启用“IP 地址跟踪”（该功能依赖 NPS 记录 RADIUS 属性中的 NAS-IP-Address 和 Calling-Station-ID）；
- 返回“事件目录”视图，按“事件类型”筛选“DHCP 租约分配”“DNS 记录添加/删除”“用户登录（含 IP）”，确认近期条目有实际数据而非空值。
定期导出与自定义警报设置
审计记录默认保留在 IPAM 数据库中，需主动利用其报告能力：
- 使用“地址空间管理”下的“IP 地址审核”报告，可按时间范围、IP 地址段、操作类型（分配/释放/保留/删除）导出 CSV；
- 在“监视和管理” → “IPAM 服务器” → “配置”中，设置“地址利用率阈值”和“变更频率告警”——例如：单小时内同一 IP 被重复分配超 3 次即触发邮件通知；
- 注意：IPAM 不存储原始事件日志，只提取关键字段（如 IP、客户端 ID、时间、服务器名）。如需完整上下文，仍需跳转至源服务器的事件查看器。
