要追踪域控制器上的权限变更记录，需先启用高级审核策略（特权使用、账户管理、策略更改、对象访问），再创建聚焦“安全”日志中4704/4719/4728-4733/4738/4756-4757/4761等关键事件ID的自定义视图，并以域管理员身份查看与告警。
要追踪域控制器上的权限变更记录，关键在于捕获安全日志中与用户、组、策略或对象权限相关的审计事件，并通过自定义视图长期、精准地聚焦这些内容。windows 默认不会记录所有权限操作，必须先启用对应审核策略，再创建能跨日志、稳定复用的自定义视图。
确保权限变更审计已启用
没有开启审核，就不可能产生相关事件。在域控制器上执行以下步骤：
- 打开“组策略管理”，编辑默认域控制器策略（或链接到DC的GPO）
- 导航至：计算机配置 → 策略 → Windows 设置 → 安全设置 → 高级审核策略配置 → 审核策略 → 特权使用，启用“成功”和/或“失败”
- 同时启用：账户管理（捕获用户/组/OU创建、删除、属性修改）、策略更改（如密码策略、权限分配策略变更）、对象访问（若需追踪对特定OU或GPO的ACL修改）
- 运行 gpupdate /force 并重启域控服务或等待策略刷新（通常15–30分钟）
识别核心事件ID与日志来源
权限变更主要落在“安全”日志中，重点关注以下事件ID：
- 4728/4729：用户被添加/从启用的全局/通用安全组中移除（直接体现权限增减）
- 4732/4733：用户被添加/从本地组（如Administrators、Remote Desktop Users）中加入或移除
- 4756/4757：用户被添加/从嵌套组（如“Account Operators”嵌套在“Domain Admins”中）中变更
- 4738：用户账户属性被更改（含密码策略、账户控制标志如“密码永不过期”、“不许更改密码”等）
- 4761：将用户添加到受保护的用户（Protected Users）组
- 4704：用户权限分配变更（如赋予“备份文件和目录”、“管理审核和安全日志”等特权）
- 4719：系统审计策略更改（说明谁改了审核本身）
注意：这些事件全部位于 Windows 日志 → 安全，无需跨其他日志，但建议在自定义视图中明确限定该日志源，避免误含无关条目。
创建专用自定义视图
打开事件查看器 → 左侧导航栏右键“自定义视图” → “创建自定义视图”：
- 在“筛选器”选项卡中：
— 勾选“安全”日志（展开后只选此项，不勾“系统”“应用程序”等）
— 勾选“错误”“警告”“信息”级别（权限变更多为信息级，非错误）
— 在“包括/排除事件ID”框中，粘贴：4704,4719,4728,4729,4732,4733,4738,4756,4757,4761 - 可选增强：
— 在“事件来源”中填入 Microsoft-Windows-Security-Auditing（确保是系统原生审计，排除第三方工具干扰）
— 不设“已记录时间”范围（否则视图会随时间自动失效，不利于回溯） - 点击“确定”，命名为例如 “DC-权限变更监控”，保存即可
该视图将永久出现在左侧“自定义视图”下，双击即实时显示所有匹配的权限操作，支持导出、排序、右键“将事件另存为”归档。
日常使用与验证建议
- 首次创建后，手动执行一次测试操作（如将普通用户加入Domain Admins组），确认是否立即在该视图中出现4732事件
- 结合事件详情中的“Subject”字段（执行操作的账户）和“Member Name”（被变更权限的账户），快速定位责任人与影响范围
- 若视图为空，检查是否以域管理员身份登录事件查看器——普通账户默认无权读取安全日志（见注册表权限修复方案）
- 建议搭配任务计划程序：右键该自定义视图 → “附加任务到此自定义视图”，设置事件触发时发送邮件或写入摘要日志，实现主动告警
