必须完成三重配置：启用全局对象访问审核策略、为文件夹单独添加sacl审计规则、强制刷新策略并验证4663日志；缺一不可，否则无法追踪敏感文件修改行为。
要在Windows 11中准确追踪谁在何时修改了特定敏感文件夹（如“财务凭证”“员工合同”），必须完成三重配置：启用全局对象访问审核策略、为该文件夹单独添加SACL审计规则、强制刷新策略并验证日志生成能力；缺一不可，否则事件查看器中不会出现4663事件。
启用全局对象访问审核策略
这一步是所有文件级审计的日志开关。未启用时，哪怕SACL设置再完整，系统也完全不写入安全日志。
按Win + R输入gpedit.msc回车→导航至计算机配置 → Windows 设置 → 安全设置 → 本地策略 → 审核策略→双击“审核对象访问”→勾选“成功”和“失败”→点击确定。
注意：此操作仅对专业版、企业版、教育版有效；家庭版用户需改用auditpol命令行方式（见后文补充）。
为目标敏感文件夹配置SACL审计规则
SACL才是真正决定“谁改了什么”的核心控制项。它不继承，必须手动为每个敏感文件夹单独设置，且权限类型必须选“仅审核”，不是“允许”。
第一步：右键目标文件夹（例如D:\Confidential\HR-Contracts）→属性→安全选项卡→高级。
第二步：切换到【审核】选项卡→点击【添加】→点击【选择主体】→输入Everyone或精确组名（如HR-Team）→确认。
第三步：在下方权限列表中，【必须勾选“写入数据/添加文件”和“删除子文件夹及文件”两项】，其余如“读取数据”可按需选；每项右侧状态必须显示“仅审核”。
第四步：在“应用于”下拉菜单中，选择“此文件夹、子文件夹和文件”→勾选“替换所有子对象的可审核项”→确定保存。
刷新策略并验证4663日志是否真实生成
策略配置完成后不刷新，设置不会生效；不验证，无法确认是否真能捕获修改行为。
以管理员身份运行PowerShell→执行gpupdate /force→等待提示“处理组策略完成”。
继续在同一窗口执行：auditpol /get /category:"Object Access"→确认输出含“成功: 已启用”和“失败: 已启用”。
打开事件查看器（eventvwr.msc）→Windows 日志 → 安全→右键“安全”→筛选当前日志→在“事件ID”栏填入4663→点击确定。
用测试账户（如TestUser）向该文件夹内新建一个txt文件并保存→立即回到事件查看器刷新日志→若出现新条目，双击查看“访问掩码”字段值为0x2（写入）或0x10000（删除），且“帐户名”显示TestUser，则审计已成功激活。
